Recently, we blogged about systems compromised by W32.Virut that were observed downloading W32.Waledac.D (Kelihos). Symantec has followed the Waledac evolution for a number of years and have observed the botnet showing considerable resilience against t…
Interest in Bitcoin—the decentralized digital currency—is definitely growing. But as with anything established, it also sparks the interest of scammers. We have seen a few Trojans stealing Bitcoin wallets over the last few years. Also, Trojans installing Bitcoin miners are not that exotic anymore. A case from last week shows how far interest has grown on the criminal side. Reports have emerged about phishing websites impersonating Mt.Gox, the largest Bitcoin exchange site. Mt.Gox has already fought battles in the past—for example when it was on the receiving end of a distributed denial-of-service (DDoS) attack and also when US authorities temporarily seized part of their money.
Of course, as with the nature of phishing websites, the real site has nothing to do with the fake scam site. The scammers just used the same second-level domain (SLD) name, “mtgox”, but with a different top-level domain (TLD)—for example, using .org, .net, .de, or .co.uk domains. The scam site tried to trick users into downloading and installing malware with the convincing MTGOX_Wallet.exe file name, which Symantec detects as Downloader.Ponik.
Figure 1. Phishing website uses alternate TLD
Figure 2. Phishing website
The phishing websites were even advertised using more than one major online advertising service, for example Microsoft’s advertisement network, in order to reach as many victims as possible. This resulted in the scam ad being displayed on many prominent websites.
The ad enticed users by stating “New Century Gold: BITCOIN Protect your money – Buy Bitcoin”—a clever turn-about since the ad links to a scam site that has everything else in mind except protecting your money.
The fact that the phishing site does not use the common Secure Sockets Layer (SSL) security protocol should have been a clear giveaway for any visitor. As with any financial service, regardless of the currency behind it, people should pay due diligence to ensure they are on a real website when entering information. In this case, the scammers left an additional clue inside the HTML of the phishing website for the curious type: they hide the original site’s guidance to change passwords.
Figure 3. Phisher-altered HTML
Symantec recommends all Mt.Gox users change their passwords and verify accounts. Mt.Gox has started to intensify the verification process of its members, allowing deposits or withdrawals only from verified accounts. They appear to be doing as much as possible to comply with anti-money laundry laws in order avoid the same fate as Liberty Reserve, which was shut down by federal prosecutors in May. Despite Bitcoin being substantially different to Liberty Reserve due to its decentralized peer-to-peer structure, and hence much harder to shut down, it is still good business practice to do as much as possible to ensure secure service.
Symantec has recently launched cloud-based Symantec AdVantage to help prevent ads that lead to malware from ever reaching customers. Website owners that include advertising on their websites should also check out the anti-malvertisement guidelines recommended by the Online Trust Alliance (OTA). The OTA is a non-profit organization with the mission to enhance online trust while promoting innovation and the vitality of the Internet. Symantec is a founding member of the OTA.
Contributor: Avdhoot Patil
Phishers have continued to focus on social networking sites as a platform for their phishing activities. Symantec is familiar with various phishing campaigns related to social networking. Celebrity promotions, fake applicatio…
スーパーマーケットに向かう途中でカーラジオから流れてきたやかましい曲が耳について離れない。冷凍食品の売り場を探しながら、ふと気が付くとその曲を口ずさんでいて驚くやら恥ずかしいやら。そんな経験が誰にでもあるものです。そうなったらもう、80 年代の定番ロックを歌って、連れにも聞かせてあげるしかありません。そうやって、いつの間にか、その曲は人から人へと伝染していきます。この流れはウイルスによく似ています。ウイルスは、コンピュータにも人にも次から次へと感染して拡散していきます。シマンテックから、「80 年代ロック対策製品」が出ていないのが残念です。
冗談はさておき、音楽を通じて拡散したりコマンドを受信したりするマルウェアがあると言ったら、まるで SF 映画から飛び出てきた話のようだと思うでしょうか。ところが、アラバマ大学バーミンガム校（UAB）の研究者が最近発表した「Sensing-Enabled Channels for Hard-to-Detect Command and Control of Mobile Devices（モバイルデバイスの検出困難なコマンドおよびコントロールに感知可能な経路を利用する方法）」（英語）という論文によれば、そうでもないのです。この論文では、音声、光、磁気、振動といった、インターネット以外の経路でモバイルデバイス上のマルウェアを起動して制御する方法を検証しています。マルウェアの制御は従来、ネットワークベースの経路（たとえば TCP/IP ベースの経路）に頼っているので、検出も遮断もファイアウォールやウイルス対策ソフトウェアで簡単に行えます。一方、UAB の研究者が検証している方法では、不可能とは言えないまでも検出するのは非常に困難です。
スマートフォンやタブレットなどのモバイルデバイスには現在、カメラやマイクのほかに、加速度センサーや磁気センサーまで搭載されています。こうした機能は、元々写真を撮ったり音声を録音したりする目的で搭載されたことは言うまでもありませんが、最近では本来の用途以外の機能を実装するためにアプリケーション開発者によって採用されるようになりました。たとえば、デバイスに内蔵されているカメラを使って脈拍を測定するアプリや、加速度センサーを使って地震の検出に役立てるアプリもあります。モバイルデバイスのユビキタス性と組み込みセンサーが、攻撃者にとってもさまざまな可能性を切り拓くと、UAB の研究者は述べています。この論文で詳しく述べられているのが正にこの可能性で、概念実証用の Android アプリを作成してそのアイデアを披露までしているほどです。
研究者は、特定の信号によって起動されるまで潜伏し続けるように設計されたマルウェアを Android デバイスにインストールし、人通りの多い廊下で、17 メートルほど離れた音源から聞こえてくる音楽を使ってこのマルウェアを起動しました。また、音楽ビデオ、テレビの光や照明、磁気、そしてサブウーハースピーカーの振動によってマルウェアを起動することにも成功しています。
この攻撃方法を使えば、攻撃者は状況に応じて以下のような標的型攻撃を実行できることになります。
このような攻撃はきわめて高度であり、現時点では実行も困難であると研究者は認めていますが、技術が進歩するほど実行は容易になるでしょう。この種の研究が重要であると研究者が考える理由は、正にこの点にあります。セキュリティ業界やデバイスメーカーが犯罪者の先手を取ることができるからです。
研究者が論文で展開した仮説上の攻撃では、マルウェアがデバイスに侵入する際の方法は従来と同じです。従来と異なるのは、攻撃者がマルウェアと通信する方法として、新しい経路を使う点です。この研究は確かに注目に値しますが、音声などの放送に信号を隠して埋め込むのは、ステガノグラフィーの一形態にすぎません。ですから、シマンテック製品を実行しているデバイスであれば、通信の受信方法にかかわらず、マルウェアの存在や動作は検出されるのでご安心ください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
We’ve all heard a really annoying song on the radio on the way to the supermarket and then are shocked and ashamed to find ourselves humming the tune while perusing the frozen foods isle. All it takes then is for a fellow shopper to overhear your…
金融機関を狙ったマルウェアの様相は常に変化しています。サイバー犯罪者は金融業界についてますます詳しくなり、攻撃も巧妙になる一方です。最近シマンテックは、「The World of Financial Trojans（金融機関を狙うトロイの木馬の状況）」（英語）と題するレポートを公開し、オンラインバンキングを狙うマルウェアの特徴や手口を紹介しました。マルウェアの作成者がどのような手口や機能を選択するかは、資金力や市場に関する知識によって異なるようです。
金融機関を狙うマルウェアでは、ほとんどの場合、感染経路として悪用ツールキットが好んで利用されます。過去数カ月の間シマンテックが監視を続けてきた悪用ツールキットは Gongda と呼ばれ、主として韓国を狙っています。この悪用ツールキットによる拡散が確認されている Castov というマルウェアには要注意です。韓国の特定の金融機関とその顧客を標的としていますが、Castov を使うサイバー犯罪者は、韓国のオンライン金融サービスの状況について調べ尽くしているからです。
図 1. 2013 年 5 月における Gongda の IPS 検出の分布図（分布の 98% が韓国）
この脅威の第 1 段階に当たるのが Downloader.Castov です。Delphi でコンパイルされており、ウイルス対策ソフトウェアを停止させる機能を持っています。ひとたびコンピュータに侵入すると、コマンド & コントロール（C&C）サーバーに感染を報告し、暗号化されたファイルをダウンロードします。このファイルが、第 2 段階に当たる Infostealer.Castov です。
Infostealer.Castov は正常な DLL のリスト（いずれも韓国のオンラインバンキングのソフトウェアとセキュリティに関係しています）で特定のオフセットを調べて OP コード（演算コード）命令があるかどうか確認し、その命令を書き換えます。このときインジェクトされるコードが、パスワードや口座情報、取引情報などと思われる文字列を調べます。見つかったデータは収集され、リモートサーバーに送信されます。
表 1. 狙われる DLL と、実行される処理
さらに Infostealer.Castov は、侵入先のコンピュータの NPKI ディレクトリ（%ProgramFiles%\NPKI）に保存されているデジタル証明書も収集します。これは韓国で広く利用されているデジタル証明書で、銀行やクレジットカード、保険などの金融サービスで汎用的に（個人、法人とも）発行されています。ユーザーごとに重複がなく、有効期間は 1 年間です。
スクリーンショット、パスワード、デジタル証明書を組み合わせれば、サイバー犯罪者はユーザーの金融口座にアクセスできるようになります。
図 2. 2013 年 1 月から 5 月にウイルス対策で検出された Castov の分布図
シマンテックは、Castov と Gongda への対策として以下の検出定義ファイルを提供しています。
ウイルス対策:
侵入防止シグネチャ:
保護対策として、シマンテックの最新技術と最新のウイルス対策定義をお使いいただくことをお勧めします。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
The financial malware landscape is constantly evolving, cybercriminals are becoming more knowledgeable about the financial sector, and attacks are becoming more sophisticated. We’ve recently released a report, “The World of Financial Trojan…
寄稿: Binny Kuriakose
サイバー空間は、表現の自由を隠れ蓑にした匿名性が横行し、明確な法律も欠如しているため、セキュリティの観点から見ると混沌としています。各国とも、サイバー空間に巣くう犯罪者を管轄当局が逮捕して処罰するために法律の整備が必要であると自覚しつつあるものの、犯罪者は実に巧妙です。
スパマーが絶妙な手口でスパムを拡散することは知られていますが、最近ではスパム攻撃を仕掛けるためにスパム対策の法律すら悪用し始めました。今回のブログでは、スパム対策法の実効性を吟味するのではなく、電子メールで法律を引用してスパムの信憑性を装う手口について説明したいと思います。
なかには、スパムと正規メールのどちらともつかない「グレーゾーン」の電子メールもあり、あまりに微妙な言い回しのために、受信したユーザーがその判断を誤ってしまう場合も少なくありません。電子メールの本文中でスパム対策法を引用し、その法律に従った電子メールであると主張するのは、こうした「グレーゾーン」のスパムをシロに見せかけるための常套手段です。
CAN-SPAM 法（ポルノおよび広告の迷惑メールによる攻撃の取締法）- 公法 108-187（米国、英語）
図 1 に示したサンプルでは、CAN-SPAM 法、すなわち米国におけるスパム対策法の規定に従っていると書かれています。電子メールの最後に免責条項のセクションがあり、この法律について説明されています。
図 1. スパム対策法を本文中に引用したスパムのサンプル
このスパムの問題点
このサンプルの違法性は、スパマーが提示している「受信拒否（オプトアウト）」のオプションが偽ものだという点にあります。受信を拒否しても、別のメール送信対象者リストにアドレスが移し替えられるだけです。これに類するスパムには必ず、法律を引用したうえで「購読解除」または「受信拒否（オプトアウト）」のオプションが用意されているので、その信憑性に被害者は引っかかってしまいます。
スパムで「悪用」が広く確認されている他の法律
これまでに最も多く悪用されている法律的な記述は、米国の「Bill S.1618 Title III」、通称「MURK」という法案です。スパムに関連しているものの、この法案は上下両院で否決されたため、制定には至っていません。したがって、「Bill S.1618 Title III に従っている」と書かれていたら、その言葉自体に嘘があることになり、まず疑ってかかる必要があります。この法案を引用したスパムメールは、同法案が提出された 1998 年から確認されています。
図 2. Bill S.1618 Title III を引用したスパムの免責事項
さらに不愉快なのは、スパマーがこの引用を盾にとって、ユーザーを脅迫までしていることです。
図 3. Bill S.1618 を引用して脅迫するスパム
ところが、この事例は米国の国境を越えて広まっています。同じ引用が、ポルトガル語やスペイン語など他の言語でも見つかっているからです。
図 4. Bill S.1618 Title III を引用したスペイン語のスパムでの免責事項
ヘイビアスデータ法は、アルゼンチンにおいて商用電子メールのガイドラインを定めた法律です。同種の他の法律と同じく、ヘイビアスデータ法でも、個人情報をデータベースから削除するよう請求する権利をユーザーに保証しています。
スペイン語やポルトガル語のスパムメール攻撃でこの法律が引用され、また本物らしく見せるために受信拒否（オプトアウト）のオプションも使われています。受信拒否（オプトアウト）オプションが偽ものである点は変わらず、受信されるスパムが減るわけではありません。
図 5. ヘイビアスデータ法を引用したスパムの免責事項
No. 28493 / 29246 / D. S. 031-2005-MTC はペルーの法律で、当然スペイン語で書かれています。他の国や地域から送信されたスペイン語のメールでも、この法律を引用して合法性を主張するものがあります。以下のサンプルでは、登録解除オプションとして Web メールに返信するように説明されています。
図 6. ペルーの法律 No. 28493 / 29246 を引用したスパムの免責事項
商用メールに関するフランスの 2 つの法律がスパムで確認されていますが、この例では適切な受信拒否（オプトアウト）オプションがユーザーに示されていません。受信拒否（オプトアウト）リンクがある場合には、ユーザーの個人情報が削除されるというメッセージの書かれた Web ページにリダイレクトされるのが一般的です。もちろん、実際に削除が実行されることはありません。
図 7. フランスの CNIL No 1291376 を引用したスパムの免責事項
まとめ
以上のサンプルから、スパマーが法律を都合よく利用してスパムを糊塗し、偽の合法性を演出しようとしていることは明らかです。残念ながら、受信したユーザーは今でもこの手口の犠牲になっています。
個人がいかなる通信についても受信を拒否する権利と、個人情報をデータベースから削除するよう請求する権利は、多くの国や地域で認められています。しかし、リストからの登録解除だけではなく、リストへの登録そのものを取り締まる強力な法律も同じくらい必要であることが、今回の事例から明らかになりました。スパマーは、登録を解除しても、別の送信リストに加えるだけだからです。ユーザー側でも、スパム対策の各法律によって個人にどのような権利が付与されるのか知っておくべきでしょう。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
シマンテックが検出した Downloader.Liftoh は、ユーザーに気づかれないまま侵入先のコンピュータにマルウェアをダウンロードするトロイの木馬です。
この脅威の新しい亜種が 5 月の初めに発見され、スペイン語圏の中南米諸国で検出されました。Downloader.Liftoh のこの亜種は英語ではなくスペイン語のメッセージを送信しますが、2012 年 10 月にこのブログで取り上げた W32.Phopifas に類似しています。
Downloader.Liftoh の作成者は、中南米でも人気の高い Skype や、他のインスタントメッセージアプリケーションをマルウェアの拡散に利用しています。
この攻撃は、サイバー犯罪者が攻撃に利用している Google 社の URL 短縮サービスを通じて、171,553 回のクリックを獲得したことが確認されています。
図 2. Downloader.Liftoh は、5 月 20 日以降全世界で 171,553 回のクリックを獲得
図 3. 中南米における Downloader.Liftoh のクリック数分布
マルウェアの拡散に、地理的な国境はありません。攻撃者に必要なのは、各言語に合わせてマルウェアのコードを書き換えて、新しい侵入先コンピュータを探すことだけです。個人のコンピュータやネットワークを侵入から保護するために、スパム対策やウイルス対策の機能を備えた統合セキュリティソリューションを導入し、常に最新の状態に保つことをお勧めします。また、たとえ知っている相手から届いた場合でも、疑わしいリンクをクリックしたり、怪しいファイルを開いたりしないようにしてください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
シマンテックは、URL が含まれるスパムの増加を確認しています。5 月 16 日に 84% から 96% へと 12% の増加を示して以来、URL スパムの比率は 95% から 99% の範囲で推移していました。つまり、この間に配信されたスパムメッセージのうち 95% に、少なくとも 1 つの URL が含まれていたということです。
図 1. URL スパムメッセージの比率
同期間に最も多く使われていたトップレベルドメイン（TLD）は .ru でした。.ru を含むスパムが減少すると、入れ替わるように .com を含むスパムと .pw を含むスパムが増加している点に注目してください（図 2）。TLD に .ru、.com、または .pw を含む URL スパムが、全体の 73% を占めています。
図 2. 上位 3 位までの TLD の比率（過去 7 日間）
表 1. TLD の上位 5 位が URL スパム全体に占める割合
.ru の TLD と、短縮 URL や無料 Web ドメインを組み合わせて使う例も増えています。確認されているスパムサンプルの多くは、一撃離脱タイプのスパムです（「かんじきスパム」とも呼ばれます）。スパムメッセージに記載されている URL をクリックすると、偽の広告や医薬品のオンライン販売サイトにリダイレクトされます。
スパムメールで確認されている件名の例を以下に挙げます。
図 3. URL スパムのメッセージ
URL スパムの急激な増加が見られたのは、2012 年 12 月と今年の 1 月、ちょうどホリデーシーズンを狙うスパムや年末スパムが増加した時期でした。シマンテックは、URL を含むスパムの増加を引き続き監視し、今後もこういった攻撃を遮断するためのフィルタを追加してお客様を保護します。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。