Category Archives: Security Response News

Destover: ???????????????????????????

Hacker Medic December 9, 2014 No Comments

Destover のいくつかのサンプルは Volgmer と C&C サーバーを共用しており、Jokra や Shamoon との類似点も見られます。

Twitter Card Style:

summary

Destover 1 edit.jpg

FBI は先週、Backdoor.Destover という破壊的なマルウェアに対する緊急警告を発表しました。Destover には、韓国を標的とした過去の攻撃といくつか共通点が見られます。Destover のいくつかのサンプルで使われているコマンド & コントロール（C&C）サーバーは、韓国内の標的を攻撃するために作成された、Trojan.Volgmer のあるバージョンで使われていたものと同じです。C&C サーバーが共用されていることで、この 2 つの攻撃の背後に同じグループが存在する可能性が浮上します。

Volgmer は標的型のマルウェアです。おそらく単一のグループが第 1 段階の偵察ツールとして限定的な攻撃に使用していると思われ、システム情報を収集し、さらに別のファイルをダウンロードして実行することができます。重要なのは、Destover と C&C サーバーを共用するバージョンの Volgmer は、特に韓国の標的を攻撃するよう設定されていて、韓国語版のコンピュータ上でのみ実行されることです。

また、Destover では、2013 年に発生した韓国に対する Jokra 攻撃と同じ手口やコンポーネント名も使われています。しかし、現時点では、これらの攻撃のつながりを示す確かな証拠は見つかっておらず、模倣犯である可能性も捨てきれません。さらには、Shamoon 攻撃との共通点も見られ、どちらの攻撃でも市場で入手可能な同一のドライバが利用されています。しかし、両者の背後に同一のグループが存在する可能性はきわめて低く、むしろ Destover 攻撃が Shamoon 攻撃の手口を真似たのでしょう。

Destover の活動
Destover は、特に大きな破壊力を備えたマルウェアであり、感染先のコンピュータの内容を完全に消去することが可能です。FBI の緊急警告でもこのことに触れられており、ある目立った攻撃において、少なくとも 1 つの Destover の亜種が利用されたと考えられています。

Destover に関する FBI の報告書には、いくつかの悪質なファイルが記載されています。

diskpartmg16.exe
net_ver.dat
igfxtrayex.exe
iissvr.exe

感染したコンピュータで最初に作成されるファイルが diskpartmg16.exe で、このファイルが実行されると、net_ver.dat および igfxtrayex.exe が作成されます。

「diskpartmg16.exe」は、実行されると、ある IP アドレス範囲内で特定の多数の IP アドレスに接続するとともに、「USSDIX[コンピュータ名]」という形式のコンピュータ名に接続します。つまり、この Destover の亜種は無差別な攻撃を意図したものではなく、特定の組織に所属するコンピュータのみを攻撃するよう設定されているのです。

Destover の破壊的なペイロードは igfxtrayex.exe によって配信され、igfxtrayex.exe は、実行されると、次のような操作を実行する場合があります。

固定ドライブおよびリモートドライブ上のすべてのファイルを削除する
パーティションテーブルを改ざんする
追加モジュール（iissvr.exe）をインストールする
ポート 8080 と 8000 で多数の IP アドレスに接続する

一方、Iissvr.exe は、ポート 80 で待機するバックドアです。攻撃者が侵入先のコンピュータに接続したときに、次のメッセージを表示します。

“We’ve already warned you, and this is just a beginning.

We continue till our request be met.

We’ve obtained all your internal data including your secrets and top secrets.

If you don’t obey us, we’ll release data shown below to the world.

Determine what will you do till November the 24th, 11:00 PM(GMT).

Post an email address and the following sentence on your twitter and facebook, and we’ll contact the email address.

Thanks a lot to God’sApstls [sic] contributing your great effort to peace of the world.

And even if you just try to seek out who we are, all of your data will be released at once.”

（今まで警告してきたが、これは始まりに過ぎない。

要求が叶えられるまで攻撃を継続する。

機密情報や極秘情報など、あらゆる内部データを入手済みだ。

要求に従わない場合、以下のデータを全世界に公開する。

11 月 24 日午後 11 時（GMT）までに、どうするか決めろ。

電子メールアドレスと次の文章を Twitter と Facebook に投稿すれば、こちらからメールで連絡する。

世界平和のために多大な貢献をした God’sApstls（原文ママ）に深く感謝する。

我々の身元を詮索しようとしただけでも、全データをただちに公開する）

Volgmer とのつながり
Destover のいくつかのサンプルは、過去に Trojan.Volgmer の複数の亜種によって使われた C&C サーバーに接続します。シマンテックは数カ月にわたって Trojan.Volgmer を追跡してきました。Volgmer は、感染先のコンピュータでバックドアを開く機能を備えているため、C&C サーバーと通信して、システム情報の取得、コマンドの実行、ファイルのアップロード、ファイルのダウンロードと実行などの操作を行うことができます。

興味深いことに、Destover と C&C サーバーを共用する Volgmer の亜種は、侵入先のコンピュータの地域設定が「韓国」でない場合には実行を停止するよう設定されています。

Jokra とのつながり
Destover の攻撃者が使用しているファイル名などのコンポーネントや手口は、2013 年に発生した韓国に対する Jokra 攻撃と類似しています。Jokra 攻撃では韓国の銀行や放送局などのサーバーが停止したほか、通信会社の Web サイトが改ざんされました。

Jokra 攻撃で使われたマルウェアに含まれているコードは、指定した期間が経過するまではハードディスクドライブの消去を開始しません。Destover もまた、時間を置いてデータ消去を実行するよう設定されています。さらに、韓国での報道によると、2 つの攻撃で類似する多数のファイル名が利用されているようです（リンク先は韓国語）。

Shamoon 攻撃との類似点
また、Destover には、Shamoon 攻撃との共通点もいくつか見られ、Destover と Shamoon の攻撃者によって使われているマルウェア（W32.Disttrack）は、一部のドライバを共用しています。これらは悪質なファイルではなく、市場で入手可能なドライバです。Destover と Disttrack はどちらも破壊的なマルウェアですが、両者の背後に同一のグループが存在することを示す証拠はありません。

シマンテックの保護対策
シマンテック製品およびノートン製品は、この脅威を Backdoor.Destover として検出します。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Mind the gap: Are air-gapped systems safe from breaches?

Hacker Medic December 5, 2014 No Comments

Recent research has suggested several ways air-gapped networks could be compromised, but how realistic are these attack scenarios?

Twitter Card Style:

summary

Contributor: Candid Wueest

Industries that deal with sensitive information rely heavily on air-gapped systems to protect their critical data. However, while these systems are more secure than most others, there are ways to compromise them, potentially allowing attackers to steal the affected organizations’ highly sensitive data. From radio signal-emitting graphics cards to computers communicating through their speakers, are air gaps, once considered the Fort Knox of security measures, beginning to show cracks?

An air gap is a security measure that protects critical data by keeping one or more computers isolated from other unsecured networks, such as the internet, for example. System administrators may choose to air gap military systems, computerized medical systems, and control centers of critical infrastructure in order to protect data from attacks. Unfortunately, no system is 100 percent secure and there will always be a way to chip away at defenses. Several research reports have been making the news recently concerning ways in which air-gapped systems can be breached. Although some of the methods sound like they were taken straight out of a science fiction story, security researchers have definitely taken up the challenge of bridging the air gap.

Problems for would-be attackers
If an attacker wishes to breach an air-gapped system, they face three major hurdles:

Compromising a computer within the isolated network
To breach an air-gapped system, the attacker needs to infect at least one of the air-gapped computers with malware. This could be done by using an insider in the targeted firm or an outsider, such as a consultant, who may be able to get access to the isolated area and use a malware-infected USB drive to compromise the computer. Air-gapped computers could also be compromised in supply chain attacks, where the computer’s components are intercepted and tampered with during the manufacturing or shipping processes.
Sending commands to the compromised computer
Once a computer has been compromised, the attacker has to figure out how to send commands and updates to the malware. Normally, this would be conducted over the internet; however, anyone interested in taking on an air-gapped system needs to use a little more creativity.
Exfiltrating data from the compromised computer
Unless the attacker only wants to cause some damage, they’ll need to find a way to exfiltrate the stolen data from the air-gapped network.

Let’s get creative
In light of these challenges, let’s take a look at some of the recent air-gap attack research reports and talk about how much of a realistic threat, if any, each method poses and what can be done to stay protected.

Turn on, tune in, get the data out
Researchers have recently proved how it’s possible to exfiltrate data from an air-gapped network by using FM radio signals sent from a computer’s graphics card. The researchers’ created proof-of-concept malware called AirHopper that uses the computer’s video display adapter to broadcast FM-compatible radio signals to a device with an FM receiver. The researchers were able to create an image pattern that generates a carrier wave modulated with a data signal. The image sent to the computer monitor looks indistinguishable from regular visual output but contains extra data that is transmitted as FM radio signals.

Attackers using this technique could infect computers with malware using USB devices or by way of supply-chain tampering. As for the receiver, this could be any modern smartphone, as most contain built-in FM receivers. The smartphone could belong to someone involved in the attack or someone who has had their device compromised. As smartphones are connected to the internet, they would be easier to compromise than a computer in an air-gapped network through a range of techniques like compromised websites or malicious emails.

The receiver needs to be within eight yards (seven meters) of the broadcasted radio signals in order to work. The researchers say they can transmit about 13 to 60 bytes a second in their tests, which is more than enough data to include login credentials and other sensitive information. For instance, an attacker with a receiver would only need to be in range of the compromised computer’s monitor for roughly eight seconds to download a 100-byte password file.

The technique is similar to how TEMPEST attacks are carried out; however, a TEMPEST attack only allows the attacker to spy on what is being displayed on the computer’s monitor.

Real world implications and mitigation
This technique is the most plausible for data exfiltration. Compromising smartphones is something that is well within the capabilities of cybercriminals and nation states, so exfiltrating the stolen data would not be a major hurdle. When it comes to mitigation, banning the use of mobile devices within a certain range of the air-gapped system may be one solution. However, if that is impractical, the use of electromagnetic shielding would stop any signals being transmitted from the isolated network.

Whispering malware
A recent research report detailed a system that uses inaudible sound as a means of communication, allowing data to be passed between computers that have no network connection. The researchers developed a proof-of-concept program that uses the built-in microphones and speakers found in many computers to transmit small amounts of data over a distance of roughly 65 feet (20 meters). However, this distance could be extended by a great deal using what the researchers call an acoustical mesh network of compromised computers that effectively relay the data to each other.

As most adults can hear sounds between 100Hz and 20kHz, anything outside of this range should be inaudible. According to the researchers, most commercial soundcards operate at a frequency of 48kHz though in their tests, most speakers wouldn’t work above 23kHz. This meant that the researchers needed to transmit at a frequency somewhere in the rage of 20kHz to 23kHz.

The scientists experimented with several different methods to send data between two laptops using only sound. The most effective method used a system originally developed to acoustically transmit data under water, called the adaptive communication system (ACS) modem. Bridging air-gapped systems using this method, however, only provides a bitrate of about 20 bits per second. As with the other method described in this blog, this relatively tiny transmission rate rules out the exfiltration of large files such as documents and images but does feasibly allow for sensitive data to be sent, such as passwords or encryption keys.

Real world implications and mitigation
Depending on whether or not computers within the air-gapped network are fitted with speakers and microphones, this technique could pose a moderate threat. However, as the researchers themselves note, there are several possible ways in which this type of attack vector can be mitigated. Disabling audio output and input devices is perhaps the most obvious countermeasure. The researchers recommend that system administrators should not fit air-gapped computers with audio output hardware to begin with. If needed, users could use headphones; however, these would need to be disconnected when not in use as they too can be used to transmit.

Operators could employ the use of audio filtering to block sound in a specific frequency range on air-gapped computers to avoid attacks. Finally, the researchers suggest the use of an audio intrusion detection guard that would analyze audio input and output and raise a red flag if it detects anything suspicious.

A more elaborate air-gap compromise: Dots, dashes, drones, and printers
Recent research presented at the 2014 Black Hat Europe conference showed how a malware-infected computer on an air-gapped network could receive and send attack commands through a multi-function printer’s scanner that the computer is connected to. To transmit data, an attacker would need to shine light, visible or infrared, into the room where the scanner is and while a scan is in progress.

The researchers devised a system to send and receive binary data using Morse code and say that several hundred bits can be sent during one scan, plenty to contain commands for the malware. Detecting the light from far away would be a problem but the researchers say this can be made easier with the use of a quadcopter drone.

An attacker could use a laser to send data from up to five kilometers away, although the researchers only tested the method up to 1,200 meters. An infected computer could be made to initiate a scan at a certain time or the attacker could wait until someone uses the scanner.

Real world implications
This method doesn’t pose much of a threat to air-gapped networks as it relies on several conditions being just right for it to work. Firstly, a successful breach would rely on there being a multifunction printer with a scanner connected to the isolated network and secondly, the scanner would need to be open or at least in use. But the most glaring problem with this attack technique is that if there is no window in the room where the isolated system is contained, it’s back to the drawing board for our would-be attackers.

Mind the gap
Air gaps are considered to be a reliable way to secure sensitive data and systems but no system is without its weaknesses. The examples discussed in this blog are all related to work carried out by security researchers in an effort to raise awareness around potential security weaknesses in air-gapped networks. Luckily, these researchers present their work to the public so that relevant measures can be put in place to protect against the weaknesses they highlight. Unfortunately, cybercriminals don’t publish their work in scientific journals or give talks at security conferences, so we have no way of countering their attack techniques until they’re uncovered. If there’s one thing we can be sure of, it’s that the bad guys are always hard at work figuring out new ways to get to the stuff we don’t want them to reach.

Destover: Destructive malware has links to attacks on South Korea

Hacker Medic December 4, 2014 No Comments

Some samples of Destover share a C&C server with Volgmer and also share similarities with Jokra and Shamoon.

Twitter Card Style:

summary

Destover 1 edit.jpg

Backdoor.Destover, the destructive malware that was the subject of an FBI Flash Warning this week, shares several links to earlier attacks directed at targets in South Korea. Some samples of Destover report to a command-and-control (C&C) server that was also used by a version of Trojan.Volgmer crafted to attack South Korean targets. The shared C&C indicates that the same group may be behind both attacks.

Volgmer is a targeted piece of malware, likely used by a single group, which has been used in limited attacks, possibly as a first stage reconnaissance tool. It can be used to gather system information and download further files for execution. Significantly, the version of Volgmer which shares a C&C with Destover was configured specifically to attack South Korean targets and will only run on Korean computers.

Destover also share some techniques and component names with the Jokra attacks against South Korea in 2013. However there is no hard evidence as yet to link the attacks and a copycat operation can’t be ruled out. Links also exist to the Shamoon Attacks, with both attackers using the same, commercially available drivers. However, in this instance it appears highly unlikely that the same group was behind both attacks and instead it would appear that the Destover attacks copied techniques from Shamoon.

Destover in action
Destover is a particularly damaging form of malware that is capable of completely wiping an infected computer. It was the subject of an FBI Flash Warning earlier this week after at least one variant of it was understood to have been used in a high profile attack.

There are several malicious files associated with the FBI Destover report:

diskpartmg16.exe
net_ver.dat
igfxtrayex.exe
iissvr.exe

Diskpartmg16.exe is the first file that is created on an infected computer and, when executed, it creates the files net_ver.dat and igfxtrayex.exe.

When “diskpartmg16.exe” is run, it connects to a number of specific IP addresses within a set IP range, as well as computer names in the format “USSDIX[Machine Name]”. This indicates that this variant of Destover was not intended to be indiscriminate and the malware had instead been configured to only attack computers belonging to one particular organization.

The destructive payload of Destover is carried by igfxtrayex.exe. In certain instances, when run, it will:

Delete all files on fixed and remote drives
Modify the partition table
Install an additional module(iissvr.exe)
Connect to a number of IP addresses on ports 8080 and 8000.

Iissvr.exe, meanwhile, is a backdoor which listens on port 80. Once an attacker communicates with the compromised computer, this file displays a message, which reads:

“We’ve already warned you, and this is just a beginning.

We continue till our request be met.

We’ve obtained all your internal data including your secrets and top secrets.

If you don’t obey us, we’ll release data shown below to the world.

Determine what will you do till November the 24th, 11:00 PM(GMT).

Post an email address and the following sentence on your twitter and facebook, and we’ll contact the email address.

Thanks a lot to God’sApstls [sic] contributing your great effort to peace of the world.

And even if you just try to seek out who we are, all of your data will be released at once.”

Links to Volgmer
Some samples of Destover seen by Symantec link to a C&C server that has been used by variants of Trojan.Volgmer in the past. Symantec has been tracking Trojan.Volgmer for several months. Volgmer is a threat capable of opening a back door on an infected computer, which allows the malware to communicate with a C&C server to retrieve system information, execute commands, upload files, and download files for execution.

Interestingly, the variants of Volgmer that share a C&C server with Destover are configured to end execution if the compromised computer’s region is not “Korea”.

Links to Jokra
The Destover attackers use techniques and components that are similar to those used in the Jokra attacks against South Korea in 2013. These attacks crippled servers belonging to several South Korean banks and broadcasting organizations and also defaced the website of a Korean telecoms firm.

The malware used in the Jokra attacks contained code that did not begin wiping the hard drive until a set time period expired. Destover is also configured to perform a delayed wipe. Furthermore, media outlets in South Korea have reported that a number of similar file names were used in both attacks (Korean language link).

Similarities to Shamoon attacks
Destover also share some commonalities with the Shamoon Attacks. Both Destover and the malware used by the Shamoon attackers (W32.Disttrack) share some drivers. These are not malicious files and are commercially available drivers. While both Destover and Disttrack are destructive forms of malware, there is no evidence to suggest that the same group is behind both attacks.

Symantec protection
Symantec and Norton products detect this threat as Backdoor.Destover.

??? ?? ?? ?? Destover? ???? ??? ??? ???

Hacker Medic December 4, 2014 No Comments

Destover의 일부 샘플이 Volgmer와 동일한 C&C 서버를 사용하며 Jokra 및 Shamoon과도 유사점이 있는 것으로 파악되었습니다

Twitter Card Style:

summary

Destover 1 edit.jpg

12월 첫 째주 FBI 긴급 경고(Flash Warning) 대상이었던 파괴력 강한 악성 코드 Backdoor.Destover와 앞서 한국에서 발생했던 공격 간에 몇 가지 공통점이 있습니다. 일부 Destover 샘플이 리포팅하는 C&C(명령 및 제어) 서버가 한국의 표적을 공격하기 위해 개발되었던 Trojan.Volgmer의 한 버전에서도 사용된 것입니다. 이러한 C&C 공유는 동일 조직이 두 공격의 배후에 있을 가능성을 시사합니다.

Volgmer는 일종의 표적 악성 코드로 단일 조직에서 사용하는 것으로 보입니다. 일부 한정된 공격에 동원되었으며 1단계 정찰 툴 역할을 담당하는 것 같습니다. 이 악성 코드는 시스템 정보를 수집하고 추가 실행 파일을 다운로드하는 데 이용될 수 있습니다. 특히 Destover와 동일한 C&C를 사용하는 Volgmer 버전은 한국의 표적을 공격하도록 구성되었으며 한국에 있는 시스템에서만 실행됩니다.

Destover는 2013년에 한국에서 발생한 Jokra 공격과도 몇 가지 기술 및 구성 요소 이름이 동일합니다. 그러나 아직 이들을 연결시킬 만한 명확한 증거는 없으며, 모방 범죄의 가능성도 배제할 수 없습니다. Shamoon 공격과도 연관성이 있는데, 두 공격에서 모두 동일한 상용 드라이버를 사용한 것입니다. 두 공격의 배후 조직이 동일할 가능성은 낮지만, Destover 분석을 통해 확인된 공격 기법은 Shamoon에서 사용된 기법들을 모방한 것처럼 보일 정도로 유사합니다.

Destover 현황
Destover는 감염된 시스템을 완전히 지울 수 있기 때문에 큰 피해를 야기시키는 악성 코드 유형입니다. 이 악성 코드의 변종 중 하나 이상이 잘 알려진 공격에 사용된 것으로 확인되자 FBI는 지난 주에 긴급 경보를 발효하기도 했습니다.

아래와 같은 몇 가지 악성 파일이 FBI Destover 보고서에서 언급된 내용과 연관되어 있습니다.

diskpartmg16.exe
net_ver.dat
igfxtrayex.exe
iissvr.exe

Diskpartmg16.exe는 감염된 시스템에서 맨 처음 생성되는 파일입니다. 이 파일이 실행되면 net_ver.dat와 igfxtrayex.exe라는 파일이 만들어집니다.

“diskpartmg16.exe”가 실행되면서 일련의 IP 범위에 속하는 다수의 특정 IP 주소 및 “USSDIX[시스템 이름]” 형식의 시스템 이름과 연결됩니다. 따라서 이 Destover 변종은 무차별적 공격을 위한 것이 아니며 어느 한 조직의 시스템만 공격하도록 구성된 악성 코드임을 알 수 있습니다.

Destover의 파괴적인 페이로드는 igfxtrayex.exe에 의해 전달됩니다. 실행 시 경우에 따라 아래와 같은 결과가 나타납니다.

고정 드라이브 및 원격 드라이브의 모든 파일 삭제
파티션 테이블 수정
추가 모듈(iissvr.exe) 설치
포트 8080 및 8000에서 다수의 IP 주소에 연결

한편 Iissvr.exe는 백도어로서 포트 80에서 수신 기능을 수행합니다. 공격자가 감염된 시스템과 통신하기 시작하면 이 파일은 아래와 같은 메시지를 표시합니다.

“우리는 이미 너희에게 경고했으며 이것은 시작일 뿐이다.

우리는 우리의 요구가 관철될 때까지 공격을 계속할 것이다.

우리는 너희의 비밀과 최고 기밀을 포함한 모든 내부 데이터를 확보했다.

우리의 요구를 따르지 않으면 아래와 같은 데이터를 세상에 공개할 것이다.

11월 24일, 11:00 PM(GMT)까지 어떻게 할 것인지 결정하라.

Twitter와 Facebook에 이메일 주소 하나와 다음 문장을 게재하면 그 주소로 연락하겠다.

세계 평화에 크게 이바지하는 God’sApstls(원문 그대로 표기)에게 감사한다.

우리의 정체를 밝히려는 시도만으로도 모든 데이터가 당장 공개될 것이다.”

Volgmer와의 연관성
시만텍이 분석한 일부 Destover 샘플은 과거 여러 Trojan.Volgmer 변종에서 사용했던 C&C 서버와 연관성이 있습니다. 시만텍은 몇 개월간 Trojan.Volgmer를 추적했습니다. Volgmer는 감염된 시스템의 백도어를 열 수 있는 보안 위협으로, 이를 통해 악성 코드가 C&C 서버와 통신하면서 시스템 정보를 검색하고 명령을 실행하며 파일을 업로드하고 실행 파일을 다운로드합니다.

흥미로운 것은 Destover와 같은 C&C 서버를 사용하는 Volgmer 변종이 감염된 시스템의 국가가 “한국”이 아닐 경우 실행을 종료하도록 구성되었다는 점입니다.

Jokra와의 연관성
Destover 공격자는 2013년에 한국에서 발생한 Jokra 공격과 유사한 기법과 구성 요소(예: 파일 이름)를 사용합니다. Jokra는 한국의 몇몇 은행과 방송사에서 서버 장애를 일으키고 한 한국 통신사의 웹 사이트를 손상시키기도 했습니다.

Jokra 공격에 이용된 악성 코드에는 지정된 기간이 만료되어야 하드 드라이브 지우기를 시작하는 코드가 들어 있었습니다. 또한 Destover는 시간차를 두고 지우기를 수행하도록 구성되었습니다. 그 외에도 한국 언론 보도에 따르면, 두 공격에서 다수의 유사한 파일 이름이 사용되었습니다.

Shamoon 공격과의 유사점
Destover는 Shamoon 공격과도 몇 가지 공통점이 있습니다. Destover와 Shamoon 공격에 사용된 악성 코드(W32.Disttrack)는 몇몇 동일한 드라이버를 사용합니다. 이는 악성 파일이 아닌 상용 드라이버입니다. Destover와 Disttrack 모두 파괴적인 악성 코드이지만 두 공격의 배후 조직이 같다는 증거는 없습니다.

시만텍의 보호 방안
시만텍 및 노턴 제품은 이 보안 위협을 Backdoor.Destover로 탐지합니다.

Destover: Un malware destructivo relacionado con ataques en Corea del Sur

Hacker Medic December 4, 2014 No Comments

Algunas muestras de Destover comparten un servidor C&C con Volgmer y también tienen características en común con Jokra y Shamoon.

Twitter Card Style:

summary

Destover 1 edit.jpg

Backdoor.Destover es un malware destructivo, que fue el tema central de un aviso lanzado hace algunos días por el FBI relacionado con diversos ataques que se presentaron en Corea del Sur. Algunas muestras de Destover reportan a un servidor C&C (comando y control) que también fue utilizado por una versión de Trojan.Volgmer, diseñado para atacar blancos en ese país. El servidor C&C compartido indica que un mismo grupo se podría estar detrás de ambos ataques.

Volgmer es un malware dirigido, presuntamente utilizado por un solo grupo, el cual ha sido utilizado en ataques limitados, posiblemente como una herramienta durante una etapa inicial de reconocimiento. Puede ser utilizado para recopilar información del sistema y descargar archivos para su ejecución. Es importante señalar que la versión de Volgmer, que comparte un servidor C&C con Destover, fue configurada específicamente para atacar blancos en Corea del Sur y solo se ejecuta en computadoras sudcoreanas.

Destover también comparte ciertas técnicas y nombres de componentes con los ataques Jokra, realizados contra Corea del Sur en 2013. Sin embargo, todavía no existe evidencia sólida para vincular los ataques, y una operación similar no podría ser descartada. También existen similitudes con los ataques Shamoon, con ambas ofensivas utilizando los mismos drivers, que están disponibles comercialmente. No obstante, es esta instancia, es poco probable que el mismo grupo está detrás de ambos ataques y al contrario, pareciera que los ataques Destover copiaron técnicas de Shamoon.

Destover en acción

Destover es una forma particular de malware altamente destructivo, que tiene la capacidad de borrar en su totalidad a una computadora infectada. Fue el tema central de un aviso lanzado por el FBI hace unos días y se presume que por lo menos una de sus variantes podría haber sido utilizada para realizar un ataque de alto perfil.

Existen diferentes archivos maliciosos asociados con el reporte Destover del FBI:

diskpartmg16.exe
net_ver.dat
igfxtrayex.exe
iissvr.exe

Diskpartmg16.exe es el primer archivo que se crea en una computadora infectada y cuando se ejecuta, crea los archivos “net_ver.dat” y “igfxtrayex.exe”.

Cuando “diskpartmg16.exe” se ejecuta, se conecta a varias direcciones IP, dentro de un rango específico IP, así como a computadoras con nombres de en el formato “USSDIX[Machine Name]”. Esto indica que esta variante de Destover no fue desarrollada para diferenciar, y al contrario, el malware ha sido configurado para solo atacar a equipos que pertenecen a la misma organización.

La acción destructiva de Destover se lleva a cabo por parte de “igfxtrayex.exe”. En ciertas instancias, y cuando se ejecuta podría:

Eliminar todos los archivos en discos fijos y remotos
Modificar la tabla de partición
Instalar un módulo adicional (iissvr.exe)
Conectar un número direcciones IP en los puertos 8080 y 8000

Al mismo tiempo, “iissvr.exe” es una puerta trasera que escucha en el puerto 80. Cuando el atacante se comunica con la computadora comprometida, este archivo despliega un mensaje en inglés, que traducido dice:

“Ya te hemos advertido, y este es solo el comienzo.

Continuaremos hasta que se cumplan nuestras demandas.

Hemos obtenido todos tus datos internos, incluyendo tus secretos más ocultos.

Si no nos obedeces, revelaremos al mundo los datos que se muestran abajo.

Tienes hasta el 24 de noviembre a las 11:00 PM (GMT) para tomar una decisión.

Publica un correo electrónico y la siguiente frase en tu twitter y Facebook, y te contactaremos a través de esa dirección de correo:

Muchas gracias a God’sApstls [sic] por contribuir con este gran esfuerzo a la paz mundial.

Si tratas de rastrearnos, tu información será publicada de inmediato.”

Relación con Volgmer

Algunos ejemplos de Destover, analizados por Symantec, están ligados a un servidor C&C que ha sido utilizado por variantes de Trojan.Volgmer y Symantec lo ha rastreado durante varios meses. Volgmer es una amenaza capaz de abrir una puerta trasera en una computadora infectada, que permite al malware comunicarse con un servidor C&C para obtener información del sistema, ejecutar comandos, subir archivos y descargar archivos para su ejecución.

Es de llamar la atención que las variantes de Volgmer que comparten el servidor C&C con Destover, están configuradas para detener la ejecución si la región de la computadora comprometida no corresponde a Corea.

Relación con Jokra

Los agresores de Destover utilizan distintas técnicas y componentes que son similares a aquellos utilizados durante los ataques de Jokra contra Corea del Sur en 2013. Estos ataques afectaron a servidores pertenecientes a diversos bancos sudcoreanos, organizaciones de comunicación y también truncaron el sitio web de una firma local de telecomunicaciones.

El malware utilizado durante los ataques Jokra, contenía un código que comenzaba a borrar el disco duro hasta después de que expiraba cierto periodo de tiempo. Destover también está configurado para borrar los archivos de manera tardía. Además, diversos medios de comunicación sudcoreanos han reportado que varios archivos con nombres similares fueron utilizados en ambos ataques (liga en idioma coreano).

Similitudes con los ataques Shamoon

Destover también comparte cosas en común con los ataques Shamoon. Tanto Destover como el malware utilizado por los criminales de Shamoon (W32.Disttrack) comparten ciertos drivers. Estos no son archivos maliciosos y son drivers que comercialmente están disponibles. Mientras Destover y Disttrack son formas destructivas de malware, aún no hay evidencia que sugiera que el mismo grupo está detrás de ambos ataques.

Protección de Symantec

Los productos de Symantec y Norton detectan esta amenaza como Backdoor.Destover.

Smart security for today’s smart homes: Don’t let attackers spoil your Christmas

Hacker Medic December 3, 2014 No Comments

Many smart home solutions contain flaws that could allow attackers to access your network and potentially compromise your home’s security

Twitter Card Style:

summary

Contributor: Mario Ballano

With the holiday season around the corner, thoughts turn to a warm home brightened up by the twinkle of seasonal decorations. If you’re a geek like me, it’s always tempting to opt for the high-tech solution and control your festive lights with one of the growing number of home automation devices available. However, Symantec has found that some of these devices contain security flaws that could allow attackers to gain access to your home network.

Two home automation hubs tested by Symantec had multiple security flaws that could potentially allow attackers to gain access to the hubs themselves and, by extension, to other devices connected to them. The issues aren’t specific to these particular hubs; any connected device is potentially at risk. Many more smart home devices potentially have similar security flaws.

While the explosion of internet-enabled devices, known as the Internet of Things (IoT), holds exciting possibilities for home automation, it also presents some serious security challenges and home users need to be aware that it isn’t just their PCs or smartphones that could be compromised by attackers.

A Pandora’s Box
There is a huge range of smart home devices that could find their way into your house this holiday season:

Smart power plugs to control Christmas lights
CCTV cameras to catch Santa’s visit
Smart smoke detectors in case the Christmas tree catches fire
Smart entertainment systems, allowing the festive music to follow you from room to room
Smart thermostats to keep your home nice and warm
Smart door locks to keep unwanted guests out
Security alarm systems to keep your home safe while on vacation

Many of these smart home devices connect wirelessly to a central hub which lets you manage them all from a smartphone or web browser. Apart from Wi-Fi, smart home devices use a wide range of communication protocols, such as Powerline, Z-Wave, Zigbee, in addition to custom radio protocols. We started our analysis with two smart power plug and hub combinations.

Smart hubs and security
The first hub we looked at uses Wi-Fi and its own radio protocol for communication. To ensure that the hub is running the latest version of its firmware, it periodically checks the internet for firmware updates. This is a good practice, as users are unlikely to manually update their IoT devices themselves and could potentially fall foul of unpatched, exploitable vulnerabilities.

However, in this case, the firmware updates were not digitally signed and were downloaded from an open Trivial File Transfer Protocol (TFTP) server. This could allow an attacker on the same network to redirect the device to a malicious TFTP server. There are several means of doing this such as through Address Resolution Protocol (ARP) poisoning or by changing the domain name system (DNS) settings. The TFTP server could then send a malicious firmware update to the device. If this happens, then the complete setup would be compromised and other connected devices could be attacked, as the attacker would have full control over the hub.

This same smart hub uses a custom radio transmission protocol for sending commands to connected devices without any additional authentication or security implementation. Unfortunately, this allows for successful replay attacks. These are very simple attacks which allow an attacker within range of the network to intercept some of the traffic and then replay it back over the network. For example, a signal to open a garage door captured while you are leaving the house could be used again later in the day to gain access. The same can be done for turning on or off lights. The attacker doesn’t even need to understand the protocol, they simply have to capture the signal used to issue a command a replay it.

The user can store this hub’s configuration details in a cloud service, allowing them to manage the device from the internet through any web browser. Unfortunately, the user’s account is protected by a simple, four-digit PIN code. This can be easily cracked with the tools available to today’s attackers.

Apart from the problem of an attacker guessing the PIN code (especially considering how “1234” is a common, unsecure PIN choice for many users), there are other issues with this particular cloud service. We discovered that the backend server is susceptible to a blind SQL injection attack. This could potentially reveal other users’ configuration details or may even let the attacker take control of other accounts. This could let the attacker switch off Christmas tree lights, or worse, without even being close to the house.

Unfortunately, the second smart home hub that we tested was not much better. This one did not use any authentication method for commands that were sent in the internal network. If an attacker is on the same Wi-Fi network as the hub, then they could gain control of any device connected to the hub. They could even go a step further, as the hub had a remote code execution vulnerability, allowing the attacker to execute arbitrary commands with root privileges on the hub.

Risks to your smart home
These hubs are just two examples of what we managed to compromise in a short space of time and are the latest in a long line of security flaws found in smart home devices. For example, there have been cases where people modified the thermostat of their ex-spouse or disabled security locks. Recent reports warned of how thousands of webcams and baby monitors are accessible to anyone from the internet. There have also been reports of people taking control of home automation systems belonging to others.

In general, we have found that smart home device sensors can be attacked directly, for example by modifying the firmware through physical access to the device’s JTAG interface. The attackers could then sell the modified device to someone else, potentially compromising other devices or networks in their home.

Depending on the Wi-Fi network’s security settings, attackers could intercept communications from an IoT device to the central hub, smartphone, or the cloud and inject their own commands.

Additionally, if a backend cloud server is used for remote administration, this part also needs to be protected. Attackers could attempt to brute-force passwords to gain access to this server.

You may say that switching someone’s lights on and off is not such a big deal. This may be true, but the effects of a smart home attack are more relevant to security when you are on vacation. Some people may use remote-controlled lights to pretend that someone is still at home to keep burglars away. Smart thieves could also use open IP webcams to check if the owners are at home and where their valuable items are.

Another possible avenue for attackers to explore would be to apply the proven-to-work model of ransomware to the smart home. The homeowner could be coerced to pay a ransom in order to turn up the heating or even just to watch TV. This is a creepy potential paradise for stalkers, burglars, and other shady characters.

Smart protection
You should be vigilant when installing smart home devices and make sure that you understand the devices’ configuration settings. We at Symantec will keep our eyes open on the smart home device market and continue to inform vendors about discovered weaknesses in the devices we study.

Security varies a lot with different smart home devices, so it is difficult to give generic advice to users. Here are a few points to consider when installing smart home devices:

Only enable remote administration from the internet if you really need it
Set a strong password for the devices where possible
Use strong passwords and WP2 encryption to protect your Wi-Fi network
Use trusted smart home brands from companies that invest in security

Smart security for today’s smart Segurança inteligente para casas inteligentes: Não de: Don’t let attackers spoil your Christmas

Hacker Medic December 3, 2014 No Comments

Resumo: A Symantec avalia a segurança de dispositivos inteligentes em casas automatizadas: interruptores, tomadas, timers, termostatos, detectores de fumaça, travas e alarmes.

Twitter Card Style:

summary

Contribuição de: Mario Ballano

(imagem: Natal em uma casa inteligente – Não deixe que os ajudantes domésticos inteligentes do Papai Noel estraguem seu Natal)

Com a aproximação das festas de final de ano, a hora das decorações luminosas chegou novamente. Como um geek, eu sou naturalmente atraído por luzes piscantes que podem ser controladas por meio de dispositivos eletrônicos e logo fiquei empolgado ao ver todas as diferentes ferramentas inteligentes e recursos de automação residencial disponíveis no mundo da Internet das Coisas (IoT).

No entanto, considerando a quantidade de possíveis problemas de segurança que os aparelhos IoT podem gerar, será que eu abriria a Caixa de Pandora ao instalá-los em casa? Antes de utilizar esses aparelhos IoT, queria saber mais sobre o real nível de segurança destes aparelhos para lares inteligentes.

Há uma variedade enorme de dispositivos domésticos inteligentes que podem ser utilizados na temporada de festas, como por exemplo:

Interruptores inteligentes para controlar luzes de Natal;
Câmera CFTV de vigilância inteligente para filmar o Papai Noel;
Detector de fumaça inteligente, caso minha árvore de Natal pegue fogo;
Sistema inteligente de entretenimento para que as músicas festivas me acompanhem de um cômodo a outro;
Termostato inteligente para deixar minha casa quente e aconchegante;
Travas inteligentes para portas que impedem a entrada de visitantes indesejados;
Sistema de alarme de segurança na janela, que deixe minha casa segura quando sair de férias, entre outros.

Muitos destes dispositivos têm conexão sem fio com um hub central, que me permite gerenciar os aparelhos a partir de um smartphone ou navegador de internet. Além de se conectarem ao Wi-Fi, eles também utilizam uma ampla variedade de protocolos de comunicação, como Powerline, Z-Wave, Zigbee e protocolos customizados de rádio.

Assim, começamos nossa análise com duas combinações de interruptores inteligentes e o hub.

Hubs inteligentes e segurança
O primeiro hub utiliza Wi-Fi e seu próprio protocolo de rádio para a comunicação. Para garantir que ele esteja rodando a versão mais recente do firmware, ele verifica periodicamente a internet em busca de atualizações. Essa é uma boa prática, já que é improvável que os usuários atualizem seus dispositivos IoT manualmente, o que poderia criar o risco de vulnerabilidades exploráveis sem patches.

Entretanto, infelizmente neste caso, as atualizações de firmware não continham assinatura digital e eram baixadas de um servidor aberto de Protocolo de Transferência de Arquivos Triviais (TFTP). Tal fato pode permitir que um cibercriminoso na mesma rede redirecionasse o aparelho para um servidor TFTP malicioso, por exemplo, através de modificações no Protocolo de Resolução de Endereços (ARP) ou alterando os ajustes de sistema de nome de domínio (DNS). O servidor TFTP poderia, então, enviar uma atualização maliciosa de firmware para o dispositivo doméstico inteligente. E, se isso acontecer, toda a instalação seria comprometida e outros aparelhos poderiam ser atacados, já que o criminoso teria controle total sobre o hub.

O mesmo smart hub utiliza um protocolo customizado de transmissão por rádio para enviar comandos aos aparelhos conectados sem nenhuma autenticação adicional ou implementação de segurança. Infelizmente, isso permite o sucesso de ataques simples de replay. Se um atacante estiver próximo à rede, por exemplo, do lado de fora da casa, ele pode interceptar parte do tráfego e repetir os pacotes para apagar as luzes ou abrir o portão da garagem. E, mesmo que ele não entenda o protocolo, ele pode conduzir um replay de uma sessão gravada para repetir um comando.

Além disso, o usuário pode armazenar os detalhes de configuração do hub em um serviço de nuvem, possibilitando que o aparelho de smart hub seja gerenciado pela internet, a partir de qualquer navegador. A conta do usuário é protegida por um código PIN simples, de quatro dígitos, que definitivamente é curto demais para o mundo atual. Mas, além do problema de um atacante adivinhar o código (principalmente se considerarmos que “1234” é uma escolha comum e insegura para muitos usuários), há outras questões com este serviço de nuvem em particular. Constatamos que o servidor de backend é suscetível a um ataque de injeção cega de SQL. E isso tem o potencial de revelar outros detalhes de configuração do usuário ou até permitir que o atacante assuma o controle de outras contas. Ou seja, o atacante pode até mesmo desligar as luzes da árvore de Natal sem ao menos estar perto da casa.

Infelizmente, o segundo hub que analisamos não foi muito melhor. Este não utiliza nenhum método de autenticação para comandos enviados na rede interna. Se um atacante estiver na mesma rede Wi-Fi do hub, ele pode adquirir o controle sobre todos os outros aparelhos. Ele pode até ir um passo além, já que o hub tinha uma vulnerabilidade de execução de código remoto, executando comandos arbitrários com privilégios raiz sobre o hub.

Riscos para sua casa inteligente
Estes hubs são apenas dois exemplos do que conseguimos comprometer em um período curto. Há muitos outros aparelhos para casas inteligentes que podem ter falhas de segurança.

Já foi constatado que alguns dispositivos domésticos têm o mesmo tipo de problema, como casos onde pessoas alteraram o termostato do ex-cônjuge ou desativaram travas de segurança. Relatórios recentes alertam sobre como milhares de webcams de IP e babás eletrônicas são acessíveis a qualquer pessoa na internet. Também houve relatos de pessoas ganhando o controle sobre sistemas de automação residencial de terceiros.

De modo geral, vemos que sensores de dispositivos domésticos inteligentes podem ser diretamente afetados, por exemplo, modificando o firmware através de acesso físico à interface JTAG do aparelho. Os criminosos podem, assim, vender o aparelho modificado a outra pessoa, comprometendo outros aparelhos ou redes de sua casa.

E, dependendo dos ajustes de segurança da rede de Wi-Fi, os atacantes podem interceptar as comunicações do dispositivo IoT para o hub central, smartphone ou nuvem, e injetar seus próprios comandos.

Além disso, se o servidor de backend da nuvem for utilizado para administração remota, essa parte deve estar protegida, já que atacantes podem tentar forçar senhas para obter acesso a este servidor.

Você pode dizer que acender ou apagar as luzes de outra pessoa não traz um grande problema. Pode ser, mas os efeitos de um ataque à casa inteligente são mais relevantes para a segurança quando você está de férias. Algumas pessoas podem usar luzes controladas remotamente para fingir que ainda há alguém em casa e afastar ladrões. Ladrões inteligentes poderiam usar webcams de IP abertas para verificar se os donos estão em casa e onde estão seus itens mais valiosos.

Outra possível via de acesso que pode ser explorada por atacantes seria aplicar o modelo de ransomware (rapto de softwares) à residência inteligente. O dono da casa seria, então, coagido a pagar um resgate para poder aumentar a calefação ou até mesmo assistir TV.

Este é um assustador paraíso para perseguidores, ladrões e outros personagens obscuros. Se eles encontrarem falhas nos sensores de segurança ou travas de portas, conseguem tudo de que precisam para arruinar seu fim de ano.

Proteção inteligente
É por isso que você deve estar atento ao instalar dispositivos domésticos inteligentes e garantir que entende bem os ajustes de configuração dos aparelhos. Nós da Symantec ficaremos de olho no mercado de aparelhos domésticos inteligentes e continuaremos a informar os fornecedores sobre pontos fracos descobertos.

A segurança varia muito em diferentes aparelhos domésticos inteligentes, portanto é difícil dar conselhos genéricos aos usuários. Seguem alguns pontos a serem considerados ao instalar aparelhos domésticos inteligentes:

Habilite a administração remota pela internet apenas se for realmente necessário
Defina uma senha forte para os aparelhos quando possível
Utilize senhas fortes e criptografia WP2 para proteger sua rede de Wi-Fi
Utilize marcas confiáveis para casas inteligentes, que invistam em segurança.

??? ?? ?? ??? ??: ?? ??? ??? ??? ?????? ??? ??

Hacker Medic December 3, 2014 No Comments

많은 스마트 홈 솔루션에 포함된 취약점을 통해 공격자가 네트워크에 액세스하여 여러분의 보금자리를 위태롭게 할 수 있습니다.

Twitter Card Style:

summary

작성자: Mario Ballano

크리스마스 휴가가 얼마 남지 않은 지금, 이 계절에 어울릴 법한 크리스마스 트리가 반짝이는 따스한 집이 떠오릅니다. 저와 같은 기술 매니아라면 하이테크 솔루션을 도입하고 다양하게 공급되는 홈오토메이션 장치로 크리스마스 장식의 조명을 컨트롤하고 싶은 생각이 들 것입니다. 하지만 시만텍이 조사한 바에 따르면, 이러한 장치 중 일부에 있는 보안 결함이 공격자가 홈 네트워크에 액세스하는 데 이용될 수 있습니다.

시만텍이 테스트한 두 가지 홈오토메이션 허브는 여러 보안 결함을 보유하여 공격자가 허브 자체뿐 아니라 확장을 통해 그 허브에 연결된 다른 장치에도 접근하도록 허용할 수 있습니다. 이 경우 허브만이 아니라 연결된 모든 장치가 위험합니다. 다른 여러 스마트홈 장치에서도 이와 비슷한 보안 결함이 발견될 수 있습니다.

소위 사물 인터넷(IoT)이라고 하는 인터넷 기반 장치가 폭발적으로 증가하면서 홈오토메이션의 무궁무진한 가능성이 발굴되고 있지만, 그와 동시에 심각한 보안 과제도 대두했습니다. 홈 사용자는 공격 대상이 PC와 스마트폰에 한정되지 않음을 알고 있어야 합니다.

판도라의 상자
이번 휴가 시즌에는 각종 스마트 홈 장치가 사용될 것입니다.

크리스마스 조명을 컨트롤하는 스마트 전원 플러그
산타의 방문을 지켜보기 위한 CCTV 카메라
크리스마스 트리에 불이 붙을 경우에 대비한 스마트 연기 탐지기
집 안 곳곳에서 크리스마스 캐롤을 들려주는 스마트 엔터테인먼트 시스템
따뜻하고 아늑한 실내 분위기를 만드는 스마트 온도 조절 장치
불청객을 막는 스마트 도어 잠금 장치
휴가 여행으로 비운 집을 안전하게 지켜주는 스마트 보안 시스템

이러한 스마트 홈 장치 중 상당수는 무선으로 중앙 허브에 연결되므로 스마트폰이나 웹 브라우저에서 모두 관리할 수 있습니다. 스마트 홈 장치는 Wi-Fi 외에도 Powerline, Z-Wave, Zigbee 등 다양한 통신 프로토콜과 맞춤형 무선 프로토콜까지 사용합니다. 이번에는 먼저 두 가지 스마트 전원 플러그와 허브의 조합을 분석했습니다.

스마트 허브와 보안
우리가 살펴본 첫 번째 허브는 Wi-Fi와 자체 고유 무선 프로토콜을 통신에 사용합니다. 이 허브는 항상 최신 버전의 펌웨어를 실행하기 위해 정기적으로 인터넷에서 펌웨어 업데이트를 검색합니다. 이는 적절한 조치입니다. 사용자가 직접 IoT 장치를 업데이트하지 않을 가능성이 있고, 그러면 패치가 없는 상태에서 취약점에 대한 익스플로잇 공격으로 이어질 수 있기 때문입니다.

하지만 이번 테스트 결과 펌웨어 업데이트가 디지털 서명 없이 개방형 TFTP(Trivial File Transfer Protocol) 서버에서 다운로드되었습니다. 이 경우 동일 네트워크상의 공격자가 이 장치를 악성 TFTP 서버로 리디렉션할 수 있습니다. 이를테면 ARP(Address Resolution Protocol) 포이즈닝 수법을 구사하거나 DNS(도메인 이름 시스템) 설정을 변경하는 등 여러 가지 방법으로 가능합니다. 그런 다음 TFTP 서버가 장치에 악성 펌웨어 업데이트를 보낼 수 있습니다. 그러면 이 장치 전체가 감염되고 연결된 장치도 공격받을 수 있습니다. 공격자가 허브를 완전히 제어할 수 있게 되기 때문입니다.

이 스마트 허브는 연결된 장치에 명령을 보내는 데 추가 인증 또는 보안 구현 없이 맞춤형 무선 전송 프로토콜을 사용합니다. 안타깝게도 그로 인해 재생(Replay) 공격이 성공할 수 있습니다. 이는 해당 네트워크 범위에 있는 공격자가 일부 트래픽을 가로챈 다음 네트워크를 통해 재생하는 매우 단순한 공격입니다. 예를 들어, 외출하면서 차고 문을 여는 데 사용한 신호를 포착했다가 바로 그날 얼마 후에 이 신호를 통해 침입할 수 있습니다. 조명을 켜고 끄는 것도 마찬가지입니다. 공격자가 프로토콜을 알 필요도 없습니다. 단지 신호만 포착하여 재생 명령을 실행하면 됩니다.

사용자는 이 허브의 구성 세부 사항을 클라우드 서비스에 저장해두고 인터넷을 통해 임의의 웹 브라우저에서 장치를 관리할 수 있습니다. 안타깝게도 사용자 계정의 보호 장치는 요즘 공격자들이 이용하는 툴로 쉽게 알아낼 수 있는 단순한 4자리 PIN 코드입니다.

공격자가 PIN 코드를 알아낼 위험(특히 “1234”와 같이 안전하지 않은 PIN을 사용하는 경우가 많음) 외에도 이 클라우드 서비스는 여러 가지 문제점을 안고 있습니다. 우리가 알아낸 바에 따르면, 백엔드 서버는 블라인드 SQL 인젝션 공격에 취약합니다. 이 경우 다른 사용자의 구성 정보가 공개되거나 공격자가 다른 계정을 장악할 수도 있습니다. 그러면 공격자가 집 근처가 아닌 원격지에서도 크리스마스 트리 조명을 꺼버리는 것도 가능합니다.

시만텍이 테스트한 두 번째 스마트 홈 허브도 나을 바 없었습니다. 인터넷 네트워크에 전송되는 명령에서 그 어떤 인증 방식도 사용하지 않았습니다. 공격자가 허브와 동일한 Wi-Fi 네트워크에 있을 경우 허브에 연결된 모든 장치를 제어할 수 있습니다. 게다가 이 허브는 원격 코드 실행 취약점이 있어 공격자가 허브에 대한 루트 권한으로 임의의 명령을 실행하는 것도 가능합니다.

스마트 홈을 노리는 위험 요소
이러한 허브는 짧은 시간에 공격 가능하며 스마트 홈 장치에 포함된 각종 보안 결함 중 최신 유형에 속하는 2가지 예일 뿐입니다. 헤어진 배우자 집의 온도 조절 장치를 바꿔 놓거나 보안 잠금 장치가 작동하지 않도록 한 사례도 있습니다. 최근 보도에서 경고한 바에 따르면, 수천 대의 웹캠과 베이비 모니터는 인터넷상에 있는 누구라도 액세스 가능합니다. 또한 다른 사람의 홈오토메이션 시스템을 장악하여 제어한 사건도 보도된 바 있습니다.

일반적으로 스마트 홈 장치 센서는 장치의 JTAG 인터페이스에 직접 액세스하여 펌웨어를 수정하는 등의 방법으로 직접적인 공격이 가능합니다. 공격자가 이렇게 수정한 장치를 누군가에게 팔아 넘기면, 그 집의 다른 장치나 네트워크도 공격받을 위험이 있습니다.

공격자는 Wi-Fi 네트워크의 보안 설정에 따라 IoT 장치에서 중앙 허브, 스마트폰, 클라우드로 전달되는 통신을 가로채고 대신 본인의 명령을 집어넣을 수 있습니다.

또한 백엔드 클라우드 서버가 원격 관리에 사용되는 경우 이 역시 보호해야 합니다. 공격자가 무차별적인 수법으로 암호를 알아내 서버에 액세스할 수 있습니다.

다른 사람의 조명을 켜거나 끄는 것이 무슨 큰 문제가 되겠냐고 할 수도 있습니다. 하지만 휴가로 집을 비웠을 때 스마트 홈 공격 효과는 보안과 직결됩니다. 원격으로 조명을 제어하여 누군가가 집에 있는 것처럼 꾸며 도둑을 퇴치할 수도 있습니다. 한편 지능적인 도둑이 개방형 IP 웹캠을 사용하여 집 주인이 실제로 있는지, 귀중품이 어디에 있는지 확인하는 것도 가능합니다.

또 다른 잠재적 공격 방법은 그 효과가 검증된 랜섬웨어 모델을 스마트 홈에 적용하는 것입니다. 이 경우에는 집 주인이 난방을 켜거나 TV를 보려면 몸값을 지불해야 합니다. 스토킹, 빈집털이, 그밖의 여러 범죄에도 이용될 소지가 있습니다.

스마트 보호
스마트 홈 장치를 설치할 때 각별히 주의하고 그 장치의 구성 설정을 제대로 알고 있어야 합니다. 시만텍은 스마트 홈 장치 시장을 예의 주시하면서 분석 대상 장치의 약점을 발견하는 대로 해당 벤더에 알리고 있습니다.

스마트 홈 장치에 따라 보안은 천차만별입니다. 따라서 사용자에게 일반적인 조언을 하기는 쉽지 않습니다. 여기서는 스마트 홈 장치를 설치할 때 고려해야 할 점 몇 가지를 소개합니다.

인터넷을 통한 원격 관리는 꼭 필요한 경우에만 사용하십시오.
가급적 장치에 강력한 암호를 설정하십시오.
Wi-Fi 네트워크 보호를 위해 강력한 암호와 WP2 암호화를 사용하십시오.
보안에 투자하는 업체의 신뢰할 수 있는 스마트 홈 브랜드 제품을 이용하십시오.

2014 ????????????????? 4 ???

Hacker Medic November 30, 2014 No Comments

重大な脆弱性からサイバースパイ活動まで、今年の事件を振り返り、将来への影響を考察します。

Twitter Card Style:

summary

2014 年は、大規模なデータ侵害から Web の根幹に関わる脆弱性まで、さまざまなセキュリティ事案が発生しましたが、その中で重要度を判断するのは難しいことです。単に興味を引くだけの出来事もあれば、オンラインセキュリティにおける大きなトレンドを示す出来事もあります。過去の名残に過ぎない脅威もあれば、将来を指し示す脅威もあるのです。

この 1 年にオンラインセキュリティの世界で発生した 4 つの重要な事件を振り返り、そこから得られた（または得るべき）教訓と、来年予想される出来事を考察します。

Heartbleed 脆弱性および ShellShock（Bash Bug）脆弱性の発見
今年の春、Heartbleed 脆弱性が見つかりました。Heartbleed は OpenSSL の深刻な脆弱性です。OpenSSL は、SSL プロトコルと TLS プロトコルの最も普及している実装として、多くの有名な Web サイトで使用されています。攻撃者は、Heartbleed 脆弱性を悪用して、ログイン情報や個人データ、さらには復号鍵といった機密情報を盗み出し、セキュア通信を解読できる可能性があります。

続いて秋口には、Linux および Unix、さらには Unix ベースである Mac OS X の多くのバージョンに搭載されている Bash（シェルと呼ばれる共通コンポーネントの 1 つ）の脆弱性が見つかりました。

ShellShock または Bash Bug と呼ばれるこの脆弱性によって、攻撃者は、侵入先のコンピュータからデータを盗み取ることができるだけでなく、そのコンピュータを制御してネットワーク上の他のコンピュータにアクセスする可能性もあります。

Heartbleed 脆弱性と ShellShock 脆弱性によって、オープンソースソフトウェアのセキュリティに注意が向けられ、電子商取引で使われているきわめて多くのシステムの根幹に関わっていることが明らかになりました。ベンダー独自のプロプライエタリソフトウェアで脆弱性が見つかった場合は、そのベンダー 1 社が提供するパッチが必要になるだけです。しかし、オープンソースソフトウェアの場合には、膨大な数のアプリケーションやシステムに統合されている可能性があるため、管理者はさまざまなベンダーが提供するパッチを必要とします。ShellShock 脆弱性と Heartbleed 脆弱性では、パッチの提供状況や有効性について多くの混乱が発生しました。これを契機に、オープンソースの脆弱性に関して、MAPP プログラムのように足並みを揃えた対応の必要性が認識されることを願っています。

オープンソースプログラムでは、今後もこのような新しい脅威が見つかるでしょう。それらが攻撃者にとって新しい攻撃対象になる可能性がある一方で、最大のリスク要因はやはり、適切なパッチが適用されていない既知の脆弱性です。今年のインターネットセキュリティ脅威レポートによると、正規の Web サイトの 77 % で悪用可能な脆弱性が放置されています。したがって 2015 年は、攻撃者は Heartbleed 脆弱性や ShellShock 脆弱性を悪用すると共に、パッチが適用されていない多数の脆弱性をまんまと悪用し続けることでしょう。

組織化されたサイバースパイ活動とサイバー妨害工作の可能性: Dragonfly および Turla
Dragonfly グループは、2011 年にはすでに活動が確認されており、当初は米国とカナダの航空防衛企業を標的としていましたが、2013 年の初めに主にエネルギー企業に狙いを変えています。このグループは複数の経路で攻撃を仕掛ける能力を備えており、大掛かりな攻撃活動を実行して、産業用制御システム（ICS）機器メーカー数社のソフトウェアにリモートアクセス型のトロイの木馬を感染させました。これにより、攻撃者は、ソフトウェアがインストールされているシステムにアクセスすることができ、標的組織に侵入してサイバースパイ活動を実行する足掛かりができたのです。さらに、それらのシステムの多くでは、石油パイプラインやエネルギー網など、重要なインフラの制御に使用されるICSプログラムが稼働していました。これらの攻撃においてサイバー妨害工作は確認されませんでしたが、攻撃者が妨害工作を実行できる能力を持ち合わせており、いつでも攻撃を仕掛けることができたのは間違いありません。おそらく、攻撃の開始を待ち構えていたところで、実行前に中断したのでしょう。

また、Dragonfly は、標的の組織に侵入するために標的型のスパムメール攻撃や水飲み場型攻撃を実行していました。Turla マルウェアの背後にいるグループも、同様に多段階の攻撃戦略を用いており、スピア型フィッシングメールや水飲み場型攻撃を使って標的を感染させます。水飲み場型攻撃では標的を極度に絞り込んだ侵害機能が用いられ、特定範囲の正規の Web サイトを侵害して、事前に指定した IP アドレス範囲からアクセスした標的のみにマルウェアを配布していました。さらに、攻撃者たちは、重要度の高い標的のために最も高度な監視ツールも用意しています。ただし、Turla の動機は Dragonfly とは異なります。Turla の攻撃者は大使館や政府機関を標的として長期的な監視活動を実行しており、これはきわめて典型的なスパイ活動です。

Dragonfly の攻撃と Turla の攻撃のどちらにも、国家が支援している活動に見られる特徴があり、高度な技術力と豊富なリソースが認められます。これらのグループは、複数の経路で攻撃を仕掛けたり、多数のサードパーティの Web サイトを侵害したりできる能力を備え、サイバースパイ活動を目的としているようです。Dragonfly はさらに、妨害工作を実行する能力も備えています。

こうした攻撃は、ほぼ毎日観測される多数のサイバースパイ攻撃のほんの一例です。問題は世界中で発生していて静まる気配はありません。Sandworm などによる攻撃でも、多数のゼロデイ脆弱性が悪用されています。高度な技術リソースや潤沢な資金力を踏まえると、これらの攻撃は国家が支援している可能性が高いでしょう。

狙われたクレジットカード
盗んだクレジットカードやデビットカードのデータを闇市場で販売して儲けるために、こうしたカード類は犯罪者の格好の標的となっています。今年は、店頭レジ端末（POS）システムを狙って消費者の決済カード情報を盗み取る大規模な攻撃が何件も発生しました。米国が主な標的となった原因として、磁気ストライプのカードよりも高度なセキュリティを提供する、EMV（Europay, MasterCard, and VISA）と呼ばれる「チップアンドピン」方式のシステムが採用されていないことが挙げられます。攻撃に使用されたマルウェアは、決済カードの磁気ストライプから読み取られた情報を、暗号化される前に盗み取ることが可能です。この情報を使ってカードを複製することができます。EMV カードの取引情報は一回限りの暗号化が毎回行われるため、犯罪者が決済データの有用な部分だけを選んで別の購入に再利用するのは困難です。ただし、EMV カードも不正なオンライン購入に利用される危険性があります。

また、今年は、近距離無線通信（NFC）技術を利用して iPhone を「仮想財布」として利用する Apple Pay も開始されました。NFC とは、ハードウェアデバイスから近くにある別の物理オブジェクト（Apple Pay の場合は店のレジ）に、データを無線で送信する通信手段です。

NFC 決済システムは目新しいものではありませんが、多くのスマートフォンで NFC 規格がサポートされるようになれば、来年はこの技術を利用する消費者も増えると予想されます。NFC システムは磁気ストライプよりも安全性が高いとはいえ、依然として犯罪者に悪用される可能性があることには注意が必要です。ただし、犯罪者は個々のカードを標的とする必要があるので、今年米国で発生したような大規模な侵害や盗難は起きないでしょう。しかし、決済カードデータを安全に保管していない小売業者を NFC 決済システムが保護してくれるわけではありません。保管されたデータは、引き続き厳重に保護する必要があります。

法執行機関との協力体制の強化
最後は、よいニュースをお伝えします。今年は、国際的な法執行機関が、サイバー犯罪者の摘発に向けてオンラインセキュリティ業界との協力を深め、従来よりも活発かつ積極的に活動した事例が多く見られました。

Blackshades は、初心者レベルのハッカーから高度なサイバー犯罪グループにいたるまで、さまざまな攻撃者によって使用されている有名かつ強力なリモートアクセス型のトロイの木馬（RAT）です。2014 年 5 月、FBI、欧州警察組織、その他複数の法執行機関は、Blackshades（別名 W32.Shadesrat）に関連するサイバー犯罪活動の疑いで数十名を逮捕しました。今回の一斉摘発において、シマンテックは FBI と緊密に連携し、関与した容疑者たちを追跡するための情報を提供しています。

そのちょうど 1 カ月後、FBI、英国の国家犯罪対策庁、その他複数の国際的な法執行機関は、シマンテックを含め複数の民間パートナーと協力して、非常に危険な 2 つの金融詐欺活動、Gameover Zeus ボットネットと Cryptolocker ランサムウェアネットワークに対する大規模な摘発作戦を実行しました。この結果 FBI は、双方の脅威によって使われていた大規模なインフラを押収しています。

これらの摘発作戦を含めて継続的な取り組みは行われているものの、サイバー犯罪が一夜にしてなくなることはありません。長期的な成功のためには、民間のパートナーと法執行機関が協力を継続することが必要です。サイバー犯罪活動がますます急速に高度化していくなか、サイバー犯罪者を摘発して活動を停止させるべく、今後もこの協力活動が続くことを期待します。

以上が、2014 年のオンラインセキュリティにおける 4 大事件です。まだ 2015 年まで数週間あるので、もちろん新しい事件が発生する可能性もあります。しかし、将来何が起きようとも、シマンテックはお客様を保護することをお約束いたします。

Regin: ????????????????????????

Hacker Medic November 26, 2014 No Comments

類を見ない技術力を有する高度なスパイツール Regin は、政府機関、インフラ運営組織、企業、研究者、個人を狙ったスパイ活動に利用されています。

Twitter Card Style:

summary

Regin と呼ばれるこの高度なマルウェアは、少なくとも 2008 年以降、世界のさまざまな標的に対する組織的なスパイ活動に利用されています。Regin はバックドア型のトロイの木馬であり、その構造から類を見ない技術力が伺える複雑なマルウェアです。標的に応じてさまざまな機能をカスタマイズできるため、攻撃者にとって大規模な監視活動を行うための強力なフレームワークであり、政府機関、インフラ運営組織、企業、研究者、個人を狙ったスパイ活動に利用されています。

開発には年単位、または少なくとも月単位の期間を要したと考えられ、その痕跡を隠すために開発者は努力を惜しまなかったようです。その機能や豊富なリソースから、Regin は国家によって使用されている主要なサイバースパイツールの 1 つだと思われます。

Backdoor.Regin はホワイトペーパー（英語）で説明されているように、多段階型の脅威であり、第 1 段階を除いて、各段階は隠蔽されて暗号化されています。第 1 段階が実行されると、全部で 5 段階からなる後続の段階が順に復号されてロードされる仕組みです。個々の段階からは、パッケージの全体に関する情報はほとんど得られません。5 つの段階のすべてを入手して初めて、この脅威の分析と理解が可能になるのです。

図 1. Regin の 5 つの段階

また、Regin はモジュール型の手法を採用しているため、標的に応じて用意されたカスタム機能をロードすることができます。この手法は、Flamer や Weevil（The Mask）といった高度なマルウェアファミリーでも見られるものです。また、多段階にロードされる構造は、Duqu や Stuxnet で採用されているものに類似しています。

活動の時系列と標的のプロファイル
Regin の感染は 2008 年から 2011 年にかけて、さまざまな組織で確認されていましたが、その後、突然活動を休止しています。2013 年になって、マルウェアの新しいバージョンによる活動が再開されました。標的には、民間企業、政府機関、研究機関が含まれます。感染のほぼ半数は、個人や小規模企業を標的とするものです。通信会社に対する攻撃は、各社のインフラを経由する通話にアクセスすることを狙ったものだと思われます。

図 2. Regin の感染件数の業種別内訳

感染は地理的にも分散していて、主に 10 カ国で確認されています。

図 3. Regin の感染件数の国別内訳

感染経路とペイロード
感染経路は標的によって異なり、このブログの執筆時点で、再現可能な経路は確認されていません。一部の標的は、有名な Web サイトに偽装したサイトにアクセスするように仕向けられた後に、Web ブラウザを介して、またはアプリケーションを悪用されて、この脅威がインストールされたと考えられます。あるコンピュータのログファイルには、未確認の悪用コードによって Yahoo! Instant Messenger から Regin が侵入した痕跡が記録されていました。

Regin はモジュール型の手法を採用しているため、攻撃者は、必要に応じて個々の標的に合わせたカスタム機能をロードすることが可能です。一部のカスタムペイロードは非常に高度な機能を備え、特定分野における高い技術力を示していることから、開発者が高水準のリソースを抱えていることを重ねて証明しています。

Regin には、数十種類ものペイロードが存在し、リモートアクセス型のトロイの木馬（RAT）のさまざまな機能を標準で装備しています。たとえば、スクリーンショットの撮影、マウスのポイントアンドクリック操作の制御、パスワードの窃取、ネットワークトラフィックの監視、削除済みファイルの復元などの機能です。

Microsoft IIS Web サーバーのトラフィックを監視したり、携帯電話の基地局コントローラの管理トラフィックを盗聴したりするなど、さらに特化された高度なペイロードモジュールも確認されています。

ステルス性
Regin の開発者は、この脅威が人目に付かずに活動できるように相当な労力を費やしています。目立たないということは、何年間にもわたる持続的なスパイ活動に利用できるということです。存在が検出されたとしても、どのような活動を実行しているかを確認するのは非常に難しく、今回も、ペイロードがサンプルファイルを復号してようやく、ペイロードを分析することができました。

「ステルス」機能として備えられているのは、フォレンジック対策機能、カスタム開発された暗号化仮想ファイルシステム（EVFS）、RC5 の亜種という通常使われているものとは別の暗号化方式などです。また、攻撃者と秘密裏に通信するために、ICMP の ping、HTTP cookies に埋め込まれたコマンド、カスタムの TCP プロトコルと UDP プロトコルなど、複数の高度な手法を使用しています。

まとめ
Regin は非常に複雑な脅威であり、組織的なデータ収集活動や情報収集活動に利用されています。開発と運用には膨大な時間とリソースを投資する必要があることから、背後に国家が存在すると考えられるでしょう。標的に対して、長期間にわたり執拗に監視活動を実行するうえで非常に適した設計になっています。

Regin が発見されたことで、情報収集活動に利用するツールを開発するために、膨大な投資が継続的に実行されていることが明らかになりました。Regin には、まだ見つかっていないコンポーネントが多数あり、その他の機能や別のバージョンが存在する可能性があります。シマンテックは今後も分析活動を継続し、新しい発見があり次第、情報を提供する予定です。

追加情報
侵害の兆候や、さらに詳しい技術情報については、ホワイトペーパー『Regin: Top-tier espionage tool enables stealthy surveillance（Regin: 人目に付かずに監視活動が可能な最悪のスパイツール）』（英語）を参照してください。

保護対策
シマンテック製品およびノートン製品は、この脅威を Backdoor.Regin として検出します。