Author Archives: Hacker Medic

寄稿: 篠塚大志

マルウェアの作成者は、より巧妙な手口を求めて常に新しい方法を模索しています。サイバー犯罪者の前にはシマンテック保護技術がいくつも立ちふさがり、ユーザーのセキュリティ意識も高くなっているため、彼らの攻撃が成功することはますます難しくなってきました。

最近の調査で、シマンテックは Word13.exe という変わった名前のサンプルを発見しました。外見だけからすると、デジタル署名された Adobe 社製のファイルのように見えます。
 

図 1. Adobe 社の署名の付いた Word13.exe ファイル
 

図 2. 偽のデジタル署名のプロパティ
 

しかし、よく調べてみると、実に興味深い点に気づきます。
 

図 3. 偽の署名と証明書
 

これが偽物であることは、［発行者］フィールドに「Adobe Systems Incorporated」と書かれていることでわかります。Adobe 社は VeriSign 製品の顧客だからです。また、証明書の情報を見ると、CA ルート証明書を信頼できないこともわかり、これも決定的な証拠になります。
 

図 4. Adobe 社の正規の署名と証明書
 

シマンテックは、このファイルに対する保護対策を提供しており、Backdoor.Trojan として検出します。

Backdoor.Trojan は、自身を実行して iexplore.exe または notepad.exe にインジェクトし、バックドア機能を開始します。

作成される可能性があるファイルは、以下のとおりです。

• %UserProfile%\Application Data\ aobecaps \cap.dll
• %UserProfile%\Application Data\ aobecaps \mps.dll
• %UserProfile%\Application Data\ aobecaps \db.dat

また、ポート 3337 で以下のコマンド & コントロール（C&C）サーバーに接続します。

• Icet****ach.com 

そのうえで、このトロイの木馬は以下の処理を実行する可能性があります。

• ユーザーとコンピュータの情報を盗み出す
• フォルダを作成する
• ファイルを作成、ダウンロード、削除、移動、検索、実行する
• スクリーンショットを取得する
• マウス機能をエミュレートする
• Skype 情報を盗み出す

このマルウェアの被害を受けないように、ウイルス対策定義を常に最新の状態に保ち、ソフトウェアも定期的に更新するようにしてください。ダウンロードの URL が提示された場合には、必ずその URL を再確認し、必要に応じて念のために証明書と署名を確認してください。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Contributor: Hiroshi Shinotsuka

Malware authors are always seeking new ways to hone their craft.  As cybercriminals are facing a multitude of preventative technologies from Symantec and users are becoming more security conscious, it is becoming increasingly difficult for the bad guys to win.

Recently, during research, we came across an oddly named sample, Word13.exe. Upon first glance, it appears to be a digitally signed file from Adobe.
 

Figure 1. Fake digital signature properties
 

But upon closer inspection we found something very interesting.
 

Figure 2. Fake signature and certificate
 

It’s fake, as the “Issued By” field says “Adobe Systems Incorporated” – Adobe is a VeriSign customer. Also, in the certificate information, we see that the CA Root certificate is not trusted – another dead giveaway.
 

Figure 3. Legitimate Adobe signature and certificate
 

Symantec has protection in place and detects this file as Backdoor.Trojan.

Backdoor.Trojan will execute and inject itself into iexplore.exe or notepad.exe and start a back door function.

It may create following files:

• %UserProfile%\Application Data\ aobecaps \cap.dll
• %UserProfile%\Application Data\ aobecaps \mps.dll
• %UserProfile%\Application Data\ aobecaps \db.dat

It connects to the following command-and-control (C&C) server on port 3337:

• Icet****ach.com 

This back door may then perform the following actions:

• Steal user and computer information
• Create folders
• Create, download, delete, move, search for, and execute files
• Capture screenshots
• Emulate mouse function
• Steal Skype information

To ensure that you do not become a victim of this threat, please ensure that your antivirus definitions are always up-to-date and that your software packages are also regularly updated. Always double check the URL of the download that is being offered and, if applicable, check the certificate and signature just to be safe.