How many variations of “qwerty” and “1234? can you think of?

I am quite surprised at how inventive people can be when it comes to the thinking up weak passwords. The obviously weak combinations like ’1234′ or ‘qwerty’ along with names and phone numbers are quite common parts of passwords. Some background The story begins with me fighting a familiar piece of malware, Bicololo, which is […]

Android Madware and Malware Trends

      No Comments on Android Madware and Malware Trends

Today, we are publishing a report on the security risks present on Android app markets in the first half of this year. The report presents trends in malware and madware, the latter referring to apps that use aggressive ad libraries. Ad libraries have t…

?????????????????

      No Comments on ?????????????????

多くの人が待ち焦がれているハロウィーンでは、街中が神秘と魔法とファンタジーで満ち溢れ、人々はさまよい歩く霊を追い払うためにかがり火を焚き、仮装をします。予想どおり、そのハロウィーンを悪用するさまざまなスパムメッセージが Symantec Probe Network に届き始めています。このスパムでは、偽のアンケートに答えて URL をクリックするよう求められますが、リンク先はスパムメッセージであり、偽のハロウィーン関連広告を宣伝する Web サイトにリダイレクトされます。

スパムメッセージで使われている語句としては、以下のような組み合わせが上位を占めています。

  • Halloween – Costumes(ハロウィーンの仮装衣装)
  • Halloween – treat(ハロウィーンのごちそう)
  • Halloween – Special(ハロウィーンスペシャル)
  • Halloween – Survey(ハロウィーンアンケート)

figure 1.png

図 1. プレゼントを餌にユーザーを偽アンケートに誘うスパム

アンケートに答えると、プレゼントを受け取るためと称して個人情報の入力を求めるページが表示されますが、もちろんこれは偽装ページです。

Figure 2.png

図 2. ギフトカードを受け取るための偽のアンケート

ギフトカードを受け取るための情報を入力すると、個人情報を入力する Web ページに誘導されます。

Figure 3.png

図 3. ハロウィーンの仮装衣装を紹介する偽の広告

Figure 4.png

図 4. 偽の医薬品販売 Web ページ

上に示したサンプルは、偽の広告で医薬品を購入させようとする Web ページです。これらの Web ページをホストしているドメインは、ヨーロッパで登録されていることが判明しています。

今回のスパム攻撃で使われている電子メールの件名の例を以下に示します。

  • 件名: Shop for Halloween Costumes Today(ハロウィーンの仮装衣装を買うなら今)
  • 件名: Complete the Halloween Survey and Claim Your xxx Gift Card(ハロウィーンのアンケートに答えて xxx のギフトカードをもらおう)
  • 件名: Halloween treat for your body(ハロウィーン、体にもごほうびを)
  • 件名: Shop Sexy Halloween Costumes  Free Shipping On Orders Over $50(セクシーなハロウィーンの衣装、50 ドル以上の注文で送料無料)
  • 件名: Halloween Special–Up to 85% off Printer Ink and Toner(ハロウィーンスペシャル — プリンタのインクとトナーが最大 85% オフ)
  • 件名: Shop The Halloween xxx Savings.(アンケートに答えるだけで、ハロウィーンの xxx がお買い得)
  • 件名: Personalize a Gift for Halloween – Treat Bags, Home Decorations, and More(ハロウィーンの名前入りギフト – お菓子入れ、家庭用オーナメント、その他いろいろ)
  • 件名: Shop for new Halloween costumes at a low prices, today(ハロウィーンの衣装がお買い得、本日限り)

迷惑メールや心当たりのない電子メールを受信したときには、くれぐれもご注意ください。シマンテックでは、最新の脅威に関する最新の情報をお届けできるよう、ハロウィーンスパムに対して厳重な監視を続けています。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Syrian Electronic Army Hacks into Obama Campaign Staff Emails

Yesterday, the Syrian Electronic Army announced that it had compromised the email accounts of several staff members of Organizing For Action (OFA), a non-profit organization that also maintains the President’s website (barackobama.com), the President’s Facebook, and the President’s Twitter account (@barackobama). A screenshot posted by @Official_SEA16 confirms the hack and indicates some OFA staff were conducting business using Gmail email accounts, hosted through Google Apps for Business.

We accessed many Obama campaign emails accounts to assess his terrorism capabilities. They are quite high #SEA pic.twitter.com/ARgGLX8IjN

— SyrianElectronicArmy (@Official_SEA16) October 28, 2013

The attackers also compromised the URL shortening service that the President used to share links through social media (ShortSwitch.com). The compromised links directed users to a video called “Syria Facing Terrorism”, hosted on YouTube, which has since been removed.

We are working with OFA. Evidence suggests credentials were compromised elsewhere and used by unauthorized parties. Forensics ongoing…

— ShortSwitch (@shortswitch) October 28, 2013

The Syrian Electronic Army may have targeted the Obama campaign the same way that they targeted The Onion satirical news site. The Onion published a write-up explaining how they were compromised earlier this year. In the write-up, they point to emails they received (phishing attacks) that redirected staff to fake Google Apps login pages.

Many organizations use Google Apps for email and for other services. And many of these organizations have not yet enabled two-factor authentication (Google calls this two-step verification)—a security feature that has been available in Google Apps since 2011.

Two-factor authentication for email is an important security feature that should be enabled. In the scenarios such as the one above, two-factor authentication would have helped the staff members of OFA mitigate an attempt by hackers to obtain access to the Obama campaign’s Google Apps email account.

SEA (@Official_SEA16) on Obama social media hack: “BTW, they didn’t even enabled 2-step verification” http://t.co/VRF0bXqNdd

— Fran Berkman (@FranBerkman) October 28, 2013

If you are a Google Apps administrator, Symantec Security Response recommends turning on the two-factor authentication feature. Follow these instructions to allow two-factor authentication (2-step verification).

Google Apps administrators also have the option to “enforce” two-factor authentication, making it mandatory for all users of that domain. Please refer to Google’s help page for how to enable this feature.

Phishing attacks continue to evolve. All it takes is just one person in an organization to fall for a phishing scam to lower your security. Consider adding two-factor authentication to your Google Apps for Business account as well as incorporating regular user education training on security best practices for your employees.

For more information on two-factor authentication see:

Loyal fans make AVAST the most popular antivirus

Avast! Antivirus is the most trusted and popular antivirus in the world and a leader among worldwide antivirus vendors.  “With nearly 200 million customers in 43 languages — a staggering 1 million users in 38 different countries — it is used by more people than rivals AVG Technologies, Symantec and McAfee combined,” wrote Jon Swartz […]

Backdoor.Ploutus se Renueva y Sale de México

backdoor ploutus head.jpg

El 4 de septiembre de 2013, Symantec fue el primero en descubrir y añadir detección a un nuevo malware dirigido a cajeros automáticos llamado Backdoor.Ploutus, según lo informado en las definiciones de liberación rápida . Recientemente, se identificó una nueva variante de esta amenaza, la cual evolucionó y ahora se ha traducido al inglés, lo que sugiere que el software dirigido a los cajeros automáticos podría estar siendo usado también en otros países.

Tras esta investigación, el 25 de octubre de 2013 Symantec añadió una detección genérica para esta nueva variante con el nombre de Backdoor.Ploutus.B, por lo que ahora Ploutus se puede detectar cuando está inactivo y cuando está ejecutándose.

Metodología de infección

De acuerdo con fuentes externas, el malware se transfiere al cajero automático al insertar físicamente un nuevo disco de arranque en la unidad de CD- ROM. El disco de arranque es el que transfiere el malware.

Impacto

Los delincuentes han portado el malware a una arquitectura más robusta y lo tradujeron al inglés lo cual sugiere que el mismo software que se descubrió en un inicio, ahora podría ser utilizado en países fuera de América Latina.  

El número de bancos afectados por Backdoor.Ploutus.B está fuera del alcance de esta investigación, toda vez que dicha información es manejada por las entidades afectadas.

Nuevas caracteristicas de Backdoor.Ploutus.B

El nombre binario de la versión en inglés es “Ploutos.exe” en lugar de “PloutusService.exe” (como era en la versión en español). Ahora el programa ha pasado de ser algo independiente a ser una arquitectura modular.

backdoor ploutus fig 1.png

Figura 1. Arquitectura modular de Ploutus

El nuevo servicio NCRDRVP esta fuertemente protegido contra ingeniería inversa y esconde sus acciones maliciosas para evitar ser detectado. De acuerdo con la investigación, puede realizar las siguientes tareas:

• Instalar o desinstalar el servicio

• Interceptar los mensajes del teclado del cajero para recibir órdenes de los delincuentes

• Iniciar al Dispatcher (ver arriba) y comunicarse a través de un raw socket

El Dispatcher recibirá instrucciones de NCRDRVP a través de un raw socket. Este socket no es fácil de detectarse, ya que no aparece en la lista de protocolos TCP o UDP que utiliza el sistema. El Dispatcher puede realizar las siguientes acciones:

• Analizar las órdenes recibidas para asegurarse de que son válidas

• Ejecutar Ploutus a través de la línea de comandos

Backdoor.Ploutus.B utiliza la misma interfaz (clase NCR.APTRA.AXFS ) para interactuar con el cajero, y solo se concentra en el suministro de dinero, pero agrega nuevas funcionalidades como:

• Puede imprimir la configuración completa del cajero automático si una impresora USB está conectada a la máquina (la versión en español envía esta información a un archivo log en lugar de imprimirlo)

• No cuenta con una interfaz gráfica de usuario (GUI) y en su lugar acepta comandos desde el teclado del cajero automático

• No ofrece soporte para un teclado externo conectado al cajero (como en la versión en español)

• Retira el dinero del casete o bandeja con más billetes disponible y ya no tiene la opción de ingresar una cantidad específica a retirar

• Mostrará una ventana a los criminales con los detalles de las transacciones realizadas y el dinero disponible en el cajero (esta vez en inglés):

Ploutus Reloaded fig 2 edit.png

Figura 2. Ventana mostrando el detalle de la transacción durante el retiro

Acciones realizadas por Backdoor.Ploutus.B

La nueva versión tiene las mismas funcionalidades que la versión anterior:

  1. Genera un ID del Cajero – Aleatoriamente genera un número que es asignado al cajero infectado, basado en el día y mes al momento de la infección.
  2.  Activa el ID del Cajero – Establece un contador de tiempo para retirar el dinero. El malware entregará el dinero sólo dentro de las primeras 24 horas de haber sido activado.
  3. Retira Efectivo: Entrega el dinero basado en el casete con más dinero disponible

Interactuando con Backdoor.Ploutus.B a través del teclado del cajero

Los atacantes envían un código de 16 dígitos a través del teclado del cajero, dicha información es recibida por el Servicio de NCRDRVP :

                    • 123456789ABCDEFG

Dicho código se envía entonces al Dispatcher a través del raw socket. El Dispatcher envía una instrucción de 33 dígitos a Ploutus a través de la línea de comandos:

cmd.exe / c Ploutos.exe 5449610000583686 = 123456789ABCDEFG

Si los últimos 16 dígitos son igual a: 2836957412536985 , entonces Ploutus generará un ID del cajero.

Si Ploutus genera un ID del cajero, los atacantes pueden ingresar otros 16 dígitos, pero sustituyendo los dos últimos teniendo la siguiente funcionalidad:

Si los dos últimos dígitos son 99:

• Ploutus se detiene

Si los dos últimos dígitos son 54:

•  Se activara el cajero listo para entregar dinero

• Establece el contador de tiempo para entregar el dinero (24 horas)

Si los dos últimos dígitos son 31:

• El cajero entregara el dinero calculado e imprimirá la configuración completa del mismo si detecta una impresora USB conectada a la maquina

Proceso de Retiro de Efectivo

  1. Identificará el número de dispositivos dispensadores en el cajero automático.
  2. A continuación, obtiene el número de casetes disponibles por dispensador y los carga. En este caso, el malware supone que hay un máximo de cuatro casetes por dispensador ya que conoce el  modelo y diseño del cajero comprometido. Los casetes contienen los billetes disponibles en el cajero.
  3. Calcula la cantidad de dinero a entregar basado en un numero fijo de billetes (40), multiplicado por la denominación actual de la unidad.
  4. Después inicia la operación de retiro de efectivo. Si el casete implicado en este proceso tiene menos de 40 unidades (billetes) disponibles, entonces encontrara el casete con mas billetes disponibles y vaciará solamente esa unidad.
  5. Abrirá un panel (ver Figura 2) donde desplegará los detalles de la transacción así como la cantidad de dinero disponible en el cajero.
  6. Ploutus oculta el panel y queda en espera de nuevas solicitudes de entrega de dinero.

Lo que este descubrimiento pone sobre la mesa es el creciente nivel de cooperación entre los criminales del mundo físico tradicional con hackers y delincuentes cibernéticos. Con el uso cada vez mayor de la tecnología en todos los aspectos de la vida y las nuevas medidas de protección, los delincuentes tradicionales se están dando cuenta de que, para llevar a cabo robos con éxito,  ahora requieren otro conjunto de habilidades que no necesitaban en el pasado. Los ladrones modernos de bancos ahora necesitan tener en su equipo a profesionales en tecnología calificados para ayudarles a robar.

Este tipo de situaciones  no sólo pasa en las películas, está sucediendo en la vida real y es un ejemplo de cómo los ciberataques se están volviendo más específicos, recordemos que según datos del Informe sobre Amenazas a la Seguridad en Internet de Symantec, en 2012 los ataques dirigidos crecieron 42% y el sector financiero es el segundo sector más atacado por este tipo de cuestiones con 19% del total. Datos de septiembre de este año revelan que el 13% de los ataques por industria tuvo al sector financiero en la mira.

Cabe mencionar que los usuarios de los cajeros automáticos no están siendo afectados por esta situación directamente, sino que son las instituciones financieras las que están siendo blanco de este ataque, por ello, Symantec recomienda lo siguiente:

  • Configurar el BIOS boot order para que solamente formatee o reinicie desde el disco duro (y no desde CD/DVD, USBs, etc)
  • Asegurar el BIOS con una contraseña para que los atacantes no puedan reconfigurar o modificar de reinicio.
  • Asegurar que las firmas de su AV o solución de seguridad estén actualizadas.

Symantec Security Response continuará monitoreando el comportamiento y evolución de de Backdoor.Ploutus para mantener a sus clientes protegidos.

Backdoor.Ploutus ?? – ???????????? Ploutus

backdoor ploutus head.jpg

 

Rapid Release 定義のページで報告されているとおり、シマンテックは 2013 年 9 月 4 日、ATM を標的にする Backdoor.Ploutus という新しいマルウェアを最初に検出し、その検出定義を追加しました。最近になってこのマルウェアの新しい亜種が見つかりましたが、以前より進化したうえに英語に翻訳されていることから、同じ ATM ソフトウェアが他の国や地域でも使われていることを示唆しています。

シマンテックは 2013 年 10 月 25 日、この新しい亜種に対する汎用的な検出定義を Backdoor.Ploutus.B として追加しました。Ploutus は、活動していない状態でも実行中でも検出することができます。

感染の手法

シマンテック外部からの情報によると、このマルウェアは CD-ROM ドライブに新しいブートディスクを物理的に挿入することで ATM に転送され、ブートディスクからマルウェアがコピーされます。

影響

今回、犯罪者は、マルウェアをさらに堅ろうなアーキテクチャに移植したうえ、英語に翻訳しています。まるで、中南米以外の国や地域でも同じ ATM ソフトウェアを悪用できることがわかったのだと、ほのめかしているようです。

Backdoor.Ploutus.B の影響を受けている金融機関の数については、今回の調査では対象にしていません。関係各機関に委ねられています。

Backdoor.Ploutus.B の新しい特徴

英語版のバイナリ名は PloutusService.exe ではなく Ploutos.exe となり、スタンドアロンのプログラムからモジュール式のアーキテクチャに変更されています。
 

backdoor ploutus fig 1.png

図 1. モジュール式のアーキテクチャに変更された Ploutus
 

新しい NCRDRVP サービスは高度に不明瞭化されているため、その悪質な活動は検出をすり抜けて、以下の処理を実行する可能性があります。

  • サービスをインストールまたはアンインストールする。
  • キーボードフッキングを実行する。
  • ディスパッチャ DLL をロードする。
  • ATM のテンキーから犯罪者が入力したコマンドを受信する。
  • RAW ソケットを通じてディスパッチャにコマンドを転送する。

このディスパッチャは、RAW ソケットを作成して命令に対する応答を準備します。RAW ソケットは、システムが使う TCP プロトコルまたは UDP プロトコルにリストされないため、検出が容易ではありません。ディスパッチャは、以下の処理を実行する可能性があります。

  • 受信したコマンドを解析してその有効性を確認する。
  • コマンドライン引数を通じて Ploutus を実行する。

Backdoor.Ploutus.B は同じインターフェース(NCR.APTRA.AXFS クラス)を持ち、現金の引き出しがメインの機能である点は変わりませんが、いくつかの相違点もあります。今回のバージョンの特徴は、以下のとおりです。

  • ATM に USB プリンタを接続すれば、すべての ATM 設定情報を印刷できる(スペイン語版は、この情報をログファイルに出力する)。
  • グラフィカルユーザーインターフェース(GUI)を持たず、その代わりに ATM のテンキーからのコマンドを受け付ける。
  • 現金の引き出し中、攻撃者には ATM で利用可能な金額を示すウィンドウとトランザクションログが表示される。
  • ATM へのキーボードの接続には対応していない。
  • 引き出し可能な紙幣が最も多いカセットから現金を引き出すが、特定の紙幣で金額を指定するオプションはない。

Ploutus Reloaded fig 2 edit.png

図 2. 侵入先の ATM で引き出し可能な現金が表示されるウィンドウ
 

Backdoor.Ploutus.B によって実行される処理

新しいバージョンでも、次の機能は古いバージョンと変わっていません。

  • 乱数を生成し、侵入した時点の日付に基づいて侵入先の ATM に割り当てる。
  • 現金を引き出すためのタイマーを設定する(マルウェアは、アクティブ化されてから 24 時間以内に限って現金を引き出す)。
  • 引き出し可能な紙幣が最も多いカセットから現金を引き出す。

ATM のテンキーによる Backdoor.Ploutus.B の操作

攻撃者は ATM のテンキーを使って次のような 16 桁のコマンドコードを送信し、そのコードが NCRDRVP サービスで受信されます。

  • 123456789ABCDEFG

次に、このコードが RAW ソケットを通じてディスパッチャに転送され、ディスパッチャは次のようなコマンドラインで 33 桁の命令を Ploutus に送信します。

  • cmd.exe /c Ploutos.exe 5449610000583686=123456789ABCDEFG

最後の 16 桁が 2836957412536985 に等しければ、Ploutus は ATM ID を生成します。Ploutus が ATM ID を生成した場合、攻撃者は同じ 16 桁を入力できますが、このとき下 2 桁を書き換えてさまざまな処理を実行します。

下 2 桁が 99 の場合:

  • Ploutus が終了する。

下 2 桁が 54 の場合:

  • エンコードされている ATM ID と現在の日付に基づいて生成されるコードによって、ATM ID がアクティブ化される。この値は、config.ini ファイルの DATAC というエントリに保存されます。ATM で現金を引き出すには、有効な ATM アクティブ化コードを取得する必要があります。
  • 現金を引き出すためのタイマーが設定され、その値が config.ini ファイルの DATAB というエントリに保存される。

下 2 桁が 31 の場合:

  • ATM で現金が引き出され、USB プリンタを接続していれば、すべての ATM 設定情報が印刷される。

侵入後の引き出しプロセス

  1. Ploutus が ATM でディスペンサデバイス数を識別します。
  2. ディスペンサ 1 台当たりで利用可能なカセット数を取得し、ロードします。今回の場合、犯罪者は ATM モデルの設計がわかっているため、Ploutus はディスペンサ当たりのカセット数が最大 4 つであると想定します。
  3. 次に、40 に設定された紙幣枚数に現金の単位値を掛けて引き出し金額を計算します。
  4. 現金引き出し処理が開始されます。いずれかのカセットで利用できる上限が 40 単位(紙幣)に満たない場合は、利用可能な紙幣の枚数がもっと多いカセットを探して、そのカセットのみから全額を引き出します。
  5. パネル(図 2 を参照)を開き、トランザクションの詳細と ATM の残額を表示します。表示が終わるとパネルを閉じます。
  6. 最後に、現金の引き出しが要求されるたびにステップ 4 を繰り返します。

あなたの身近なところで ATM から現金が引き抜かれている

今回の発見で改めて強調されたのは、従来の物理的な犯罪を企てる犯罪者とハッカーやサイバー犯罪者との間で協力関係が増してきていることです。セキュリティのあらゆる面で技術が進化しているため、従来型の犯罪者は、これまで必要とされなかったスキルがなければ盗みが成功しないことに気付きつつあります。今や、最新の銀行強盗団には、盗みを手助けする熟練した IT 専門家が不可欠になりました。これは映画の中だけの話ではなく、実際に起きている現実です。もっとも、この問題で ATM の利用者が直接の被害を受けるわけではなく、狙われているのはあくまでも金融機関です。シマンテックは、以下の基本的なセキュリティ対策(ベストプラクティス)に従うことをお勧めします。

  • ハードディスクからのみブートするように BIOS のブート順序を設定する(CD/DVD、USB からは起動しない)。
  • 攻撃者がブートオプションの設定を変更できないように、BIOS をパスワードで保護する。
  • BIOS によってブート時から読み取りと起動が可能なハードウェアを取り外すことを検討する。
  • ウイルス対策のシグネチャとセキュリティソリューションを常に最新の状態に保つ。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Halloween-themed Spam Tricks and Does Not Treat

Many people are waiting eagerly for Halloween, a holiday filled with mystery, magic and fantasy, where bonfires were lit and costumes were worn to ward off roaming ghosts. As expected, Halloween Day spam messages have started flowing through Symantec&r…

Facebook Clickjacking: Will You Like Me?

      No Comments on Facebook Clickjacking: Will You Like Me?

“Who wouldn’t want to have more likes on their Facebook page?” This is the motivation of a very trivial code to get more likes, but while other methods usually comprise of adding better content or advertising, this one is a bit easier, and much dirtier. Why not show the like button directly beneath your mouse […]

Backdoor.Ploutus Reloaded – Ploutus Leaves Mexico

 
On September 4, 2013, we were the first to discover and add detections for a new malware targeting ATMs named Backdoor.Ploutus, as reported by our Rapid Release Definitions. Recently, we identified a new variant of this threat and realized that…