Category Archives: Security Response News

Internet Explorer 10 Zero-Day Vulnerability Exploited in Widespread Drive-by Downloads

Hacker Medic February 25, 2014 No Comments

Earlier this month we blogged about a new Internet Explorer 10 zero-day vulnerability that was targeted in a recent watering hole attack. The attackers took advantage of a previously undiscovered zero-day flaw known as the Microsoft Internet Explorer Use-After-Free Remote Code Execution Vulnerability (CVE-2014-0322). At the time, the attackers delivered the exploit code for the zero-day vulnerability through compromised sites, intending to target a limited audience. Since then, we have continued to closely monitor attacks focusing on CVE-2014-0322. We’ve observed trends suggesting that attacks targeting this vulnerability are no longer confined to advanced persistent threats (APT) — the zero-day attacks are expanding to attack average Internet users as well. We refer to these attacks as drive-by downloads. This is not a surprising result, as the vulnerability’s exploit code received a lot of exposure, allowing anyone to acquire the code and re-use it for their own purposes.

Our internal telemetry shows a big uptick in attempted zero-day attacks. The attacks started to increase dramatically from February 22, targeting users in many parts of the world. Our telemetry shows both targeted attacks and drive-by downloads in the mix.

IE 10 zero day 1.png

Figure 1. Attacks targeting CVE-2014-0322 around the world

Users visiting Japanese sites have particularly been targeted. This is mainly because multiple sites were compromised to host the drive-by download. The following sites were compromised in these attacks.

A community site for mountain hikers
An adult dating service site
A website promoting language education
A website providing financial market information
An online shopping site
A website of a Japanese tour provider

We believe that the same attacker undertook the majority of the attacks, based on the file components used.

IE 10 zero day 2 edit.png

Figure 2. Computers targeted with CVE-2014-0322 exploit code by region

These websites either were modified to host the exploit code for the Internet Explorer zero-day vulnerability or were updated with the insertion of an iframe that redirects the browser to another compromised site hosting the exploit code. If the attack is successful, the exploit drops a banking Trojan that steals login details from certain banks. Symantec detects this threat as Infostealer.Bankeiya.

IE 10 zero day 3.png

Figure 3. Fake login screen for Mizuho Bank asking for a pin number

How to stay protected from the attacks

Microsoft has yet to provide a security update to patch the affected vulnerability. However, the company has offered the following solutions to help users protect their computers from exploits that take advantage of this vulnerability:

Upgrade to Internet Explorer 11
Install the Microsoft Fix it workaround solution

Symantec also encourages users to apply all relevant patches when they are available. Symantec protects customers against this attack with the following detections:

Antivirus

Intrusion Prevention Signatures

We will likely to continue to see an uptick in attacks exploiting this vulnerability, so we urge everyone to take action immediately.

??????????????

Hacker Medic February 25, 2014 No Comments

今年の Mobile World Congress は、2 月 24 日から 27 日の会期で開催されています。スマートフォンやタブレットの最新技術が一堂に会し、それが今後 1 年のうちに私たちの前に姿を現すことでしょう。しかし、モバイルデバイスのメーカーやアプリ開発者が毎年技術を競い合うように、マルウェアの作成者も腕を磨いています。シマンテックは 2013 年、Android モバイルオペレーティングシステムを標的としたマルウェアの新しい亜種を 1 カ月当たり平均 272 種類、新しいマルウェアグループを平均 5 つ発見しました。こうした脅威が、さまざまな手口でモバイルデバイスを標的にしており、個人情報と銀行口座やクレジットカードなどの情報を盗み出すほか、ユーザーを追跡する、プレミアム SMS メッセージを送信する、執拗なアドウェアを表示するなどの攻撃を試みます。これまでに確認された顕著な脅威が先駆けとなって、新しいタイプのモバイルマルウェアが出現するかもしれません。

さらに大胆に財布を狙う Android マルウェア
オンラインバンキングやショッピングにスマートフォンとタブレットを使うユーザーは増え続けています。PewResearch が行った最近の調査によると、米国の成人のうちオンラインバンキングを利用しているのは 51% で、オンラインバンキングに携帯電話を使っている率も 35% に達しています。若い世代ほどモバイルバンキングの利用率が高い傾向があるので、時間が経てばさらに普及率は高くなるでしょう。

オンラインバンキング用のアプリと併せて、モバイルデバイスは 2要素認証（2FA）プロセスにも対応しています。ユーザーが PC 上でオンラインバンクの口座にログインしようとすると、モバイルデバイスにコードが送信され、そのコードをオンラインバンキングサイトに入力して初めてそのユーザーの ID が確認される仕組みです。

この方式を理解している攻撃者によって、2FA のコードを盗み出す Android マルウェアが開発されており、Android.Hesperbot や Android.Perkel といったマルウェアは、2FA コードの記載された SMS メッセージを傍受して、攻撃者に直接送信します。オンラインバンキングに関する他の利用者情報も盗み出し、PC ベースの他のマルウェアを組み合わせて被害者のアカウントに侵入します。

モバイルウォレットという概念が普及していることから、この手のマルウェアは今後数年で増加する恐れがあります。実店舗の買い物にモバイルデバイスを使うという考え方はまだ主流ではありませんが、攻撃者がこれに目を付けるのも時間の問題でしょう。

ステルス性の強化 – Android ブートキット
ブートキットは、主に Windows コンピュータを標的にした高度な脅威で使われています。オペレーティングシステムの奥深くで活動し、通常はマスターブートレコードなどコンピュータの起動コードに感染するため、オペレーティングシステム自体の起動より前にマルウェアを実行することが可能です。このような形の脅威を攻撃者が利用すれば、長期間にわたって侵入先のコンピュータに潜伏し、特定のプロセスを検出から逃れるようにすることができます。その結果、脅威のコンポーネントはルートキットやその他のステルス機能によって守られるため、ブートキットは対処が難しい厄介な存在になりかねません。シマンテックが提供している Symantec Power Eraser、ノートンパワーイレイサー、ノートンブータブルリカバリツールを使って、この手の脅威をコンピュータから除去することができます。

最近見つかったブートキット（Android.Gooboot として検出されます）は、Android デバイスを狙うことがわかっています。Android.Gooboot は Android デバイスのブートパーティションとブートスクリプトを書き換えて、オペレーティングシステムの起動中に起動することができます。これは特に除去が難しいブートキットですが、そもそも感染させるためには攻撃者は物理的にデバイスに触れなければなりません。また、Android.Gooboot は何の悪用コードも伴わず、権限を昇格する機能も持っていません。とは言え、攻撃者がスマートフォンへの感染を試みる手口はますます大胆になっているので、これが Android マルウェアを取り巻く状況について今後の傾向を示しているとは言えそうです。現時点では、ルート権限を取得した携帯電話を購入する際は警戒してください。

モバイルデバイスに侵入する新たな経路
Android マルウェアはユーザーを欺いて Android マーケットから悪質なアプリをインストールさせるのが常套手段です。しかし、アプリの審査が厳密になりつつあるため、攻撃者が悪質なアプリを Android マーケットに送り出すのは以前より難しくなってきました。その代わりに攻撃者は、PC を経由して Android デバイスに侵入することを試み始めており、そこからハイブリッド型の脅威も生まれています。

シマンテックが Trojan.Droidpak として検出する最近の脅威は、まず Windows コンピュータに侵入し、最終的に悪質な Android アプリケーションパッケージ（APK）を侵入先のコンピュータにダウンロードします。ユーザーがこのコンピュータに Android デバイスを接続すると、トロイの木馬が悪質な APK（Android.Fakebank.B として検出されます）を Android デバイスにインストールしようとします。インストールに成功すると、APK は韓国の特定のオンラインバンキングアプリを探して、悪質なバージョンをインストールさせるようユーザーを誘導しようとします。

この脅威を回避するために、信頼できない PC にはモバイルデバイスを接続しないよう注意して、また PC にもモバイルデバイスにもセキュリティソフトウェアを必ずインストールしてください。

もちろん、ハイブリッド型の脅威で狙われる経路は PC ばかりではありません。モノのインターネットが現実のものとなりつつある今、モバイルデバイスを利用してホームオートメーションシステムに、あるいはその逆方向に感染を試みる脅威が登場すると思われます。

増え続けるモバイルマルウェア
モバイルマルウェアは進化を続けています。Windows マルウェアの歴史を手掛かりにすることも多く、最新の技術動向にも常に敏感です。Android マルウェアの作成者の技量が向上していることは、ブートキットのような高度な手口が登場していることからも明らかです。PC を標的としたサイバー犯罪と同様、ほとんどの攻撃者の動機は金銭の詐取です。モバイル決済技術が普及していけば、モバイルデバイスは攻撃者にとってさらに魅力的な標的となるでしょう。パーソナルコンピューティングのためにモバイルデバイスへの依存度が高くなればなるほど、モバイルデバイスの保護は不可欠になります。ノートンモバイルセキュリティなど、定評のあるセキュリティソフトウェアを使って、さまざまな脅威からモバイルデバイスを保護してください。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

The Tenth Anniversary of Mobile Malware

Hacker Medic February 25, 2014 No Comments

Figure. A brief history of mobile malware

2014 marks the tenth anniversary of mobile malware. It all began in 2004, when the first variant of SymbOS.Cabir was submitted to security researchers. The analysis revealed that this worm targeted Symbian OS, which was a very popular mobile operating system at the time. Infected phones would search for nearby Bluetooth devices that had activated discovery mode and then the worm would try to push itself onto them. The user had to manually accept the file transfer and also had to agree to the worm’s installation before the malware could infect the device. This limited the spread of the worm, as the victim had to be in close proximity to devices and needed to interact with the worm. But this was only the beginning. Several variants of Cabir appeared in the wild with different modifications. Some variants stole data, such as phonebook details, and other samples acted as a classic virus and infected local files.

A few months later, a cracked version of a game called Mosquito appeared on the Internet. Along with the popular game, the package contained Trojan.Mos, which would send premium text messages in the background. This was the first widely seen case of mobile malware with a focus on monetary profit. Today, the same tactic is used on hundreds of Trojanized Android games, which will send expensive text messages after installation. Soon after Mosquito, the first versions of Skull appeared. The threat was named after its main payload, as the malware replaced the icons of most applications with an image of a skull. It also replaced system and application files with garbage, disabling their functionality and rendering the phone nearly unusable. Luckily at that time, ransomware was not yet popular, or else we probably would have seen the malware trying to hold the user’s data or the mobile device itself hostage. This changed in 2013 when we saw the first ransomware samples hitting mobile devices. These threats focus more on holding the phone hostage instead of the data, as frequent device synchronization and automatic data uploads to the cloud provide a better backup utilization for the users.

In 2005, SymbOS.CommWarrior.A entered the scene. It extended the propagation vector to include sending MMS messages to various numbers in the contacts book. This malware was very successful and CommWarrior variants have been floating around mobile phone networks for years. In 2006, Trojan.RedBrowser.A extended threats that send premium text messages to other operating systems. This was the first Trojan for J2ME that could infect different mobile phone platforms.

Within a year, mobile devices had to deal with malware that was similar to established malware on desktop computers, including worms, data-stealing and profit-making Trojans, and viruses that infect other files. If this wasn’t enough, the rise of adware and spyware did not bypass mobile phones. The commercial Spyware.FlyxiSpy, which was released in 2006, was very successful at monitoring all of the compromised mobile device’s activity. The malware was advertised as the best solution for people who wanted to spy on their spouses. Similar threats followed and evolved further, allowing the user’s every step to be tracked.

With many online banks moving to out-of-band SMS transaction verification methods, the criminals had to follow as well. As a result, in 2010, attackers introduced SymbOS.ZeusMitmo, a threat that was capable of forwarding bank account transaction text messages from the compromised mobile device to the attackers. This allowed attackers to continue to commit online banking fraud. The idea was so successful that soon, mobile malware targeting online banking services appeared for all the major phone operating systems except iOS.

When Android became the biggest mobile phone platform in 2011, malware authors began to take notice. The attackers’ distribution vector of choice is through Trojanized applications and they use some social engineering techniques to make them more palatable. For example, Android.Geinimi was an early, successful bot for mobile devices disguised as a useful app. Mobile botnets have since become popular and are often used for click-fraud and premium text message scams.

Android.Rootcager arrived in the same year and was the first Android threat to use an exploit to elevate its privileges. This also marks one of the few differences between mobile malware and desktop computer threats. On Windows computers, we often see malware that uses an exploit to install itself on the compromised computer. In fact, drive-by-download infections from malicious websites have become the top infection vector. However, on mobile phones, drive-by-downloads happen very rarely. Most of the time, users still have to be tricked into installing the application themselves. It’s not that there are no vulnerabilities for mobile operating systems — there are actually quite a few, it’s just that attackers have not found it necessary to use them yet. In 2010, an iPhone jailbreak website demonstrated how this form of attack could work. The site took advantage of a PDF font-parsing vulnerability to install custom software on the fly. Since then, all mobile phone operating systems have upgraded their security, making it harder for malware to misuse vulnerabilities.

In the last two years, we have seen major growth from Trojans and adware targeting mobile devices, mainly focusing on Android phones. Even targeted attacks now make use of mobile threats for spying purposes. Considering this boom, mobile malware has become a real threat that needs greater attention because it isn’t over yet. In fact, we are likely to see the next evolution of mobile threats soon, especially as mobile phones become identification tokens and payment solutions in the future.

Symantec recommends that users remain vigilant when installing applications from any unknown sources. Use strong passwords to protect your device and services. Symantec offers various security products for mobile devices that block these threats and we are constantly working on delivering the next level of protection.

Adobe Flash ????????????????????????????

Hacker Medic February 24, 2014 No Comments

ゼロデイ脆弱性を悪用する水飲み場型攻撃が、さらに広がりつつあります。シマンテックは先週、Internet Explorer 10 のゼロデイ脆弱性が水飲み場型攻撃に悪用されていることをお伝えしましたが、それからちょうど 1 週間後、今度は Adobe Flash Player と Adobe AIR に存在するリモートコード実行の脆弱性（CVE-2014-0502）が、やはり水飲み場型攻撃で悪用されていることが確認されました。この新しい攻撃は、さまざまなメディアで「Operation GreedyWonk」と呼ばれており、3 つの NPO 団体の Web サイトを標的にしていると報じられています。シマンテックの遠隔測定によると、新しいゼロデイ脆弱性を悪用するこの水飲み場型攻撃では、ほかにも多くのサイトが標的になっていることが判明しました。

図 1. Adobe Flash のゼロデイ脆弱性を悪用する水飲み場型攻撃

攻撃の手口

今回の攻撃に使われているのも、水飲み場型攻撃として知られる手法です。被害者がアクセスした Web サイトは、標的を別の Web サイト（giftserv.hopto.org）にリダイレクトするために攻撃者によって侵害され、iframe が仕込まれています。リダイレクト先のサイトでは悪質な index.php ファイル（Trojan.Malscript）が読み込まれ、このファイルによって標的のシステムが 32 ビットか 64 ビットかが判定されます。この判定結果に応じて、攻撃者のサーバーにホストされている 32 ビットまたは 64 ビットのいずれかのフォルダから、悪質な index.html ファイル（これも Trojan.Malscript として検出されます）と追加コンポーネントがダウンロードされます。悪質な index.html は次に cc.swf という Adobe Flash ファイル（Trojan.Swifi）を読み込み、これにゼロデイ脆弱性が存在します。悪用に成功すると、暗号化されたシェルコードを含む logo.gif という画像ファイルがダウンロードされ、このシェルコードによって悪質なペイロード server.exe（Backdoor.Jolob）がダウンロードされ実行されます。

今回の攻撃に対する防止策と緩和策

インストールされている Adobe 製品を最新バージョンに更新して、この脆弱性に緊急に対処することをお勧めします。ソフトウェアのアップグレード方法について詳しくは、Adobe Security Bulletin を参照してください。

シマンテック製品をお使いのお客様は、以下の検出定義によって今回のゼロデイ攻撃から保護されています。

ウイルス対策

侵入防止シグネチャ

Web Attack: Malicious SWF Download 22

また、いつものことですが、このような攻撃から保護するために、シマンテックの最新技術をお使いいただき、シマンテックのコンシューマ向けまたはエンタープライズ向けの最新ソリューションを導入してください。

衰えを見せない水飲み場型攻撃

水飲み場型攻撃が、特定の個人を標的にした攻撃者の間で多用され続けていることは、今回の事例からも明らかです。ゼロデイ脆弱性が次々と悪用されていることを考えると、攻撃者が使える武器は無尽蔵とも言えます。複数の Web サイトで Adobe Flash のこの脆弱性が確認されていますが、送信されているペイロードはそのすべてで異なります。今回のゼロデイ悪用コードが多くの攻撃者に販売されている可能性や、あるいは単独の攻撃者が複数の攻撃キャンペーンを仕掛けている可能性があります。シマンテックは、最善の保護対策を提供できるように、この攻撃の調査を続ける予定です。

図 2. 水飲み場型攻撃の手口

The Future of Mobile Malware

Hacker Medic February 23, 2014 No Comments

Mobile World Congress is set to take place this year between February 24 and 27. The event promises to showcase smartphone and tablet innovations that will become a reality over the next 12 months. However, as mobile manufacturers and app developers have upped their game each year, so too have malware authors. Symantec discovered an average of 272 new malware variants and five new malware families per month targeting the Android mobile operating system in 2013. These threats have taken aim at mobile devices in several ways, such as by attempting to steal personal and financial information, track users, send premium rate SMS messages, and display intrusive adware. We have seen some notable threats that could pave the way for what’s next in mobile malware:

More aggressive financial Android threats
Consumers have been increasingly turning to their smartphones and tablets in order to do their online banking or shopping. According to a recent Pew research study, 51 percent of US adults bank online and 35 percent use their mobile phones to do so. Young people are leading the mobile banking trend, suggesting that this could become more widespread as time goes on.

Along with accessing banking apps, mobile devices can be used for two factor authentication (2FA) processes. Once the user tries to log into their online bank account on a computer, a code gets sent to their mobile device, which they can input onto the banking site to verify their identity.

Attackers have caught onto these methods and have developed Android malware to steal these 2FA codes. Threats such as Android.Hesperbot and Android.Perkel intercept SMS messages with 2FA codes and send them directly to attackers. They can also either steal other banking credentials or work with other computer-based threats to compromise victims’ accounts.

These threats could become more prevalent in the next few years as the concept of the mobile wallet catches on. Though the idea of paying for goods in physical stores with a mobile device hasn’t become mainstream yet, it will surely be an avenue that attackers will be keeping an eye on.

Increasing stealth – Android bootkits
Bootkits are used in advanced threats to typically target Windows computers. These threats operate deep within the operating system, usually infecting the computer’s startup code, such as the Master Boot Record, allowing the malware to execute before the operating system starts up. These forms of threats let an attacker maintain persistence on the compromised computer and hide certain processes from detection. As a result, bootkits can be tricky to deal with, as their components are protected by rootkits or other stealth features. Symantec offers Symantec Power Eraser, Norton Power Eraser, or Norton Bootable Recovery Tool to remove these types of threats on computers.

Recently, a bootkit threat, detected as Android.Gooboot, has been discovered targeting Android devices. The bootkit modifies the Android device’s boot partition and booting script, allowing it to launch while the operating system is starting up. It’s a particularly difficult threat to remove, though the attacker needs physical access to the device in order to infect it in the first place. Along with this, Android.Gooboot does not carry any exploits nor does it elevate privileges. That said, it could be a sign of things to come on the Android malware landscape, as attackers become more aggressive in attempting to infect smartphones. For now, users should be wary of buying rooted phones.

New routes onto the handset
Android malware typically relies on tricking users into installing a malicious application from an Android marketplace. Increased screening of applications is making it more difficult for attackers to get their malicious apps onto the marketplace. Attackers are instead starting to use desktop computers as a vehicle onto Android handsets, leading to the birth of hybrid threats.

A recent threat, which we detect as Trojan.Droidpak, first arrives on the Windows PC and eventually leads to the download of a malicious Android application package file (APK) onto the compromised computer. If the user connects any Android device to the compromised computer, the Trojan will attempt to install the malicious APK, detected as Android.Fakebank.B, onto the mobile device. If installation is successful, the APK looks for particular Korean banking applications and tries to convince users to install malicious versions instead.

To avoid this threat, users should be wary of connecting their mobile device to untrustworthy desktop computers and ensure that they have security software on both their desktop and mobile devices.

Of course, desktops may not be the only medium involved in these hybrid threats. As the Internet of Things becomes a reality, it’s likely we’ll see threats attempt to use mobile devices to infect home automation systems and vice-versa.

The growing mobile malware threat
Mobile malware has continued to evolve, often taking cues from Windows malware developments or attempting to keep up with the latest technology trends. Android malware authors show growing sophistication, evidenced by the use of advanced techniques such as bootkits. As with desktop cybercrime, most attackers are financially motivated. Mobile devices will become increasingly attractive to attackers as mobile payment technology becomes more widely adopted. As users growing more reliant on mobile devices for their personal computing needs, they should ensure that their devices remain protected against today’s and tomorrow’s threats with reputable security software such as Norton Mobile Security.

New Flash Zero-Day Linked to Yet More Watering Hole Attacks

Hacker Medic February 21, 2014 No Comments

Watering hole attacks using zero-day vulnerabilities are becoming more common. Last week we announced an Internet Explorer 10 zero-day being used in a watering hole attack and today, just one week later we have an Adobe Flash zero-day, Adobe Flash Player and AIR CVE-2014-0502 Remote Code Execution Vulnerability (CVE-2014-0502), also being used in a watering hole attack. This new attack has been dubbed “Operation GreedyWonk” in various media and is reported to be targeting the websites of three non-profit institutions. Symantec telemetry shows even more sites being targeted in this watering hole attack using this new zero-day.

Figure 1. Watering hole attack using Adobe Flash 0-day

Anatomy of the attack

This attack technique is known as a watering hole attack. In this case the target visits a compromised website that contains an IFrame inserted by the attackers in order to redirect the target to another website (giftserv.hopto.org). This new site loads a malicious index.php file (Trojan.Malscript) which checks whether the victim is running a 32-bit or 64-bit system. Depending on the results, a malicious index.html file (also Trojan.Malscript) and additional components are also downloaded from either the 32-bit or 64-bit folders hosted on the attacker’s server. The malicious index.html file then loads the cc.swf Adobe Flash file (Trojan.Swifi) containing the zero-day. Once exploited, a logo.gif image file is downloaded containing encrypted shellcode which downloads and executes the malicious server.exe (Backdoor.Jolob) payload.

How can I prevent and mitigate against this attack?

Symantec recommends users update their Adobe product installations to the latest versions to address this critical vulnerability. Details of how to upgrade software are available in an Adobe Security Bulletin.

Symantec customers are protected from this zero-day attack with the following detections:

Antivirus

Intrusion Prevention Signatures

Web Attack: Malicious SWF Download 22

As always, we also advise customers to use the latest Symantec technologies and incorporate the latest Symantec consumer and enterprise solutions to best protect against attacks of any kind.

Watering hole attacks remain popular

This latest watering hole attack demonstrates that it remains a popular technique for attackers to target individuals of interest. The use of yet another zero-day indicates the arsenal available to attackers shows no signs of depletion. Multiple websites have been identified using this Adobe Flash zero-day, all with different payloads being delivered. This may be the result of this particular zero-day being sold to a number of different attackers, or possibly that it was used by a single attacker in multiple campaigns. Symantec continues to investigate this attack to ensure that the best possible protection is in place.

Figure 2. Anatomy of a watering hole attack

????????????????????????????

Hacker Medic February 18, 2014 No Comments

以前のブログで、成功率を上げるためにスパマーがメッセージを次々と変更している事例についてお伝えしました。その中で解説したように、同じスパム活動で使われるメッセージが、音声メールの通知から、小売業者の配達不能通知へ、さらには電力会社を装った案内へと変更されていたのです。リンクをクリックすると、Trojan.Fakeavlock を含む .zip ファイルがダウンロードされます。しかし、スパマーもこうした攻撃経路ではユーザーがなかなか騙されなくなってきたことに気付いたようで、この攻撃に 2 つの手口を追加しています。最初はランダムで無関係のように見えましたが、目的は明らかに共通しています。

1 つ目は米国各地の裁判所を騙る手口です。

Court Funeral Email 1 edit.png

図 1. 米国の裁判所に偽装したスパムメール

2 つ目は葬儀場を騙る手口です。

Court Funeral Email 2 edit.png

図 2. 葬儀場に偽装したスパムメール

この 2 つの手口に共通するのは、どちらも大至急メッセージを開封してリンクをクリックするように急かしている点です。どちらも緊急性を感じさせる文面であり、たいていの人は裁判所からの通知は無視できないでしょうし、いったい誰の葬儀なのか知りたくて葬儀への招待リンクもクリックしてしまうでしょう。後者の場合は、葬儀の日取りが当日か翌日になっているので、余計に急かされることになります。

スパマーはこうして工夫を凝らしている一方で、やはり同じミスを繰り返しています。以前と同様、ヘッダーの情報が本文と食い違っているのです。以下に示す例でも、ヘッダーでは裁判所からの通知を装っていながら、本文は電力会社からの案内になっています。

Court Funeral Email 3 edit.png

図 3. ヘッダーと本文が食い違っているスパムメール

このスパム活動は今でも、乗っ取った URL（所有者の知らないうちに侵入を受けてスパムコンテンツをホストしている Web サーバー）をコールトゥアクションとして利用しています。以下に示すように、スパムコンテンツを秘匿するために使われているディレクトリパスもさまざまです。

Court Funeral Email 4.png

図 4. スパムコンテンツを秘匿するために使われているディレクトリパス

グラフの左半分は色分けが比較的単純ですが、右半分になると同じ日でも色が複雑に分かれています。12 月から 1 月初旬に掛けての期間と比べると、このスパムに使われているディレクトリパスの種類が増えています。

このスパム活動はまだ終わりそうになく、スパマーはこれからも新たな経路を考案するものと思われます。シマンテックでは、最新の脅威に関する最新の情報をお届けできるよう、常時スパムの監視を続けています。

What Do Court Email and Funeral Email Have in Common?

Hacker Medic February 18, 2014 No Comments

In this blog detailing how spammers continue to change their messages in order to increase their success rate, we looked at the evolution of the same spam campaign from missed voicemail messages to spoofing various retailers, and then spoofing utility statements. Clicking on the link led the users to a download for a .zip file containing Trojan.Fakeavlock. Attackers may have realized that those attack vectors no longer entice recipients, so spammers have introduced two new schemes for this campaign that appear to be random and unrelated at first, but they do share a common goal.

The first scheme spoofs various courts around the country:

Court Funeral Email 1 edit.png

Figure 1. United States court spam email

The second scheme spoofs a funeral home:

Court Funeral Email 2 edit.png

Figure 2. Funeral home spam email

What do these two vectors have in common? They both urge the recipients to open the message and quickly click on the links. There is a sense of urgency in both messages; usually people do not want to ignore a message from a court, and they would probably want to see if they recognize the person mentioned in the funeral invitation link. In the latter case, the funeral is scheduled to be on the same day or next day, which increases the urgency even more.

While the spammers continue to try their best, they keep making the same mistake. They usually send poorly crafted messages where the header does not match the information in the body. Here is one such example where the header indicates that the message is from a court when the body is a utility statement:

Court Funeral Email 3 edit.png

Figure 3. Spam email where the header and body do not match

This spam campaign continues to use various hijacked URLs (a compromised web server hosting spam content without the owner’s knowledge) as call-to-actions. Various directory paths are used to hide this spam content as seen here:

Court Funeral Email 4.png

Figure 4. Directories used to hide spam content

The left half of the graph shows relatively simple colors, compared with the right half where there are more colors being represented per day. This indicates that the spammer is using a greater variety of directory paths compared to December and early January.

This particular spam run is probably not over yet, and the spammer may find another clever vector to utilize. However, Symantec constantly monitors spam attacks to ensure that users are kept up-to-date with information on the latest threats.

????????????? Internet Explorer 10 ???????????

Hacker Medic February 17, 2014 No Comments

先日のブログで、Internet Explorer 10 に影響するゼロデイ脆弱性の悪用の可能性が確認されたという報告について調査していることをお伝えしましたが、この新しいゼロデイ脆弱性「Microsoft Internet Explorer の解放後使用によるリモートコード実行の脆弱性」（CVE-2014-0322）を悪用する攻撃について詳細が判明しました。

図. IE 10 のゼロデイ脆弱性を悪用する水飲み場型攻撃

攻撃の手口

この水飲み場型攻撃で標的になったのは、vfw.org（海外戦争復員兵協会）の Web サイトです。攻撃の活動中にこのサイトにアクセスすると、攻撃者によって挿入された iframe により、危殆化した第 2 のページ（aliststatus.com でホストされています）がバックグラウンドで読み込まれます。iframe である img.html ファイルが tope.swf という悪質な Flash ファイルを読み込み、そこで Internet Explorer 10 の脆弱性が悪用されます。シマンテックは、悪質な iframe を Trojan.Malscript として、また悪質な SWF ファイルを Trojan.Swifi として検出します。

SWF ファイルによって脆弱性が悪用されると、aliststatus.com ドメインから次のダウンロードが実行され、ペイロードの最終段階が開始されます。ここで最初にダウンロードされるのは、erido.jpg という名前の PNG 画像ファイルです（Trojan Horse として検出されます）。この画像ファイルに埋め込まれている複数のバイナリが、SWF ファイルによって実行されるシェルコードによって抽出されます。埋め込まれているバイナリは sqlrenew.txt と stream.exe です。sqlrenew.txt は、その名前とは違い実際には DLL ファイルであり、同じく Trojan Horse として検出されます。stream.exe は Backdoor.Winnti.C として検出されます。

SWF ファイルに含まれるコードが DLL ファイル sqlrenew.txt の読み込みを実行し、この時点で DLL が処理を引き継いで、最終的なペイロードである stream.exe を起動します。このサンプルは、攻撃者が制御する newss.effers.com サーバーへの接続を実行します。

過去の攻撃との関連性

調査を進める過程で明らかになったデータから、今回の攻撃は、シマンテックが Hidden Lynx（謎の山猫）と呼んでいる悪質なグループと関係することが示唆されます。Backdoor.Moudoor を使ったこのグループによる以前の攻撃で確認されたインフラが今回も使われていることが、データに示されています。

今回の攻撃に対する防止策と緩和策

Internet Explorer 10 を使っていないユーザーや、Mac OS 向けのブラウザを使っているユーザーは、この脆弱性の影響を受けません。Windows で Internet Explorer 10 を使っている場合には、別のブラウザを使うか、Microsoft の Enhanced Mitigation Toolkit（EMET）をインストールする、またはブラウザを新しいバージョンにアップグレードするなどの緩和策が考えられます。また、関連するパッチが公開され次第、速やかに適用することもお勧めします。

シマンテック製品をお使いのお客様は、以下の検出定義によってこの攻撃から保護されています。

ウイルス対策

侵入防止シグネチャ

シマンテックの遠隔測定によると、ペイロードの一部は以下のヒューリスティック検出定義によって各段階で検出されていることも判明しています。

New Internet Explorer 10 Zero-Day Discovered in Watering Hole Attack

Hacker Medic February 14, 2014 No Comments

In an earlier blog, Symantec highlighted that we were investigating reports of a zero-day exploit affecting Internet Explorer 10 in the wild. Now we have further details on the attack leveraging this new zero-day, Microsoft Internet Explorer CVE-2014-0…