????????? Gameover Zeus ????????????????
国際的な法執行機関により、金銭詐取を目的としたボットネットや Cryptolocker ランサムウェアネットワークの背後にいる攻撃グループが所有している大規模なインフラが押収されました。
Tag Archives: Cryptolocker
How to protect yourself from the coming virus apocalypse
After the takedown of a major botnet, users have a “two-week window” to protect themselves against a powerful computer attack that ransoms people’s data and steals millions of dollars from unsuspecting victims. If you read our blog, you are familiar with the dangers of the Zeus Trojan and ransomware, and how people get infected. Here’s […]
GameOver Zeus May not be as Over as You Think
The FBI, along with the Department of Justice, announced a multinational effort on their website that has disrupted a botnet called GameOver Zeus. GameOver Zeus has infected millions of Internet users around the world and has stolen millions of dollars. The UK’s National Crime Agency (NCA) has worked closely with the FBI to crack […]
Energy Bill Spam Campaign Serves Up New Crypto Malware
Everyone hates getting bills, and with each new one it seems like the amount due just keeps getting higher and higher. However, Symantec recently discovered an energy bill currently being emailed to people that will hit more than just your bank account.
A recent spam campaign sending out emails masquerading as an Australian energy company is serving up the Cryptolocker malware…or at least that’s what the spammers want you to think. Once users become infected, they are told they are infected with Cryptolocker (Trojan.Cryptolocker) however, upon further research, Symantec discovered that the malware is not related to the original Cryptolocker virus and is merely a copycat attempting to cash in on the hype and infamy of Cryptolocker.
Energy bill gives users a shock
This particular spam campaign requires a lot of work from the victim to work but once it does, the user’s files will be encrypted and all the spammers have to do is wait for their ransom payment.
To infect users with the crypto malware, the spammers use a fake bill to lure recipients to a malicious website; however, the malware is not hosted here and it is just an evasive manoeuvre to evade any link-following technologies.
The email appears to be a legitimate electronic bill from an Australian energy company, complete with a balance outstanding. The recipient just has to click a link to view their bill.
Figure 1. Energy bill spam email
Once the link is clicked the user is directed to a website that appears to be a CAPTCHA entry page, but the numbers never change. Once the user enters the fake CAPTCHA and hits submit, they are directed to the next page, which contains a link to download the energy bill.
Figure 2. Fake CAPTCHA page
Figure 3. Download page
Clicking on the download link will save a zip file to the user’s computer. The folder contains an executable file disguised with a PDF icon in an effort to trick unsuspecting users into opening it. Opening this malicious file will cause all files on the compromised computer to be encrypted. Following this, a text file opens, informing the user that they have been hacked and that they must send an email to a specific address in order to get their files decrypted.
Figure 4. Text file
Figure 5. Notification of compromise
The malware also checks to see if Outlook or Thunderbird is installed on the compromised computer and, if so, harvests the email addresses in the user’s contact list. The addresses, which are presumably used to further spread the malware, are uploaded to the following remote location:
[https://]royalgourp.org/[REMOVED].php
Protection
Symantec advises users to be cautious of emails that request new or updated personal information. Users should also avoid clicking on links in suspicious messages.
Symantec detects this malware as Trojan.Cryptolocker.F
Messaging gateway and .cloud customers are protected from this spam campaign.
?? ?? ???? ??? ?? Gameover Zeus ??? ?? ??
Large swathes of infrastructure owned by the attackers behind the financial fraud botnet and Cryptolocker ransomware network seized by authorities.
Read more…
International Takedown Wounds Gameover Zeus Cybercrime Network
Large swathes of infrastructure owned by the attackers behind the financial fraud botnet and Cryptolocker ransomware network seized by authorities.
Read more…
Ransomware worse than CryptoLocker?
The name CryptoLocker makes the hairs on the back of our neck stand up, and now researchers tell us that something worse may be coming. You recall that CryptoLocker locks up users’ machines, encrypts the files, then demands a payment to unlock the encrypted files. Even if the actual malware is removed, the data remains […]
Cryptolocker に関する Q&A: 今年最大の脅威
サイバー犯罪者はいつでも、マルウェアを進化させる方法を探っています。ウイルス対策をめぐる研究や解析、対策が進み、ユーザー意識が向上したためマルウェアの威力が薄れ、拡散も鈍っていることから、進化が生存の鍵となっているからです。ランサムウェアは、この数年間でメディアに大きく取り上げられた結果、知らぬ間に犠牲になるユーザーが減り、その影響力や効果も半減するとともに、犯罪者にとって費用対効果も下がってきました。
このようにユーザー意識が高まった結果、2013 年最後の四半期にはサイバー犯罪の世界に新たな脅迫の手口が生まれました。それが Cryptolocker です。Cryptolocker は、貴重なデータを失うかもしれないという、ユーザーにとって最大の不安を突くことで広がっています。以前のランサムウェアはオペレーティングシステムをロックしてデータファイルを人質に取るものの、たいていは回復が可能でした。ところが、Cryptolocker は脅迫がもっと効果的になっており、攻撃者が持つ秘密鍵を使わない限り、ロックされたファイルを取り戻すことはできません。
以下の Q&A では、Cryptolocker と、それに対するシマンテックの保護対策についての概略をお伝えします。
Q: Ransomlock と Cryptolocker（別名 Ransomcrypt）の違いは何ですか?
Ransomlock と Cryptolocker の違いは、一般的に Ransomlock がコンピュータ画面をロックするのに対して、Cryptolocker は個々のファイルを暗号化してロックするという点です。被害者を脅迫して金銭を奪い取ろうとする点は共通しています。
Q: この脅威が発見されたのはいつですか?
Cryptolocker の被害が初めて確認されたのは、2013 年 9 月です。
Q: Cryptolocker は新しい脅威グループに属するものですか?
いいえ。侵入先のシステムでファイルを暗号化して身代金を要求する類似のマルウェアグループとして、シマンテックはこれまでにも Trojan.Gpcoder（2005 年 5 月）や Trojan.Ransomcrypt（2009 年 6 月）などを検出しています。
Q: Cryptolocker の重大度はどのくらいですか?
重大度は「高」です。万一 Cryptolocker によってファイルを暗号化され、そのファイルをバックアップしていなかった場合には、まず復元することはできません。
Q: Cryptolocker に感染しているかどうかを確認するにはどうすればよいですか?
感染した場合には、次のような身代金要求画面が表示されます。
図 1. Cryptolocker の身代金要求画面
Q: この脅威にはどのように感染しますか?
ソーシャルエンジニアリングの手口を使ったスパムメールを被害者に送りつけ、添付されている zip ファイルを開かせようと試みます。
図 2. Cryptolocker スパムメールの例
電子メールに添付されている zip ファイルを開くと、実行可能ファイルが含まれていますが、これは電子メールの内容に合わせて請求書に見せかけたり、別のソーシャルエンジニアリング手法で偽装されたりしています。この実行可能ファイルは Downloader.Upatre で、Trojan.Zbot をダウンロードします。Trojan.Zbot に感染すると、Downloader.Upatre は感染したシステムにさらに Trojan.Cryptolocker もダウンロードします。次に Trojan.Cryptolocker は、組み込みのドメイン生成アルゴリズム（DGA）を利用してコマンド & コントロール（C&C）サーバーに接続しようとします。アクティブな C&C サーバーが見つかると、感染したシステムでファイルを暗号化する際に使われる公開鍵がダウンロードされますが、それに対応する秘密鍵（ファイルの復号に必要です）はサイバー犯罪者のサーバーに残されたままです。秘密鍵はサイバー犯罪者の手の内に残り、定期的に変更される C&C サーバーにアクセスしない限り使用することはできません。
図 3. Cryptolocker の攻撃手順
Q: シマンテックは Cryptolocker や関連するマルウェアに対する保護対策を提供していますか?
はい。シマンテックは、この脅威に対して以下の検出定義を提供しています。
| 検出名 | 検出タイプ |
| Downloader | ウイルス対策シグネチャ |
| Downloader.Upatre | ウイルス対策シグネチャ |
| Trojan.Zbot | ウイルス対策シグネチャ |
| Trojan.Cryptolocker | ウイルス対策シグネチャ |
| Trojan.Cryptolocker!g1 | ヒューリスティック検出 |
| Trojan.Cryptolocker!g2 | ヒューリスティック検出 |
| Trojan.Cryptolocker!g3 | ヒューリスティック検出 |
| System Infected: Trojan.Cryptolocker | 侵入防止シグネチャ |
Symantec.Cloud サービスをお使いのお客様は、このマルウェアの拡散に使われているスパムメッセージからも保護されています。
このマルウェアを検出する以前の検出定義は、一部名前が変更されています。
- 2013 年 11 月 13 日以前のウイルス定義では、このマルウェアは Trojan.Ransomcrypt.F として検出されていました。
- 2013 年 11 月 14 日以前の侵入防止シグネチャ（IPS）では、「System Infected: Trojan.Ransomcrypt.F」として検出されていました。
Q: C&C サーバーはどのような形式ですか?
DGA で生成される最近のコマンド & コントロール（C&C）サーバーの例を以下に示します。
- kstattdnfujtl.info/home/
- yuwspfhfnjmkxts.biz/home/
- nqktirfigqfyow.org/home/
Cryptolocker はアクティブな C&C サーバーを検索するときに、見かけの類似したドメイン名を 1 日当たり 1,000 件まで生成できます。
Q: Cryptolocker はどのくらい高度ですか?
Cryptolocker 攻撃は、スパムメールとソーシャルエンジニアリングでお馴染みの手法を用いて感染を試みますが、Cryptolocker 自体も以下のように高度な技術を駆使しています。
- Cryptolocker は、メルセンヌツイスタ擬似乱数生成機能に基づいた DGA を採用し、アクティブな C&C サーバーを探します。
Q: この脅威の感染状況はどうですか?
この脅威に対するシマンテックの遠隔測定によると、現在は米国で多く感染が確認されています。報告されている件数は少ないものの、被害者にとって被害は深刻です。
図 4. 検出が報告された上位 5 カ国
Q: これまでにシマンテックはこれらの攻撃に関する情報を公開していますか?
はい。シマンテックは以下のブログを公開しています。
Q: 身代金の支払いに応じるべきですか?
いいえ。けっして身代金を払ってはいけません。サイバー犯罪者への支払いに応じると、さらにマルウェアによる攻撃を助長することになります。また、仮に支払っても、ファイルが復号される保証はありません。
Q: Cryptolocker 攻撃の背後にいるのは誰ですか?
Cryptolocker 攻撃の背後にいるサイバー犯罪者については、調査が進められているところです。
Q: この攻撃の影響を受けたファイルの復元方法についてアドバイスはありますか?
はい。シマンテックテクニカルサポートが以下の記事を公開しています。
Q: 被害を受けないようにするにはどうすればいいですか?
まず、情報セキュリティに関するベストプラクティスに従って、ファイルは常にバックアップしてください。また、最新のウイルス定義対策とソフトウェアパッチを使って、システムを常に最新の状態に保ち、疑わしい迷惑メールは開かないようにしてください。また、このような攻撃から保護するために、シマンテックの最新技術をお使いいただき、シマンテックのコンシューマ向けまたはエンタープライズ向けの最新ソリューションを導入してください。
Q: シマンテックはバックアップおよびディザスタリカバリソフトウェアを提供していますか?
はい。シマンテックは、Backup Exec ファミリー製品を提供しています。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
Cryptolocker Q&A: Menace of the Year
Cybercriminals are constantly looking for ways to evolve their malware. Evolution is the key for survival because antivirus research, analysis, countermeasures, and public awareness thwart the efficacy of malware and its spread. During the past year, Ransomware has received a lot of news coverage which has decreased the number of uninformed victims and lowered the impact and effectiveness of the malware along with the percentage of return to the criminal.
Due to this increased public awareness, in the last quarter of 2014 we have seen cybercriminals reorganize around a new type of extortion: Cryptolocker. This threat is pervasive and preys on a victim’s biggest fear: losing their valuable data. Unlike previous Ransomware that locked operating systems and left data files alone and usually recoverable, Cryptolocker makes extortion of victims more effective because there is no way to retrieve locked files without the attacker’s private key.
The following Q&A outlines Cryptolocker and Symantec’s protection against this malware:
Q: What is the difference between Ransomware and Cryptolocker (also known as Ransomcrypt)?
The difference between Ransomlock and Cryptolocker Trojans is that Ransomlock Trojans generally lock computer screens while Cryptolocker Trojans encrypt and lock individual files. Both threats are motivated by monetary gains that cybercriminals can make from extorting money from victims.
Q: When was this threat discovered?
In September 2013 the Cryptolocker threat began to be seen the wild.
Q: Is the Cryptolocker threat family something new?
No. Symantec detects other similar malware families such as Trojan.Gpcoder (May 2005) and Trojan.Ransomcrypt (June 2009) that encrypt and hold files ransom on compromised systems.
Q: What is the severity of this Cryptolocker threat?
The severity is high. If files are encrypted by Cryptolocker and you do not have a backup of the file, it is likely that the file is lost.
Q: How do I know I have been infected by Cryptolocker?
Once infected, you will be presented on screen with a ransom demand.
Figure 1. Cryptolocker ransom demand
Q: How does a victim get infected?
Victims receive spam email that use social engineering tactics to try and entice opening of the attached zip file.
Figure 2. Cryptolocker spam email example
If victims open the zip file attached to the email, they will find an executable file disguised to look like an invoice report or some other similar social engineering ploy, depending on the email theme. This executable file is Downloader.Upatre that will download Trojan.Zbot. Once infected with Trojan.Zbot, the Downloader.Upatre also downloads Trojan.Cryptolocker onto the compromised system. Trojan.Cryptolocker then reaches out to a command-and-control server (C&C) generated through a built-in domain generation algorithm (DGA). Once an active C&C is found, the threat will download the public key that is used to encrypt the files on the compromised system while the linked private key—required for decrypting the files— remains on the cybercriminal’s server. The private key remains in the cybercriminal control and cannot be used without access to the C&C server which changes regularly.
Figure 3. Cryptolocker attack steps
Q: Does Symantec have protection in place for Cryptolocker and the other associated malware?
Yes. Symantec has the following protection in place for this threat:
|
Detection name |
Detection type |
|
Antivirus signature |
|
|
Antivirus signature |
|
|
Antivirus signature |
|
|
Antivirus signature |
|
|
Heuristic detection |
|
|
Heuristic detection |
|
|
Heuristic detection |
|
|
Intrusion Prevention Signature |
Symantec customers that use the Symantec.Cloud service are also protected from the spam messages used to deliver this malware.
Some earlier Symantec detections that detect this threat have been renamed:
- Virus definitions dated November 13, 2013, or earlier detected this threat as Trojan.Ransomcrypt.F
- Intrusion Prevention Signature (IPS) alerts dated November 14, 2013, or earlier were listed as “System Infected: Trojan.Ransomcrypt.F”
Q: What do the C&Cs look like?
The following are recent examples of command-and-control (C&C) servers from the DGA:
- kstattdnfujtl.info/home/
- yuwspfhfnjmkxts.biz/home/
- nqktirfigqfyow.org/home/
Cryptolocker can generate up to one thousand similar looking domain names per day in its search for an active C&C.
Q: How sophisticated is this threat?
While the Cryptolocker campaign uses a common technique of spam email and social engineering in order to infect victims, the threat itself also uses more sophisticated techniques like the following:
- Cryptolocker employs public-key cryptography using strong RSA 2048 encryption. Once files are encrypted without the private key held on the attacker’s server, the victim will not be able to decrypt the files.
- Cryptolocker employs a DGA that is based on the Mersenne twister pseudo-random number generator to find active C&Cs.
Q: How prevalent is the threat?
Symantec telemetry for this threat shows that the threat is not very prevalent in the wild at present. While the numbers being reported are low, the severity of the attack is still considerable for victims.
Figure 4. Top 5 countries reporting detections
Q: Has Symantec previously released any publications around these attacks?
Yes, Symantec has released the following blogs:
Q: Should I pay the ransom?
No. You should never pay a ransom. Payment to cybercriminals only encourages more malware campaigns. There is no guarantee that payment will lead to the decryption of your files.
Q: Who is behind the Cryptolocker malware?
Investigations into the cybercriminals behind the Cryptolocker malware are ongoing.
Q: Is there any advice on how to recover files affected by this attack?
Yes, Symantec Technical Support has released the following article:
Q: Any advice on how to not become a victim?
Yes. First, follow information security best practices and always backup your files. Keep your systems up to date with the latest virus definitions and software patches. Refrain from opening any suspicious unsolicited emails. We also advise customers to use the latest Symantec technologies and incorporate the latest Symantec consumer and enterprise solutions to best protect against attacks of this kind.
Q: Does Symantec offer backup and disaster recovery software?
Yes. Symantec has the Backup Exec Family of products.
???????????????????????????
寄稿: Joseph Graziano
ソーシャルエンジニアリングスパムの新たな手口として、ユーザーを欺いてコンピュータ上でマルウェアを実行させようとする巧妙な手法が出回っています。今回マルウェア作成者が使っているのは、ウイルス対策ソフトウェア企業からの電子メールに偽装する手口です。エンドユーザー各自で重要なシステム更新をインストールする必要があると説明したうえで、ウイルス対策ソフトウェアの修正パッチを装ったファイルが添付されています。この電子メールは、Cryptolocker Trojan のように最近メディアを賑わせた新しい脅威を特に想定して、検出定義がまだ用意されていないかもしれないというユーザーの不安につけ込みます。この手のソーシャルエンジニアリングは、ユーザーを誘導して添付ファイルを開かせ、実際には何がインストールされるのかを深く考えないまま修正パッチと称するマルウェアをインストールさせようとするのが特徴です。
シマンテックが確認した電子メールの件名は多岐にわたりますが、なかには著名なセキュリティ企業の名前も使われています。
- AntiVir Desktop: Important System Update – requires immediate action（AntiVir Desktop: 重要なシステム更新のお知らせ – 緊急対応が必要です）
- Avast Antivirus: Important System Update – requires immediate action（Avast Antivirus: 重要なシステム更新のお知らせ – 緊急対応が必要です）
- AVG Anti-Virus Free Edition: Important System Update – requires immediate action（AVG Anti-Virus Free Edition: 重要なシステム更新のお知らせ – 緊急対応が必要です）
- Avira Desktop: Important System Update – requires immediate action（Avira Desktop: 重要なシステム更新のお知らせ – 緊急対応が必要です）
- Baidu Antivirus: Important System Update – requires immediate action（Baidu Antivirus: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- Cloud Antivirus Firewall: Important System Update – requires immediate action（Cloud Antivirus Firewall: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- ESET NOD32 Antivirus: Important System Update – requires immediate action（ESET NOD32 Antivirus: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- Kaspersky Anti-Virus: Important System Update – requires immediate action（Kaspersky Anti-Virus: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- McAfee Personal Firewall: Important System Update – requires immediate action（McAfee Personal Firewall: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- Norton AntiVirus: Important System Update – requires immediate action（ノートン アンチウイルス: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- Norton Internet Security: Important System Update – requires immediate action（ノートン インターネットセキュリティ: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- Norton 360: Important System Update – requires immediate action（ノートン 360: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- Symantec Endpoint Protection: Important System Update – requires immediate action（Symantec Endpoint Protection: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
- Trend Micro Titanium Internet Security: Important System Update – requires immediate action（Trend Micro Titanium Internet Security: 重要なシステム更新のお知らせ – 緊急に対応が必要です）
件名は異なっていても、添付された zip ファイルに悪質な実行可能ファイルが含まれている点は変わりません。
マルウェアが実行されると、networksecurityx.hopto.org に接続して別のファイルがダウンロードされます。このマルウェアは、ozybe.exe というプロセスを使ってタスクを実行します。
保護対策と基本的なセキュリティ対策（ベストプラクティス）
これらの電子メールや類似の電子メールは、Symantec Email Security.cloud の Skeptic スキャナによって、エンドユーザーに届く前に遮断されます。また、シマンテックは、この攻撃に関連するファイルを以下の定義名で検出します。
ソーシャルエンジニアリングスパムによる攻撃の被害者にならないように、以下の基本的なセキュリティ対策（ベストプラクティス）に従うことをお勧めします。
- 電子メールメッセージの中の疑わしいリンクはクリックしない。
- 知らない相手から送信された電子メールの添付ファイルは開かない。
- 電子メールに返信するときに個人情報を記述しない。
- ノートン インターネットセキュリティやノートン 360 など、フィッシング詐欺やソーシャルネットワーク詐欺から保護する統合セキュリティソフトウェアを使う。
- 電子メールで送られてきたリンクや、ソーシャルネットワークに掲載されているリンクがどんなに魅力的でも不用意にクリックしない。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。