Contributor: Avdhoot Patil
The internet can be a dangerous place with security threats lurking from every direction, and it gets worse when threats meld together. Phishing today is a major part of cybercrime and phishers have recently gained interest i…
It was with quite some skepticism that I accepted Peter Szor’s invitation to go surfing with him five years ago. I had tried surfing several times before but had been disappointed by the lack of adrenalin. I came from a snowboarding background and everyone had told me to try surfing because it was so similar. I had tried it, several times, and I was not impressed. It was mostly about sitting around waiting for something to happen. Where is the adrenalin? Where is the rush?
Peter Szor holding his book The Art of Computer Virus Research and Defense, I was looking for a picture of him out surfing but I realized that sadly I don’t have any pictures with him at all.
At first Peter wanted to take me (a true novice) to his secret spot* in Malibu, a point break with a rocky bottom that would cut you to pieces if you fell the wrong way. In fact, I remember Peter arriving to work one morning and asking me to have a look at a three inch gash on his head wanting to know if I thought it needed stiches! Not only did he want to take me to this treacherous razor-wire-for-a-sea-bed secret spot (treacherous in my mind anyway) but he also wanted to pick me up at 4:45 AM so we could get out to this spot, about a 45 minute drive from the office, and be ready for the swell he knew was coming. I didn’t want to rock his enthusiasm so I accepted. I think some other people advised him on the “hidden” danger of his strategy and, luckily, he thought better of the first outing and took me close to Santa Monica pier instead at a much more reasonable 6:30 AM.
I don’t know if Peter had read the stress lines appearing on my face or if he was just explaining his own philosophy to me that day. I was new in town and I suppose the stress was starting to show—the stress of being in a new city, a new country and a new role, the stress of taking over and building a new team, setting up the office, as well as dealing with all the normal craziness and hustle and bustle that an incident response role incurs on a daily basis. Whether he was an astute observer or not, I can still clearly remember that early morning surfing session and the conversation we had. In a year of new experiences, arriving in Los Angeles that morning still stands crystal clear in my memory.
We had paddled out together, a little past the break, and we were sitting on our boards waiting… and waiting… I was in the ready position my board facing towards the beach and the city, just waiting for the right wave to come. Peter was sitting upright on his board facing out instead to the ocean. He said “this is what I love about surfing” and at first I thought I misheard him. “There are no waves” I thought. “I’m not catching anything, it’s early, my arms are tired, and I’m just stuck here waiting”. I told myself, “this guy is losing it”.
“I love to come out here in the morning,” he continued, “turn my back on the city, look out on the ocean and just let all the stress go, have the sun on your face, the blue sky above you, nature all around you, feel the calm of the ocean and just relax. If I catch a wave that’s great, that’s a bonus, but I can just sit here and pretend the stress of the city doesn’t even exist and revel in nature”. And here I was scratching at this ocean and trying to bend it to my liking, trying my hardest to get something out of waking up early, trying so hard to be productive. So, like Peter, I stopped, turned my board around, and for the first time enjoyed surfing.
One minute later Peter was up and away on a nice wave he had spotted while his back was turned away from the city. He sailed by me smiling, giving a thumbs up as he passed. It took me quite a few more sessions before I could enjoy a wave in that way but I have never looked at surfing the same since.
That wasn’t the only thumbs up he sent my way. On a professional level he also gave me some much needed thumbs up during my first years in the Los Angeles office. I appreciated his kind words since, even though he sat just one cubicle away, he did not work on my team or benefit from my work in any way. Affirmation of your work has added gravitas coming from someone with more than 20 years of experience, 40 patents, a book, and numerous papers to their name. Actually the breadth of his patents is still a constant annoyance to me as I try to patent ideas and find out “oh, that’s covered by Peter’s XX patent from 10 years ago”. But that I can handle.
The last time I saw Peter was about two months ago. We went out paddling in Huntington Beach which is where he had relocated to when he started working with McAfee. Huntington is at least an hour drive away so meeting up was not as easy as before and on the occasions when he did come up my direction, to Santa Monica, he was visiting family so surfing was the last thing on his mind. I needed to have a work related conversation with him that week. I wanted his input on a situation many security companies were dealing with at the time. He was familiar with many companies, having worked at F-Secure and McAfee, as well as Symantec. So we agreed to meet up to discuss work and to catch some waves at the same time.
We headed out to Bolsa Chica state beach and were in the water for about an hour. The waves were bad but the day was good. With not much surfing to be done Peter was just enjoying the water, chatting with other surfers, asking them about their boards, showing off his, and just generally talking to everyone. We had lunch together and talked for a few hours. He showed me his new house, raved about his new wife—who was away that day so I didn’t get to meet her—and we caught up on his new role at McAfee.
I didn’t see him again after that. I was planning (and attending) my wedding in Hong Kong. When I returned two weeks ago and contemplated getting in the water again, I thought of Peter. I wanted to call him to go out paddling again. In the end I was still jetlagged so I put off the surfing and the call to Peter for one more week, one week too long.
I’m sad that I won’t get a chance to paddle out with Peter again, and to turn our backs to the city, and forget all the stress of life, to be one with nature and enjoy a piece of serenity with my friend for one more short moment.
May you look out on the ocean with your troubles far behind you forever Peter and may you Rest In Peace.
Liam.
*Secret spot: it’s not really a secret spot but someone had told Peter not to mention it to anyone so he felt terribly guilty mentioning it to me at all.
Note: We don’t have comments enabled here but feel free to tweet @liam_omurchu if you have your own stories with Peter.
Last week, the United Kingdom’s National Crime Agency (NCA) warned that tens of millions of customers were being targeted by the Cryptolocker malware through a mass spam campaign.
According to the alert, millions of UK customers received maliciou…
With six fewer days between Thanksgiving and Christmas this year, the highways are already busy with tractor trailers delivering merchandise to retailers, shoppers making gift runs, and families hitting the road or airports to travel “Over the River and Through the Woods” to Grandmother’s house. With all that moving around, it’s a given that someone […]
Most people today rely on email as their method for business communication – sending and receiving hundreds of emails every day. This dependence on email can create a weak link in securing corporate information and expose a company to attacks. Wh…
ここ最近、いくつものゼロデイ脆弱性が矢継ぎ早に出現しており、セキュリティ業界も世界中の IT 管理者も、その対応に追われています。集中攻撃の後で一息つく暇もなく、また新しいゼロデイ攻撃が登場し、問題を起こそうとしています。その対象は主として日本のユーザーです。今回の脆弱性は、日本のワープロソフトウェア「一太郎」に存在するからです。
一太郎の開発元、ジャストシステム社は先日、「複数の一太郎製品に存在する未解決のリモートコード実行の脆弱性」（CVE-2013-5990）により任意のコードが実行されることを発表しました。シマンテックは、2013 年 9 月にこの脆弱性の悪用を試みる攻撃が活動中であることを確認しましたが、シマンテックのテスト環境では、その悪用は機能せず、システムへの侵入は果たせませんでした。いつものとおり、シマンテックはこの発見に続いて、必要な脆弱性開示の手続きを取りました。
シマンテックの解析によると、今回の攻撃で Trojan.Mdropper として検出されるサンプルにはすべて、Backdoor.Vidgrab として検出される同じバックドア型のトロイの木馬が含まれていることが判明しています。悪用に成功すると、理論上はシェルコードが実行され、簡体字中国語版のメモ帳が投下されて起動する一方、システムが危殆化してバックドアがリモートサイトに接続します。これと同時に、同じ Backdoor.Vidgrab の亜種が、「Microsoft Internet Explorer のメモリ破損の脆弱性」（CVE-2013-3893）を悪用する水飲み場型攻撃のペイロードとして使われていました（この脆弱性に対しては 2013 年 10 月にパッチが公開済み）。このことから、Internet Explorer の脆弱性を悪用する攻撃と、一太郎の脆弱性を悪用する攻撃の背後には、同じマルウェアグループ、あるいは密接な関係にある別のグループが関与していると考えてもよさそうです。Backdoor.Vidgrab はアジア太平洋地域を狙っており、特に政府関連機関が主な標的となっていることがトレンドマイクロ社の調査によって明らかになっています。シマンテックの遠隔測定も、その見解と矛盾しません。
標的に Trojan.Mdropper が送信される際、電子メールには一太郎のファイル拡張子である .jtd の付いたファイルが添付されていますが、これは実際には .rtf（リッチテキスト形式）ファイルです。.jtd は一太郎専用のファイル形式なので、Microsoft Word でこのファイルを開くことはできません。この攻撃活動で注目に値するのは、マルウェアグループが電子メールに使っている件名も本文も、一般的な標的型攻撃の場合とは異なっていることです。この標的型攻撃で使われている電子メールの例を以下の図に示します。
図. 標的型攻撃に使われている電子メール
この電子メールは、日本で人気のあるオンラインショッピングサイトで各種の商品を購入するようユーザーを誘導します。また、会員が購入した場合にはもれなく通常の 2 倍のポイントを獲得でき、送料も無料になると謳っています。電子メールの添付ファイルは、一太郎の悪用コードを含むチラシです。
2013 年 6 月、シマンテックは .jtd 拡張子を使う類似の Trojan.Mdropper の亜種を確認しましたが、その送り先も上記のマルウェアを受け取った組織でした。異なっているのはファイル形式で、今回の攻撃ではリッチテキスト形式が使われていますが、以前の攻撃では Microsoft Graph グラフを埋め込んだ Microsoft Word 文書が使われていました。特別に細工された Word 文書は、簡体字中国語版の Microsoft Office で作成されたものです。シマンテックの調査によると、この悪用コードも脆弱性の悪用に失敗しています。悪用に成功していれば、シェルコードによって以下の URL からマルウェアがダウンロードされるはずでした。
http://googles.al[削除済み]my.com/index.html
このドメインをホストしているサーバーは、Mandiant 社が「APT12」と呼ぶグループに関連しており、そのマルウェア自体は Trojan.Krast として検出されます。
APT12 グループに属していると思われる攻撃者は、BackdoorVidgrab も開発した可能性があり、同一ではないものの類似の標的を執拗に狙って、一太郎の悪用を試みているようです。この攻撃者は、悪用コードがうまく動作するかどうかをテストするための実験材料として標的を利用している可能性もあります。また、今回の攻撃はただの前哨戦であり、電子メールの効果的な本文や件名、たとえば標的を欺いて悪質な添付ファイルを開かせるだけの説得力がある本文や件名を見つけるために実施されたテストである可能性もあります。
今回ご報告した .jtd ファイルは Trojan.Mdropper として検出されます。また、シマンテックの .Cloud 製品でも、悪質な一太郎ファイルが添付された電子メールは安全に遮断されます。
一太郎をお使いのユーザーは、感染を防ぐために、ジャストシステム社から最新のパッチをダウンロードして適用するようにしてください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
今年 5 月、攻撃者が巧妙な手口を使って、大手のインターネットホスティングプロバイダに侵入し、内部の管理システムへのアクセスに成功しました。この攻撃者は、ユーザー名、電子メールアドレス、パスワードなどの顧客情報を狙っていたようです。内部の管理システムから顧客情報にアクセスしていましたが、攻撃が露見し、一定のセキュリティも実装していたため、侵害の範囲は抑えられました。顧客のパスワードはアクセス可能でしたが、ハッシュ化と salt 処理が行われていたため大量クラッキングは困難な状態でした。また顧客の財務情報にもアクセス可能でしたが、暗号化されていました。残念ながら、暗号化キーへのアクセスを防ぐことはできません。企業に対するデータ侵害と顧客データの大量ダンプがほぼ毎日のように報告されていますが、今回の攻撃はこれまでよりはるかに巧妙です。
攻撃者は、標的の環境が通常は十分に保護されていることを把握していました。特に、疑わしいネットワークトラフィックやファイルのインストールがあるとセキュリティ確認のきっかけになることがあるため、そのようなトラフィックやインストールを回避する方法が必要でした。その巧妙さを示すように、攻撃者はステルス性を備えた独自の Linux バックドアを考案し、セキュアシェル（SSH）や他のサーバープロセス内に自身を忍ばせていました。
攻撃者は、このバックドアを利用して（リモートコマンドの実行など）通常の機能を実行できますが、ここではネットワークソケットを開いたり、コマンド & コントロール（C&C）サーバーへの接続を試みたりすることはありません。代わりに、バックドアコードを SSH プロセスにインジェクトし、ネットワークトラフィックを監視してコロン、感嘆符、セミコロン、ピリオド（:!;.）という文字のシーケンスを探します。
このパターンが見つかると、バックドアは残りのトラフィックを解析し、Blowfish で暗号化され Base64 エンコードされたコマンドを抽出します。
図. インジェクトされるコマンドの例
こうすると、攻撃者は SSH やその他のプロトコルを介して通常の接続要求を行い、正規のトラフィック内に秘密のシーケンスを埋め込んで検出を回避できるようになります。コマンドが実行されると、結果が攻撃者に送り返されます。このバックドアコードは、セキュリティレスポンスがこれまでに解析してきた他の Linux バックドアと類似性はありません。
断片化されたファイルがライブラリを共有し、多くの関数をフックしているようです（read、EVP_CipherInit、fork、ioctl など）。コードが実行されると、以下の操作が実行されます。
このバックドアがネットワークに存在するかどうかを特定するには、”:!;.” という文字列（引用符を除く）が含まれるトラフィックを探してください。この文字列を含むトラフィックは、SSH ログには記録されません。SSHD プロセスをダンプし、その中から以下の文字列を検索する方法もあります（[値] はさまざまな値を示します）。
key=[値]
dhost=[値]
hbt=3600
sp=[値]
sk=[値]
dip=[値]
シマンテックは、このバックドアを Linux.Fokirtor として検出し、お客様を保護します。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
Malvertising is an abbreviation of malicious advertising and means that legitimate sites spread malware from their infected advertisement systems. There were many malvertising campaigns in last few years, some of them confirmed even on big sites like The New York Times, but most of them go unnoticed because they are well hidden and served only […]
The security industry, as well as IT administrators across the globe, has been busy recently dealing with multiple zero-day vulnerabilities emerging in quick succession. Before anyone has time to draw a breath after the barrage, yet another zero-day ha…
This blog post is based on the new Symantec Website Security Solutions free white paper, The Power to Destroy: How Malware Works which pulls together statistics from across Symantec’s global security network. The white paper is available in Frenc…