Severity Rating: Revision Note: V2.0 (February 11, 2014): Revised advisory to announce that the 2862973 update for all affected releases of Microsoft Windows is now offered through automatic updating. Customers who previously applied the 2862973 update…
Severity Rating: Revision Note: V1.2 (February 11, 2014): Rereleased advisory as a reminder to customers that the dormant changes implemented with MS13-098 will be enabled on June 10, 2014. After this date, Windows will no longer recognize non-complian…
Severity Rating: Revision Note: V2.0 (February 11, 2014): Revised advisory to announce that the 2862973 update for all affected releases of Microsoft Windows is now offered through automatic updating. Customers who previously applied the 2862973 update…
The AVAST Free for Education team spent a week in Orlando, Florida at one of the country’s premier educational technology conferences, FETC. School administrators, IT professionals, media specialists, and educators visited our comfy booth, all curious about what the world’s most trusted antivirus software company was doing there. Here’s a run-down of the Top 10 […]
The AVAST Free for Education team spent a week in Orlando, Florida at one of the country’s premier educational technology conferences, FETC. School administrators, IT professionals, media specialists, and educators visited our comfy booth, all curious about what the world’s most trusted antivirus software company was doing there. Here’s a run-down of the Top 10 […]
Modern cyberespionage campaigns are regularly defined by their level of sophistication and professionalism. “The Mask”, a cyberespionage group unveiled by Kaspersky earlier today, is no exception. Symantec’s research into this group shows that The Mask has been in operation since 2007, using highly-sophisticated tools and techniques to compromise, monitor, and exfiltrate data from infected targets. The group uses high-end exploits and carefully crafted emails to lure unsuspecting victims. The Mask has payloads available for all major operating systems including Windows, Linux, and Macintosh.
An interesting aspect of The Mask is the fact that they are targeting the Spanish-speaking world and their tools have been specifically designed for this. The targets appear to reside mainly in Europe and South America.
The longevity of the operation, the access to highly sophisticated tools, and the precise and targeted nature of the victims indicate this is a very professional, well organized team with substantial resources.
Targeting the victim
The Mask typically infects the victim with a highly targeted email. Using the lure of a CV (resume) or political content, the attachments observed have been in the form of malicious PDF or Microsoft Word documents. The following is a sample of some of the attachment names used:
Upon opening the document, the recipient is presented with what looks like a legitimate document, however a malicious remote access Trojan (RAT) is also installed, allowing full remote access to the compromised computer. Once compromised, The Mask can then install additional tools for enhanced persistence and cyberespionage activities.
Cyberespionage – a professional suite
The Mask has a suite of tools at its disposal. One tool in particular distinguishes this group from typical cyber operations. Backdoor.WeevilB, a sophisticated cyberespionage tool that is modular in nature, has a plugin architecture and has a myriad of configuration options. This tool is reminiscent of those associated with other sophisticated campaigns such as Duqu, Flamer, and MiniDuke. However there is no evidence that The Mask is associated with these campaigns.
The default install boasts nearly 20 modules purpose built for intercommunication, network sniffing, activity monitoring, exfiltration, and rootkit capabilities.
Figure. Some of The Mask’s modules
The plugin architecture allows for additional modules to be downloaded and loaded on the fly. The Trojan can log activity in all the major browsers and has a comprehensive list of file extensions to gather information on. The types of documents targeted by the Trojan are:
The information can then be securely exfiltrated to attacker controlled servers using the HTTPS protocol.
The data-stealing component provides clues as to The Mask’s targets. It searches for documents in Spanish-language pathnames, for example “archivos de programa”, indicating that their targets are running Spanish-language operating systems.
Conclusion
Cyberespionage campaigns conducted by professional teams are increasingly common. Numerous espionage operations spanning years have been highlighted over the last few years. Examples include Flamer, MiniDuke, and Hidden Lynx. The Mask joins this notorious list but also shows how the targets of these sophisticated campaigns are becoming increasingly diverse. Coinciding with these campaigns has been the emergence of companies who develop tools for use in espionage campaigns. Companies such as Hacking Team and Gamma International provide remote access suites that offer sophisticated surveillance capabilities. All of this serves to highlight how the geographical and technical boundaries of cyberespionage are expanding.
Protection
Symantec has the following detection in place for this threat.
We also provide network protection with the following Intrusion Prevention Signature:
System Infected: Trojan.Weevil Activity
このブログではウェブサイトやその上で動作しているウェブアプリケーションの脆弱性について紹介すると共に注意喚起をする目的でまとめられています。
今回は2013年に公表されたApache Strus2の脆弱性(S2-016)の概要、影響、対策について解説をしています。
※なお、内容に関しましてはHASHコンサルティング株式会社の徳丸 浩様に監修いただいています。
＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋＋
Apache Struts2の任意コード実行可能な脆弱性S2-016(CVE-2013-2251)
■概要
Apache Struts2（2.0.0-2.3.15）には、外部から指定した任意のプログラムを許してしまう脆弱性S2-016(CVE-2013-2251)があります。これはすなわち、インターネット経由で、攻撃者がサーバー上で勝手にプログラムを実行できるという意味です。その結果、情報漏洩、データやページの改ざん、他のサーバーへの攻撃、サービスの停止などさまざまな影響を受ける可能性があります。
Struts2には、OGNL(Object-Graph Navigation Language)というJavaに似た言語がサポートされ、Web開発をサポートしています。OGNLはStruts2の様々な場所で使えますが、外部からOGNLが指定できてしまうとセキュリティ上問題なので、外部から指定できないように制限されています。
しかし、一部に制限漏れがあり、細工したURLを閲覧することで、外部からOGNL式を指定できる箇所が見つかりました。式には「プログラム実行」を指定することもできるため、この脆弱性は、前述のような大きな影響があります。
■攻撃のイメージと影響
Struts2のサンプルアプリblankに対して、サーバー上で3 * 4の計算をするには下記のURLを実行します。
http://example.jp/struts2-blank/example/X.action?action:%25{3*4}
3 * 4のかけ算をサーバー上で計算しても実害はありませんが、同様の手順によりサーバー側で「任意のプログラム」を実行することができます。
■脆弱性による影響
この脆弱性による影響の例として下記がありますが、これらに限りません。
■脆弱性の有無の確認方法
S2-016は外部からの診断で見つけることは難しいとされており、Struts2が設置されているサーバー上で下記のコマンドを実行する方法が確実です。
|
# find / -name ‘struts2-core*.jar’ /var/lib/tomcat7/webapps/struts2-blank/WEB-INF/lib/struts2-core-2.3.15.jar |
上記の太字の部分がStruts2のバージョンです。上記の実行例では、2.3.15となります。2.3.15以下の数字であれば当該脆弱性があります。2.3.15.1以降であれば対策されたバージョンです。
■対策
Struts2をバージョンアップすることで対策となります。前述のように2.3.15.1以降で対策されていますが、特別な事情がなければ最新版のStruts2（本稿執筆時点では2.3.16）の導入を推奨します。
Struts2のバージョンアップ自体はjarファイルの入れ替えのみであり短時間で終わりますが、バージョンアップによるアプリケーションの影響の検証が必要であり、検証には時間を要する場合があります。すぐに検証が終わらない場合や、検証の結果アプリケーションに不具合が生じてアプリケーションの改修が必要な場合は、回避策を導入する必要があります。回避策の1つとして、WAF(Web Application Firewall)の導入があります。S2-016による攻撃は特徴的であるため、WAFによる防御は有効です。
なお、「シマンテック クラウド型WAF」では、S2-016の脆弱性をからウェブサイトが攻撃を受けるのを防ぐことができます。
■参考文献
史上最悪の銀行強盗は、2005 年にブラジルで起きたものです。この事件で、銀行強盗団は鋼鉄と強化コンクリートでできた厚さ 1.1m もの壁に穴を開け、紙幣が保管されている 3.5 トンものコンテナを運び出しました。このとき、約 1 億 6,000 万ブラジルドル（3 億 8,000 万米ドル相当）が盗み出されています。
一方、最近の強盗は壁に穴を開けたりせずに金銭を盗み出します。自宅でコンピュータの前でくつろぎながら銀行を襲えるのです。サイバー犯罪によって、企業は百万ドル単位の財政的な損害を被っています。シマンテックのホワイトペーパー「State of Financial Trojans 2013（金融機関を狙うトロイの木馬の 2013 年における概況）」（英語）でも、オンラインバンキングを狙うトロイの木馬の急増が指摘されています。Zeus や Spyeye などの一般的なマルウェアを別にすると、サイバー犯罪者がオンラインバンキングを狙って最近よく使っているのは、Tiylon というマルウェアです。このトロイの木馬は、MITB（Man-in-the-Browser）攻撃を使って、オンラインバンキングサイトでユーザー認証とトランザクション承認を傍受します。
標的型攻撃による最初の感染
Tiylon は、スパム対策フィルタをすり抜けるために、短い電子メールの添付ファイルとして送られてくるのが普通です。オンラインバンキングを狙うトロイの木馬（Zeus など）を使う大部分のスパム攻撃と異なり、Tiylon の電子メールは標的型攻撃の一部となっています。シマンテックの遠隔測定によると、この攻撃では世界のいくつかの地域でオンラインバンキングユーザーが狙われていますが、特に英国、米国、イタリア、オーストラリア、日本に攻撃が集中しています（図 2）。
図 1. 悪質なファイルが添付されている Tiylon の電子メール
この脅威は、ダウンローダ、メインコンポーネントファイル、設定ファイルという 3 種類のファイルで構成されています。
ダウンローダファイル
ダウンローダはロードポイントとして機能し、メインコンポーネントファイルをインストールする機能を持ちます。ダウンローダが実行されると、コンピュータのシリアル番号からシステム情報が構成され、攻撃者が用意したコマンド & コントロール（C&C）サーバーへの接続が確立されます。接続が確立すると、以下のレジストリキーが作成されます。
ダウンローダは次に、explorer.exe と svchost.exe にコードをインジェクトし、悪質な活動を開始します。
メインコンポーネントファイル
メインコンポーネントファイルは、Tiylon のダウンローダファイルによってダウンロードされ、復号されます。このコンポーネントは、C&C サーバーから設定ファイルを収集して、攻撃のパラメータを指定します。また、レジストリ設定を操作してコンピュータとブラウザのセキュリティを低下させる機能も備えています。また、これはユーザーと金融機関の Web サイトとの通信を傍受するコンポーネントでもあります。
主として以下のような機能を持っています。
Tiylon は、インストールされているアプリケーションとディレクトリを調べて検出をすり抜けようと試みます。また、コンピュータが仮想マシンかどうかを判定するために、プロセスリストも確認します。C&C サーバーは、悪質な活動を検出できる環境を見つけると、そのコンピュータの IP アドレスを使用禁止扱いとして、他のユーザーへの感染を試みます。検出をすり抜ける確率を高くするために、シマンテック製以外のウイルス対策ソフトウェアに対して強制的に例外を設定する場合もあります。マルウェアのコード自体が不明瞭化されており、複数のパッケージングサイクルがあることからも、解析が困難になっています。
攻撃の発生期間
Tiylon の攻撃が起きたのは、2012 年 1 月 1 日から 2013 年 10 月 1 日の間です。
表 1. Tiylon による攻撃の国別の件数
図 2. Tiylon による攻撃の件数を国別に示したアニメーション
シマンテック製品をお使いのお客様は、以下のウイルス対策定義と IPS 検出定義で Tiylon の攻撃から保護されています。
ウイルス対策:
IPS:
脅威から保護するために、最新のソフトウェアパッチと検出定義を適用することをお勧めします。今回の Tiylon の場合は特に、お使いの電子メールクライアントに対応したスパム対策ソリューションをインストールし、疑わしい添付ファイルは開かないようにしてください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
10 月の全米サイバーセキュリティ意識向上月間（National Cyber Security Awareness Month）や、2 月のインターネット安心デー（Safer Internet Day）に限らず、日常的にオンラインの安全性を意識することは常に大切です。日常生活へのテクノロジの浸透が進み続けている今、自身の情報やデジタル ID を確実に管理するためのセキュリティ機能や設定を使用してください。
時代はソーシャル
今日のインターネットで最も大きい潮流は、ソーシャルです。今この瞬間にも私の友人たちは、Pinterest に結婚式のアイデアをピンする、Instagram にカフェラテの写真を投稿する、Snapchat で今日の服装を送る、Foursquare でレストランにチェックインする、Vine で飼い猫の動画を投稿する、Facebook で赤ちゃんの写真を共有する、Twitter で『ウォーキング・デッド』プレミアの予想を投稿するといった行為に勤しんでいます。こういったサービスは、人気が高くなればなるほど、詐欺やスパム、フィッシング攻撃の標的となる頻度も高くなります。
設定の確認
シマンテックセキュリティレスポンスは、各種のソーシャルネットワークやソーシャルアプリのプライバシー設定とセキュリティサービスを十分に理解しておくことを推奨しています。
敵を知る
ソーシャルネットワークやソーシャルアプリのユーザーにとって最大の敵は、ソーシャルアカウントを乗っ取ってスパムを拡散し、アンケートの記入やアプリのインストールを求めてくるスパマーや詐欺師です。
知識は力なり
新しいソーシャルネットワークサービスやソーシャルアプリが人気を集めて主流になったとき、詐欺師やスパマーがそれを黙って見逃すことはありません。手間を惜しまずに、各サービスで提供されているプライバシー設定やセキュリティ機能を理解することが、オンラインでの安全とセキュリティの向上の第一歩です。また、情報を狙っている相手や、情報を狙ってユーザーを欺こうとするそのさまざまな手口を知れば、リンクをクリックするとき、投稿を共有するとき、あるいはパスワードを入力するときのそれぞれで、安全かどうかを適切に判断できます。
各種ソーシャルネットワーク上の友人や家族にもこのブログを共有して、注意を呼び掛けてください。
最新のソーシャルネットワーク詐欺に関する情報は、Twitter で @threatintel をフォローするか、セキュリティレスポンスブログをご購読ください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
Sea el Día de Internet en mayo o el Día de Internet Seguro en febrero, siempre es importante proteger nuestra información cuando estamos conectados en Internet. A medida que la tecnología se incorpora en nuestra vida diaria, existen configuraciones y opciones de seguridad que pueden utilizarse para garantizar que nuestra información e identidad digital estén bajo control.
Vivimos en un mundo social
En Internet, la fuerza más dominante hoy día es la social. En este momento, muchos amigos míos están compartiendo fotos con ideas para bodas en Pinterest, editando y compartiendo fotos de alimentos en Instagram, intercambiando imágenes de vestidos por redes sociales, haciendo check-in en restaurantes con la aplicación Foursquare, grabando videos cortos de sus mascotas con Vine, compartiendo fotos de sus hijos recién nacidos en Facebook o tuiteando sobre el estreno de la nueva temporada de The Walking Dead o los estrenos en cartelera. Así, a medida que esta forma de comunicarnos y estos servicios se hacen cada vez más populares, también se vuelven un objetivo más frecuente de intentos de fraudes cibernéticos, spam y phishing.
Conoce tus configuraciones
Symantec Security Response aconseja a los usuarios que se familiaricen con las configuraciones de privacidad y los servicios de seguridad que ofrece cada red social y las aplicaciones que usan, a continuación algunos puntos importantes.
Conoce a tu enemigo
Los grandes enemigos de los usuarios de redes sociales y aplicaciones son los creadores de spam y estafadores cibernéticos que quieren secuestrar nuestras cuentas de correo o redes sociales para enviar correos no deseados, para lograrlo, buscan convencernos para completar encuestas o instalar aplicaciones y así capturar nuestra información, por ello toma en cuenta lo siguiente.
Conocimiento es poder
Comprendamos que cuanto más populares sean los nuevos servicios de redes sociales y las aplicaciones, los creadores de spam y los estafadores estarán más cerca de ellos. Si nos tomamos el tiempo para entender las configuraciones de privacidad y las características de seguridad adicionales que ofrecen estos servicios, daremos el primer paso para estar más seguros y protegidos en línea. Además, si sabemos quién solicita nuestra información y conocemos las distintas maneras de engaños para robar nuestros datos, podremos decidir mejor en qué ligas hacer clic, qué publicaciones compartir y dónde es seguro teclear o ingresar nuestro nombre de usuarios y/o contraseña.
¿Quieres ayudar a otros usuarios de redes sociales? Comparte esta publicación con amigos y familiares que también participan en las redes sociales que utilices.
[i] Un token de seguridad (también token de autenticación o token criptográfico) es un dispositivo electrónico que se le da a un usuario autorizado de un servicio computarizado para facilitar el proceso de autenticación.
[ii] Botnet es igual a hablar de acciones maliciosas que se materializan a través de un recurso delictivo, y que en esencia siempre supone una actitud hostil de parte de quien las administra.