The ZeroAccess botnet is one of the largest known botnets in existence today with a population upwards of 1.9 million computers, on any given day, as observed by Symantec in August 2013. A key feature of the ZeroAccess botnet is its use of a peer-to-pe…
Constantemente los spammers buscan diferentes formas de llamar la atención y llegar a los usuarios de Twitter. En esta ocasión, aprovechándose del gran interés y la creciente expectativa creada alrededor de la serie ‘B…
Craigslist はこれまでも常に、詐欺師が好んでソーシャルエンジニアリングに使う題材でしたが、シマンテックは同サイトの人気を悪用する新たな SMS スパム活動が発生していることを確認しています。この詐欺は、Craigslist の広告に掲載されている電話番号を悪用して、ユーザーを欺いて無償で正規のオープンソースソフトウェアをコンピュータにインストールさせます。このソフトウェアには別のソフトウェアもバンドルされており、詐欺師はこれを利用してアフィリエイトプログラムによって金銭を獲得します。
図. SMS スパムによってリダイレクトされたユーザーがオープンソースソフトウェアをダウンロードさせられる仕組み
この詐欺の第 1 段階では、被害者のデバイスに SMS のテキストメッセージが送信されます。オンラインの調査によると、詐欺師は Craigslist サイトの投稿から電話番号を直接収集し、この詐欺行為に利用しているようです。電話番号の収集を自動化できるスパムツールや収集ツールはアンダーグラウンドのフォーラムで販売されており、珍しいものではありません。
SMS に記載されているリンクをたどると、「Device not compatible. Please view from a desktop or laptop computer.（デバイスが対応していません。デスクトップまたはラップトップコンピュータで閲覧してください）」という情報が表示されます。指示されたとおりに PC からリンク先にアクセスすると、正規のオープンソースソフトウェアである GIMP Viewer をインストールする必要があると説明されます。GIMP をインストールしようとしても、GIMP の公式 Web サイトには移動しません。代わりに別の Web サイトに移動しますが、そこで提供されている GIMP のインストールでは、別のいくつかのソフトウェアと一緒にインストールするオプションが付いています。こういった別のソフトウェアがインストールされると、詐欺師はアフィリエイトの手数料として金銭を獲得できるのです。
今回の詐欺では、ユーザーを欺いて不要なソフトウェアをコンピュータにインストールさせて、アフィリエイトプログラムプログラムを悪用しているだけですが、詐欺師はいつでも手口を変える可能性があり、被害者を騙してマルウェアをインストールさせようとするかもしれません。
このような詐欺の被害に遭わないように、迷惑 SMS メッセージを受信した場合には注意してください。また、信頼できる公式のサイト以外からソフトウェアをダウンロードしたりインストールしたりすることは避けてください。どのようなデバイスにも、ノートン モバイルセキュリティやノートン アンチウイルスといった、モバイル用のセキュリティアプリや PC 用のウイルス対策ソフトウェアをインストールすることをお勧めします。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
While Craigslist has always been a favorite social engineering theme for scammers, Symantec has identified another on-going SMS spam campaign abusing Craigslist’s popularity. The scam tricks users into installing free and legitimate open source software on their PC by leveraging phone numbers posted on Craigslist ads. The software comes bundled with additional software that will allow scammers to make money through affiliate programs.
Figure. How the SMS spam redirects users to download open source software
The first stage of the scam involves the victim receiving an SMS text message on their device. Online research suggests that the scammers are harvesting phone numbers directly from online Craigslist postings for this scam campaign. The sale of spamming and harvesting tools, which automate the harvest of phone numbers, is common on underground forums.
When a user follows the link provided in the SMS sent to them they are informed: “Device not compatible. Please view from a desktop or laptop computer.” If a user then navigates to the link from their PC, they are informed that they need to install the GIMP Viewer legitimate open source software). Attempting to install GIMP does not take the user to the official GIMP website, but instead to a different website offering to install GIMP with the option to install several other pieces of software. If the additional software is installed, the scammers make money from affiliate commissions.
In this scam users are being tricked into installing unwanted software onto their computers and affiliate programs are being abused by scammers. The scammers could also easily switch tactics and trick victims into installing malware on their computers.
To avoid being a victim of this and other scams, be cautious when receiving any unsolicited SMS text messages and avoid downloading and installing any type of software unless it comes from an official and reputable site. Symantec also recommends users everywhere install a mobile security app and desktop antivirus protection, such as Norton Mobile Security and Norton antivirus.
AMC の人気テレビドラマ『ブレイキング・バッド』のファンは、シリーズ最高の評価を得たエピソードの放映直後から、同作についてツイートすると新たな手口の Twitter スパムに狙われるようになっているようです。
これまで何年間も、スパマーや詐欺師は Twitter の返信機能を悪用してきましたが、今度は Twitter ユーザーの注目を引く新しい方法を探してきました。現在使われている最も新しい手口は、リストスパムと呼ばれるものです。
Twitter のリストは、Twitter ユーザーが集約されたグループで構成され、ユーザーは自分でリストを作成したり、他のユーザーが作成した既存のリストを購読したりできます。スパマーは、この機能を利用して Twitter ユーザーの注意を引き付けようとしているのです。
最近の Twitter リストスパムでは、有名人の電話番号から無料のギフトカード、デバイス、テレビゲームまで、さまざまなワナが使われています。
図 1. 『ブレイキング・バッド』を悪用する Twitter スパムアカウント
この週末には、『ブレイキング・バッド』の今シーズン最終話直前のエピソードである「Granite State」が放映されます。『ブレイキング・バッド』は非常に好評で、筆者のようなファンは放送日である日曜日を指折り数えて待っています。スパマーはその人気に便乗し、ユーザーを欺いて次回エピソードの海賊版コピーをダウンロードさせようと試みます。
図 2. 『ブレイキング・バッド』スパムで使われている Twitter リスト
Twitter リストスパムは、すでに多数のユーザーが登録されているリストに登録されるところから始まります。このタイプのスパムでは、リスト作成者のページにアクセスしてスパムリンクを閲覧する必要がありますが、今回はリストの説明文中に URL が示されています。
図 3. Pastebin にファイルホスティングサービスへのリンクが記載されている
その URL は Pastebin にリンクしており、そこに別のファイルホスティングサービスへの URL が記載されていてエピソードをダウンロードできるようになっています。
図 4. 『ブレイキング・バッド』のエピソードがアップロードされているファイルホスティングサービス
このファイルホスティングサービスに、ユーザーがダウンロードできる 280MB のファイルがあります。また、P2P ダウンロードを使ってエピソードを入手するための torrent ファイルをダウンロードするオプションも使えます。
図 5. アーカイブに含まれているファイル
ダウンロードした Zip には、2 つのファイルが含まれています。「How To Open – READ FIRST.txt」という名前のテキストファイルと、サイズの大きいファイル（300MB 近い）です。
図 6. Readme テキストファイルに短縮 URL に記載されている
大きい方のファイルを開くために、ユーザーは最新バージョンの 7-Zip をダウンロードするように指示されます。そのリンクからは、アフィリエイトプログラムを通じてサイトに誘導されます。詐欺師が金銭を獲得する仕組みは、これだったのです。アフィリエイトプログラムは、他のアプリケーションにバンドルされているインストーラにユーザーを誘導しますが、ユーザーはそのアプリケーションをインストールしない選択もできます。
図 7. 『ブレイキング・バッド』シーズン 5、エピソード 12
最終的にこのファイルのインストールは必要ありません。ビデオファイルは他のメディアプレイヤーでも再生できるからです。また、結局ダウンロードされるのは、このシーズンの前半のエピソードですが、これも特に驚くことではありません。
図 8. Twitter 社にスパムアカウントを報告
Twitter リストスパムは新しいトレンドですが、急速に広まりつつあります。自分が Twitter リストに追加されていることがわかった場合には、そのリストを所有しているユーザーを報告すれば、リストから自分を削除することができます。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
On the heels of its most highly acclaimed episode, Breaking Bad fans tweeting about the popular AMC show may find themselves targeted by a new Twitter spam tactic.
Traditionally, spammers and scammers abused the reply functionality built into the servi…
9 月 17 日、Microsoft 社は Internet Explorer の新しいゼロデイ脆弱性「Microsoft Internet Explorer のメモリ破損の脆弱性」（CVE-2013-3893）に関するセキュリティアドバイザリを公開しました。アドバイザリによると、この脆弱性によってメモリが破損する場合があり、攻撃者はそれを悪用して任意のコードを実行できる可能性があります。この攻撃は、脆弱性を利用して特別に細工した Web サイトにアクセスするようユーザーを誘うことによって実行されます。Microsoft 社によれば、現時点でこの脆弱性の悪用が確認されているのは少数の標的型攻撃に限られるということです。
Microsoft 社はこの脆弱性に対するパッチをまだリリースしていませんが、セキュリティ更新プログラムが利用可能になるまでの回避策として、一時的な「Fix It」ツールを提供しています。シマンテックは、製品をお使いのお客様を Internet Explorer のこのゼロデイ脆弱性から保護するために、以下の保護対策を提供しています。
ウイルス対策
侵入防止システム
シマンテックは、最善の保護対策を提供できるように、この攻撃の調査を続ける予定です。いつものように、最新のソフトウェアパッチを適用してシステムを最新の状態に保ち、疑わしい電子メールは開かないようにすることをお勧めします。また、このような攻撃から保護するために、シマンテックの最新技術をお使いいただき、シマンテックのコンシューマ向けまたはエンタープライズ向けの最新ソリューションを導入してください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
En los últimos años, han aparecido informes que detallan las actividades y actores detrás de varios ataques persistentes o APT. En Symantec Security Response hemos seguido de cerca a un grupo que consideramos entre los mejores de su clase, lo denominamos como “Hidden Lynx” (lince escondido) por una cadena encontrada en las comunicaciones de servidores de control y comandos. “Hidden Lynx” es un grupo con un impulso y deseo que superan a otros grupos muy conocidos, tales como APT1/Comment Crew. Las principales características de este grupo son:
Estos atributos se ven en las fuertes campañas y ataques que han realizado contra múltiples blancos en simultáneo durante un período de tiempo ininterrumpido. El grupo es pionero de la técnica “watering hole” que se utiliza para emboscar a los blancos o víctimas. Tienen acceso temprano a vulnerabilidades de día cero, además de la tenacidad y paciencia de un cazador inteligente para comprometer la cadena de suministros y así llegar a su blanco real. Estos ataques a las cadenas de suministro se llevan a cabo infectando computadoras de un proveedor del blanco planeado y luego esperando a que las computadoras infectadas se instalen y contacten a su base. Claramente, estas son acciones calculadas y no incursiones impulsivas de amateurs.
Asimismo, el grupo no se limita a un conjunto de blancos pequeño, sino que atacan a cientos de organizaciones distintas en muchos países diferentes, incluso al mismo tiempo. Dada la amplitud y el número de blancos y países involucrados, es muy probable que la organización esté formada por hackers profesionales contratados por clientes para obtener información. Ellos roban lo que sea que les pueda interesar a sus clientes bajo pedido. De ahí la gran variedad y amplitud de blancos.
También creemos que para llevar a cabo ataques a esta escala, el grupo debe tener una experiencia considerable de hackeo a su disposición, tal vez entre 50 y 100 empleados organizados en por lo menos dos equipos que llevan a cabo distintas actividades con diferentes herramientas y técnicas. Los tipos de ataques identificados requieren tiempo y esfuerzo para desplegarse, y en algunos casos, las campañas requieren de recolección de inteligencia y una investigación antes de articular los ataques con éxito.
Al frente de este grupo hay un equipo que utiliza herramientas desechables junto con técnicas básicas pero efectivas para atacar a muchos blancos distintos. También pueden actuar como recaudadores de inteligencia. Hemos llamado a este equipo el “Equipo Moudoor”, por el nombre del troyano que utilizan. “Moudoor” es un troyano de puerta trasera que el equipo utiliza con libertad, sin preocuparse por ser descubierto por las empresas de seguridad. Un segundo equipo actúa como una unidad de operaciones especiales, personal de élite, que se dedica a los blancos más valiosos o más resistentes. El equipo de élite usa un troyano llamado Naid y por eso nos referimos a él como “Equipo Naid”. A diferencia de “Moudoor”, el troyano “Naid” se usa moderadamente y con cuidado para evitar detección y captura. Funciona como un arma secreta que solamente se utiliza cuando fallar no es una opción.
Según nuestra investigación, desde 2011 el grupo realizó al menos seis campañas importantes, de las cuales la más notable es la campaña de ataque VOHO descubierta a mediados de 2012. Lo especialmente interesante de este ataque fue el uso de la técnica de “watering hole” y que se comprometió la infraestructura confiable de registro de archivos de Bit9. La campaña VOHO tenía como objetivo final atacar contratistas de defensa de los Estados Unidos cuyos sistemas estuvieran protegidos por el software de seguridad basado en archivos confiables de Bit9. Cuando el progreso de los atacantes de “Hidden Lynx” se vio bloqueado por este obstáculo, reconsideraron sus opciones y descubrieron que la mejor manera de esquivar la protección era comprometer el propio centro de la protección y usarlo para sus propósitos. Así que eso fue exactamente lo que hicieron cuando dirigieron su atención a Bit9 y atravesaron sus sistemas. Una vez adentro, los atacantes rápidamente encontraron el camino a la estructura de registro de archivos que era la piedra fundamental del modelo de protección de Bit9 y luego usaron el sistema para registrar una serie de archivos de malware, mismos que después se usaron para vulnerar a los blancos planeados.
Para aquellos interesados en obtener más información sobre esta investigación, hemos publicado un informe que describe al grupo y los ataques que han realizado.
También compartimos a continuación una infografía con datos clave sobre el prolífico grupo “Hidden Lynx”.
On September 17, Microsoft issued an advisory reporting a new zero-day vulnerability in Internet Explorer: Microsoft Internet Explorer Memory Corruption Vulnerability (CVE-2013-3893). The advisory states that the vulnerability may corrupt memory in a way that could allow attackers to execute arbitrary code. The attack works by enticing users to visit specially crafted websites that host the vulnerability through Internet Explorer. Microsoft also states that at this time the vulnerability is known to be exploited in only a limited number of targeted attacks.
While Microsoft is yet to release a patch for this vulnerability, they have provided a temporary “Fix It” tool solution as a workaround until a security update is made available. To ensure Symantec customers are protected against this Internet Explorer zero-day, the following protection has been put in place:
Antivirus
Bloodhound.Exploit.513
Intrusion Prevention System
Web Attack: Microsoft Internet Explorer CVE-2013-3893
Web Attack: MSIE Memory Corruption CVE-2013-3893 3
Symantec will continue to investigate this attack to ensure the best possible protection is in place. As always, we recommend that users keep their systems up-to-date with the latest software patches and refrain from opening any suspicious emails. We also advise customers to use the latest Symantec technologies and incorporate the latest Symantec consumer and enterprise solutions to best protect against attacks of this kind.
過去数年間で、各種の標的型攻撃や APT（Advanced Persistent Threat）の背後に存在する集団の活動について、詳しい報告が目に付くようになってきました。シマンテックセキュリティレスポンスは、なかでも特に精鋭と考えられるグループについて監視を続けており、これを Hidden Lynx（謎の山猫）と命名しました。この名前はコマンド & コントロールサーバーとの通信で見つかった文字列に由来します。このグループの貪欲さと機動力は、APT1/Comment Crew といった、よく知られている他のグループと比べても飛び抜けており、次のような特徴があります。
同時に複数の標的に対して長期的に続いている執拗な攻撃活動に、こうした特徴が見て取れます。標的を待ち伏せる「水飲み場型」攻撃の先駆者であり、ゼロデイ脆弱性にもまっ先に目を付けます。そして、真の標的にたどり着くためにまずサプライチェーンに侵入するという、まるで熟練したハンター並の粘り強さも持ち合わせています。サプライチェーン攻撃を仕掛けるには、まず狙った標的組織のサプライヤのコンピュータに侵入します。そのうえで、感染したコンピュータが設置され、応答するのを待ちます。これは間違いなく冷静に計算し尽くされた行動であり、素人の衝動的な思いつきなどではありません。
このグループの攻撃は少数の標的に限定されているわけではなく、さまざまな地域で何百もの組織が同時に狙われることもあります。被害を受けた標的や地域の数と多様さを考えると、このグループは雇われのプロハッカー集団である可能性が高く、クライアントと契約して情報を提供しているものと推察されます。クライアントが望む情報を依頼に応じて盗み出しているため、標的が多様化しているのでしょう。
また、これほどの規模で攻撃を実行するためには、ハッキングに関して相当の専門知識を自在に操れることが必要です。グループにはおそらく 50 ～ 100 人規模の工作員が雇われており、それが少なくとも 2 つ別個のチームに編成され、異なるツールや技術を用いてそれぞれ別の活動に当たっていると考えられます。こうしたタイプの攻撃を実行するには時間と労力が必要であり、ときには攻撃に成功するために事前の調査と情報収集が必要な場合もあります。
このグループでも最前線に立っているのが、基本的ながらも効果的な手口と使い捨てのツールを利用してさまざまな標的を攻撃しているチームです。このチームは情報収集活動にも当たっており、使われているトロイの木馬にちなんで Team Moudoor と呼ばれています。Moudoor はバックドア型のトロイの木馬で、セキュリティ企業による検出を意に介することなく奔放に使われています。これとは別に、特殊作戦部隊のような機能を果たしているチームもあります。かつて、非常に貴重で厳重な標的に侵入したことのあるエリート集団です。このエリートチームは、Naid という名前のトロイの木馬を使っていることから、Team Naid と呼ばれています。Moudoor とは異なり、Naid は検出や捕捉を避けるために非常に慎重に使われています。さながら、絶対に失敗が許されない秘密兵器のようです。
このグループは、2011 年以降少なくとも 6 件の重大な活動に関わっていることが確認されています。特に有名なのが、2012 年 6 月の VOHO 攻撃です。この攻撃で特に注目に値するのは、水飲み場型攻撃の手口が使われたことと、Bit9 社の信頼済みファイル署名インフラが侵害されたことです。VOHO 攻撃の最終的な標的は米国の軍事企業で、そのシステムは Bit9 社の信頼ベースのソフトウェアで保護されていました。その保護機能によって攻撃が遮断されたときに、Hidden Lynx は作戦を見直し、保護をすり抜けるには保護システムの心臓部そのものに侵入して、自分たちの目的に合わせて悪用するのが一番だと気づきます。こうして Hidden Lynx は、Bit9 社に攻撃の目を向け、そのシステムを侵害したのです。侵害を果たした攻撃者は、Bit9 社の保護モデルの基盤であるファイル署名インフラへの侵入路も瞬時に見つけだします。そして、このシステムを使って多数のマルウェアファイルに署名し、さらにその署名済みのファイルを使って最終的な標的への侵入に成功しました。
さらに詳しい情報については、Hidden Lynx グループと、その攻撃活動について解説したホワイトペーパー（英語）を参照してください。
また、多くの被害をもたらしている同グループについて重要な情報をまとめた、以下の解説画像もご覧ください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。