Tag Archives: Endpoint Protection (AntiVirus)

Os fraudadores e golpistas digitais iniciam suas campanhas para a Copa do Mundo da FIFA 2014

Hacker Medic February 3, 2014 No Comments

Com aproximidade da Copa do Mundo da FIFA 2014 é natural que muitas campanhas de marketing e promoções relacionadas a este evento global sejam veiculadas para aproveitar o entusiamo deste momento. Porém, entre todos os e-mails e mensagens legítimas, muitos golpes online também já comecaram a ocorrer, com promessas de entradas grátis para os jogos e até um carro ao vencedor de um sorteio.

Os fraudadores e golpistas digitais já iniciam seus ataques e exploram o tema ligado à Copa do Mundo da FIFA no Brasil. As ramificações para o usuário ser uma vítima pode ter consequências de longo alcance. Não só o internauta pode ter sua conta bancária esvaziada pelos fraudadores, mas também infectar seu computador com ameaças, como malware. O que poderia acontecer, por exemplo, após a instalação dessa ameaça é o golpista roubar dados e informações pessoais do proprietário da máquina por meio do download de um Trojan, ou comprometer o computador e torná-lo parte de um Botnet.

A Symantec identificou vários emails maliciosos sobre a Copa do Mundo da FIFA. Na primeira amostra o golpe contém um link para um malware.

World Cup 2014 1 edit.png

Figura 1 – E-mail contendo malware relacionado à Copa do Mundo FIFA 2014

Após o clique, o usuário é direcionado a uma URL maliciosa, que faz o download do eTicket.rar (que abriga o eTicket.exe – Figura 2). Ao ser executado, o arquivo desencadeia o trojan Infostealer.Bancos, que instala o thanks.exe no diretório /Programas/Startup.

Este arquivo, que irá tentar escapar de medidas de segurança, rouba informações financeiras e confidenciais, registra os dados colhidos e os envia para um criminoso remoto. Também foi descoberto que o malware foi personalizado para atingir instituições financeiras brasileiras.

World Cup 2014 2 edit.png

Figura 2 – Imagem da tela após clicar no hiperlink com malware

Outro exemplo de ataque é uma suposta fraude que utiliza a marca CIELO como chamariz para uma promoção falsa, que leva a uma página de phishing.

World Cup 2014 3 edit_0.png

Figura 3 – Email de phishing relacionado à Copa do Mundo FIFA 2014

Ao clicar no botão da promoção, a página de phishing

http://conteudo.casavilaverde.com/logs/copa2014/index.php?%email% é redirecionada para <http://cielobrasil2014l.fulba.com/copa,fuleco.dll/BR.FIFA=2,0,1,4/f&ulec0&id/sele,ca.o&id=br/home.html> e solicita o nome, data de nascimento e CPF do usuário.

World Cup 2014 4 edit.png

Figura 4 – A URL abre uma página da web falsa solicitando dados pessoais

Após fornecer essas informações, uma nova página (Figura 5) é aberta, que solicita os dados bancários do usuário.

World Cup 2014 5.png

Figura 5 – URL solicita os dados de serviços bancários

Em uma análise mais aprofundada, a Symantec descobriu que o domínio conteúdo.casavilaverde.com foi hackeado e abre como na Figura 6.

World Cup 2014 6 edit.png

Figura 6 – Domínio da URL hackeado

Há, também, um golpe nigeriano, que traz um anexo que parece estar relacionado a um sorteio patrocinado por grandes marcas (Figura 7). Para parecer legítimo, esse e-mail contém um aviso, mas, por não conter imagens ou URLs e por ter apenas um documento do Word anexo, esse golpe parece ser mais simples do que os demais.

World Cup 2014 7.png

Figura 7 – Exemplo de golpe nigeriano relacionado à Copa do Mundo FIFA 2014

Eventos globais desse porte podem ser muito lucrativos para os golpistas devido ao aumento do número de interessados no assunto. Até a Copa do Mundo, diversas tentativas para atrair usuários e adquirir informações sensíveis e confidenciais irão ocorrer. Os e-mails de Spam, por exemplo, pode ser personalizados para diferentes países e regiões. Para evitar ser vítima desses golpes, a Symantec aponta as seguintes práticas de segurança online:

Não compartilhe informações pessoais e confidenciais.
Esteja atento ao clicar em qualquer link suspeito ou responder a qualquer oferta, especialmente as que parecem muito atrativas.
Certifique-se de usar fontes autorizadas para fazer transações e procurar dados relacionados à Copa do Mundo.
Utilize software de segurança original e atualizado em seus equipamentos conectados à Internet, como o Norton Internet Security.

Fraudsters and Scammers Kick Off Their Campaigns for the 2014 FIFA World Cup

Hacker Medic February 3, 2014 No Comments

Contributor: Sean Butler

As it’s the start of a Football World Cup year it’s only natural that we will see many campaigns in relation to this global event. There will be many marketing and promotional campaigns taking advantage of the hype and excitement surrounding this event. Amongst all of the legitimate marketing and promotion emails, you may also receive emails promising anything from free match tickets, to competitions and lottery prizes stating that you have won a car.

Sound too good to be true? Well, you would be right in thinking that!

Fraudsters will be looking to exploit the enthusiasm that comes with the FIFA World Cup, which will be taking place in Brazil this June. The ramifications of you being scammed could be very serious indeed. Not only could you become a victim of fraud by having your bank account emptied by these fraudsters, you could also end up with malware on your computer. This malware could do anything from stealing your personal details by downloading a Trojan, to compromising your computer and making it part of a botnet.

Symantec has already spotted several FIFA World Cup related scam emails. The first scam sample Symantec discovered, relating to the FIFA World Cup, is an email that contains a link to malware.

The email has the following headers:

From: Parabens Voce foi o ganhador de um Par de ingressos atendimento.promo5885631@Domain.com

Subject: Copa do Mundo FIFA 2014

This email header can be translated as:

From: Congratulation you were the winner of a pair of tickets atendimento.promo5885631@Domain.com

From: FIFA World Cup 2014

World Cup 2014 1 edit.png

Figure 1. Malware attack email related to FIFA World Cup

This email can be translated as:

You are the winner of a pair of tickets to the FIFA World cup 2014 Brazil!

Print your e-Ticket copy and collect the ticket from the ticket center in your city

Print Ticket

Check out the address of the ticket center in your city here

The recipient is enticed to click the on the link and print the match tickets. However, the link leads to a malicious URL that downloads the file eTicket.rar, which contains an executable file named eTicket.exe.

World Cup 2014 2 edit.png

Figure 2. Clicking on the link leads to malicious download

Next, a file named thanks.exe (Infostealer.Bancos) is dropped in the following location so that it runs every time Windows starts:

Programs/Startup/thanks.exe

The Trojan will continue to run in the background and try to evade security measures, steal confidential financial information, log the stolen data, and send it to a remote attacker at a later time. We have also discovered that the malware is customized to target Brazilian financial institutions.

Symantec customers would have been protected against this attack because our ‘Link following’ technology, which checks all Web pages referenced within an email for viruses and other threats, correctly identified the malware at the end of the URL. Detection was then created so that future emails containing different links to this malware will be treated as though they are infected and then quarantined.

Another scam involves a fraudulent CIELO Brazil promotion. CIELO is a Brazilian credit and debit card operator.

World Cup 2014 3 edit_0.png

Figure 3. Phishing email related to FIFA World Cup 2014

This email can be translated as:

Congratulations, you have been chosen to take part in the Cielo Cup 2014.

To promote World Cup 2014, you must register to compete for prizes worth 20 thousand Reais,

Tickets, accommodation in exclusive places during the 2014 world cup and you could also win a Fiat Doblo 0 Km. (Sic)

Don’t waste time! PURCHASE Register right now at no extra cost and avail the benefits of our promotion.

Join this Mega Promotion and compete for these Super Prizes.

Click here to unlock your promo code

If the recipient clicks the “Click Here” button, they are redirected to the following URL:

http://cielobrasil2014l.fulba.com/[REMOVED]/BR.FIFA=2,0,1,4/f&ulec0&id/sele,ca.o&id=br/home.html

The webpage asks for a username, date of birth, and a Brazilian tax registration number (CPF).

World Cup 2014 4 edit.png

Figure 4. Spoofed Web page asking for personal credentials

On providing the required information, the user is sent to the page shown in Figure 5, which asks for the user’s banking credentials.

World Cup 2014 5.png

Figure 5. Spoofed Web page asking for banking credentials

On further analysis, we found that the domain conteudo.casavilaverde.com used in the phishing scam had been hacked.

World Cup 2014 6 edit.png

Figure 6. Hacked domain used in phishing scam

Finally, the third example is a Nigerian scam.

World Cup 2014 7.png

Figure 7. Nigerian FIFA World Cup scam email

The email contains an attachment that claims to be about a lotto sponsored by major brands. The scam ultimately asks the recipient for personal information. The email also contains a notice to try and look legitimate, but this looks amateurish in comparison to the other examples referenced in this blog. There are no images or URLs contained within the email and the fact that it only contains an attached Word document would make anyone suspicious.

Symantec’s advanced monitoring systems were able to identify the above scam emails and protect our customers from receiving them.

While the first two example emails are composed in Portuguese and aimed at people in Brazil, they can easily be customized for different regions, countries, and languages. Considering the influence football has across the globe, such spam mail could potentially trick many people.

Global events can be very lucrative for scammers as they have the potential to scam more victims by appealing to peoples’ interest and curiosity. As a consequence, Symantec expects such scams to increase as we get closer to the 2014 World Cup.

Symantec advises users to be on their guard and to adhere to the following security best practices:

Exercise caution when receiving unsolicited, unexpected, or suspicious emails
Avoid clicking on links in unsolicited, unexpected, or suspicious emails
Avoid opening attachments in unsolicited, unexpected, or suspicious emails
Keep security software up-to-date
Update antispam signatures regularly

Symantec constantly monitors spam attacks to ensure that users are kept up-to-date with information on the latest threats.

Don’t be caught offside when it comes to special offers, especially ones that look too good to be true!

Demystifying Point of Sale Malware and Attacks

Hacker Medic February 3, 2014 No Comments

Cybercriminals have an insatiable thirst for credit card data. There are multiple ways to steal this information on-line, but Point of Sales are the most tempting target. An estimated 60% of purchases at retailers’ Point of Sale (POS) are paid for using a credit or debit card. Given that large retailers may process thousands of transactions daily though their POS, it stands to reason that POS terminals have come into the crosshairs of cybercriminals seeking large volumes of credit card data.

There are numerous internet forums openly selling credit and debit card data in various formats. The most common is “CVV2” where the seller provides the credit card number, along with the additional CVV2 security code which is typically on the back of the card. This data is enough to facilitate online purchases. However some sellers also offer the more lucrative “Track 2” data. This is shorthand for the data saved on a card’s magnetic strip. This data is more lucrative as it allows criminals to clone cards, meaning they can be used in brick-and-mortar stores or even ATMs if the PIN is available. The value of the data is reflected in the online sale price and these prices vary widely. CVV2 data is sold for as little as $0.1 to $5 per card while Track 2 data may cost up to $100 per card.

Figure. Credit card data for sale on Internet forums

So how do criminals get this data? Skimming is one of the more popular methods. This involves installing additional hardware onto the POS terminal which is then used to read track 2 data from cards. However as it requires physical access to the POS, and expensive additional equipment, it’s difficult for criminals to carry this out on a large scale. To address this problem criminals have turned to software solutions in the form of POS malware. By targeting major retailers with this malware criminals can accrue data for millions of cards in a single campaign.

POS malware exploits a gap in the security of how card data is handled. While card data is encrypted as it’s sent for payment authorization, it’s not encrypted while the payment is actually being processed, i.e. the moment when you swipe the card at the POS to pay for your goods. Criminals first exploited this security gap in 2005 when a campaign orchestrated by Albert Gonzalez lead to the theft of data for 170 million cards.

Since then a market has grown in the supply and sale of malware, which reads Track 2 data from the memory of the POS terminal. Most POS systems are Windows-based, making it relatively easy to create malware to run on them. This malware is known as memory-scraping malware as it looks in memory for data, which matches the pattern of the Track 2 data. Once it finds this data in memory, which occurs as soon as a card is swiped, it saves it in a file on the POS, which the attacker can later retrieve. The most well-known piece of POS malware is BlackPOS which is sold on cybercrime forums. Symantec detects this malware as Infostealer.Reedum.B.

Armed with POS malware, the next challenge for attackers is to get the malware onto the POS terminals. POS terminals are not typically connected to the Internet but will have some connectivity to the corporate network. Attackers will therefore attempt to infiltrate the corporate network first. They may do this by exploiting weaknesses in external facing systems, such as using an SQL injection on a Web server, or finding a periphery device that still uses the default manufacturer password. Once in the network, they will use various hacking tools to gain access to the network segment hosting the POS systems. After the POS malware is installed, attackers will take steps to make sure their activity goes unnoticed. These steps could include scrubbing log files or tampering with security software, which all ensures that the attack can persist and gather as much data as possible. For an in-depth look at how these attacks work see our whitepaper: Attacks on Point of Sales Systems

Unfortunately, card data theft of this nature is likely to continue in the near term. Stolen card data has a limited shelf-life. Credit card companies are quick to spot anomalous spending patterns, as are observant card owners. This means that criminals need a steady supply of “fresh” card numbers.

The good news is that retailers will learn lessons from these recent attacks and take steps to prevent the re-occurrence of this type of attack. Payment technology will also change. Many US retailers are now expediting the transition to EMV, or “chip and pin” payment technologies. Chip and Pin cards are much more difficult to clone, making them less attractive to attackers. And of course new payment models may take over. Smart-phones may become the new credit cards as mobile, or NFC, payment technology becomes more widely adopted.

There’s no doubt that cybercriminals will respond to these changes. But as retailers adopt newer technologies and security companies continue to monitor the attackers, large-scale POS thefts will become more difficult and certainly less profitable.

For more details on how POS attacks are carried out and how to protect against them, see our whitepaper: Attacks on Point of Sales Systems

NFL ?????????????????? Twitter ??????

Hacker Medic February 2, 2014 No Comments

先週、デンバーブロンコスとシアトルシーホークスのファンが第 48 回スーパーボウルの予想に関するツイートをしていたところ、Twitter ボットから何度もスパムが送られてくるという被害が相次ぎました。また、ポップスターのマイリー・サイラスのファンも、対象となるキーワードを使った同じスパム活動に狙われました。

シマンテックでは去年の夏、BET アワードや、ジャスティン・ビーバー、ワンダイレクション、リアーナのファンを標的とした同様の活動に関するブログを公開しました。最新の活動でも基本的な手口は同じですが、いくつかの改良が加えられています。

この詐欺ではまず Twitter サービス上にスパムボットを仕込んで、ユーザーがつぶやく特定のキーワードを監視します。キーワードになり得るのは、「スーパーボウル」、「ブロンコス」、「シーホークス」や、個々の選手名（デンバーブロンコスのクォーターバック「ペイトン・マニング」、シアトルシーホークスのコーナーバック「リチャード・シャーマン」など）です。マイリー・サイラスの場合は、彼女のフルネームやファーストネームを挙げただけで、スパムボットから返答を受け取る可能性があります。

この返答は、写真が添付されたツイートで、個人に宛てたメッセージに見せるために対象ユーザーの Twitter ユーザー名が表示されています。

図 1. NFL やマイリー・サイラスに関する賞品当選を謳った、Twitter スパムボットによる写真付きのリプライ

このようなスパムボットは、リンクをツイートすることも、Twitter プロフィールの自己紹介セクションにリンクを含めることもありません。その代わりに、ユーザーにツイートされた画像内にある URL を手動で入力するよう促します。これは、スパム対策フィルタが詐欺師のアカウントを検知しないようにする巧妙な方法です。

図 2. ユーザーに Twitter ユーザー名を確認するよう促す詐欺サイト

上図のどちらのサイトも同じテンプレートに従っています。これらのサイトはまず、賞品当選の資格を確認するためにユーザー名のチェックが必要だとして、ユーザーの Twitter ユーザー名を要求します。その後、ユーザーのフルネーム、住所、電子メールアドレス、電話番号などの個人情報を要求します。

図 3. アンケートに参加してモバイルアプリをダウンロードするようユーザーに促す

ユーザーが先に進もうとすると、架空のスポンサーから、賞品を手に入れるには「特別キャンペーン」を完了しなければならないというメッセージが表示されます。これはアンケートへの誘導であることが一般的ですが、この詐欺はモバイルベースなので、モバイルアプリをインストールするようユーザーに促します。そしてインストールが行われるたびに、アフィリエイトプログラムを通して詐欺師に報酬が入る仕組みになっています。詐欺師たちがこぞってユーザーにスパムを送り付けるのはこのためです。

ここ数年、ソーシャルネットワークサービスの人気上昇に伴い、大勢のユーザーが大きなイベントや有名人について語るようになりました。このような機会はマーケティングにも利用されますが、スパマーや詐欺師の標的にもなりやすいものです。次はどのイベントや有名人が標的になるか、非常に気になるところです。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Fans de la NFL y Miley Cyrus en Twitter son Blanco de Spam Generado por Robots

Hacker Medic January 30, 2014 No Comments

Previo al Super Bowl XLVIII los aficionados de los Broncos de Denver y Seattle Seahawks han estado tuiteando sobre el juego y Symantec ha identificado que muchos de ellos han recibido diversos mensajes de spam generados por bots de Twitter. Adicionalmente, los fans de la estrella del pop Miley Cyrus también se han visto envueltos en una campaña de spam muy similar que usa palabras clave específicas.

El verano pasado, publicamos un blog sobre una campaña similar que se centró en los BET Awards y los fans de Justin Bieber, una dirección y Rihanna. La campaña en esta ocasión sigue el mismo modelo pero ahora mejorado.

La estafa comienza con los tuiteros, quienes sin saberlo usan en sus mensajes palabras clave específicas que controlan los robots de spam en el servicio. Las palabras clave pueden ser acerca del Super Bowl, los Broncos , Seahawks , o los jugadores individuales en el equipo , como el quarterback Peyton Manning de los Broncos de Denver o el esquinero Richard Sherman de los Seattle Seahawks. En el caso de Miley Cyrus, las menciones de su nombre completo o su primer nombre por sí solo puede recibir una respuesta de los robots de spam .

Los robots identifican los mensajes y responden con un tuit (mensaje) mencionando al usuario y ofreciendo un supuesto premio o boleto para un sorteo y una imagen.

Figura 1. Ejemplo de spam de Twitter generado por bots que utilizan fotos adjuntas con supuestos premios relacionados con la NFL o Miley Cyrus

Estos robots de spam no tuitean links o incluyen links en la sección de biografía de sus perfiles de Twitter, en lugar de ello esriben manualmente la dirección URL en los mensajes que envían a los usuarios junto con la imagen. Esta es una medida que han adaptado para asegurar que los filtros antispam no identifiquen o bloqueen sus cuentas.

Figura 2. Los sitios web fraudulentos solicitan a los usuarios a verificar los nombres de usuario de Twitter

Los sitios Web que se mencionan en las fotos siguen el mismo método y cuando el usuario da clic, en la página de inicio solicitan el nombre de Twitter del usuario alegando que lo necesitan para comprobar su identidad y confirmar la elegibilidad para el premio. Después de eso, el sitio solicita la información personal del usuario, como su nombre completo, domicilio, correo electrónico y número de teléfono.

Figura 3. Los usuarios son invitados a participar en una encuesta y les piden descargar aplicaciones móviles.

Antes de que un usuario pueda continuar y obtener el supuesto premio, se les dice que los patrocinadores solicitan que complete una “oferta/encuesta especial” con el fin de tener la oportunidad de ganar el premio. Por lo general, esto conduce a una encuesta, pero ya que esta estafa está basada en móviles, a los usuarios se les pide que instalen una aplicación móvil y así les generan ganancias económicas a los estafadores por cada instalación exitosa a través de programas de afiliados. Esto incentiva a los estafadores de spam a ser más agresivos con los usuarios pues entre más usuarios contacten por medio de mensajes de Twitter, más posibilidades tienen de obtener ganancias.

El aumento de la movilidad y la popularidad de los servicios de redes sociales en los últimos años ha animado a los spammers y estafadores para dirigirse a estos grupos de usuarios aprovechando los comentarios sobre los principales acontecimientos y personajes públicos, de forma similar a como lo hacen los fabricantes o vendedores. La pregunta es, ¿qué evento o figura pública será la próxima que utilicen?

Frente este tipo de estafas Symantec recomienda a los usuarios tener cuidado y evitar dar clic en este tipo de ligas, además de seguir las mejores prácticas de seguridad, incluyendo el uso de software en sus dispositivos móviles.

Twitter Spam Bots Target NFL and Miley Cyrus Fans

Hacker Medic January 30, 2014 No Comments

This week, fans of the Denver Broncos and Seattle Seahawks have been tweeting in anticipation of Super Bowl XLVIII, but many have been subjected to a torrent of spam from Twitter bots. Fans of pop star Miley Cyrus have also been plagued with an identical spam campaign using targeted keywords.

Last summer, we published a blog about a similar campaign that focused on the BET Awards and fans of Justin Bieber, One Direction, and Rihanna. The latest campaign follows the same blueprint with improvements.

The scam starts with Twitter users tweeting specific keywords which are monitored by spam bots on the service. The keywords could be about the Super Bowl, the Broncos, Seahawks, or individual players on the team, such as Denver Broncos quarterback Peyton Manning or Seattle Seahawks cornerback Richard Sherman. In the case of Miley Cyrus, mentions of her full name or her first name alone may receive a response from spam bots.

The response is a tweet with an attached photo that shows the targeted users’ Twitter handle in an effort to personalize the message.

Figure 1. Twitter spam bot replies using photo attachments that claim to offer prizes related to the NFL or Miley Cyrus

These spam bots do not tweet links or include links in their Twitter profiles’ biography section. Instead, they rely on users to manually type the URL found in the picture that was tweeted to them. This is an adaptive measure to ensure that antispam filters do not flag their accounts.

Figure 2. Scam websites ask users to verify Twitter usernames

Both of the sites that were mentioned in the photos follow the same template. The sites first request a user’s Twitter username, claiming that they need to check the username to confirm eligibility. After that, the site requests the user’s personal information, such as their full name, home and email address. and phone number.

Figure 3. Users asked to participate in a survey and download mobile apps

Before a user can proceed, the supposed sponsors claim that the user needs to complete a “special offer” in order to have a chance to win the prize. Typically, this leads to a survey, but since this scam is mobile-based, users are asked to install a mobile application, earning the scam operators money for each successful installation through affiliate programs. This incentivizes the scammers to aggressively spam users.

The rise in popularity of social networking services over the last few years has encouraged spammers and scammers to target these large pools of users discussing major events and public figures, similar to how marketers do. The question is, which event or public figure will be targeted next?

???????????????????????

Hacker Medic January 29, 2014 No Comments

2013 年、ユーザーを詐欺サイトに誘導する何千ものアプリが Google Play で公開されました。日本では、この形態の詐欺は通常「ワンクリック詐欺」と呼ばれています。2013 年 1 月に初めての亜種が出現して以来、何日間も生き残る詐欺アプリはほんのひと握りですが、2013 年の 1 年間に公開された詐欺アプリは、合計すると 3,000 種以上にものぼることが確認されました。昨年の 10 月までに詐欺師たちは、新しい亜種を Google Play で公開することをやめていますが、その理由はわかっていません。

図 1. ワンクリック詐欺サイトに誘導するアプリが 2013 年中に Google Play で公開された総数

詐欺サイトに被害者を誘い出すアプリは、Google Play でこそ公開されなくなりましたが、最近は被害者を詐欺サイトに誘導するために別の経路が使われています。たとえば、それはスパムなどです。

この詐欺は携帯電話、特にスマートフォンに届いたスパムから始まるのが一般的です。スパムメッセージには、アダルト動画サイトへのリンクが掲載されています。そのサイトでは、動画を無料で鑑賞できると謳われています。

図 2. この詐欺の過程で届くスパムメッセージの例

図 3. スパムメッセージからリンクされているアダルト動画サイト

動画を見るためには、電話を掛けてサイトに登録しなければならないと指示されます。被害者がサイトで指定されている番号に電話を掛けると、自動システムが電話を受け、被害者のモバイルデバイスの電話番号を保存します。次に、サイトにアクセスするために電話番号を入力するよう求められます。

図 4. 動画を見るためにサイトに登録するよう指示される

サイトへの登録を済ませて動画をクリックすると、別の Web ページが開きます。このページを注意深く読むと、「無料」という単語が完全に消えていて、購読料金に関する小さな注意書きが追加されていることに気が付きます。

図 5. 購読料金の詳しい案内が載ったアダルト動画サイト

この注意書きを見逃してダウンロードボタンをタップすると、有料サービスに登録したことになり、約 10 万円という法外な料金を請求されてしまいます。実際に 2 つのアダルト動画ページの URL を比較してみれば、ドメインが違うことがわかるはずです。ユーザーは元のサイトから別のサービスにリダイレクトされています。動画を無料で見られるのは元のサイトだけですが、実際には動画は見つかりません。リダイレクト先のサイトには動画がありますが、それは無料ではないのです。

図 6. 購読料金を請求するサイトの登録ページ

元のサイトの利用規約を読むと、そのサイトにあるすべてのコンテンツには無料でアクセスできるが、リンク先の他のサービスは有料の場合があると書かれています。

サイトの Q&A ページに、詐欺師からの電話に引っかかって動画サービスの料金を請求されることがあるという警告文が書かれているのは、何とも皮肉です。このページでは、料金の支払いには注意する必要があるとも指導しています。実際に、期日までに料金が支払われないと、詐欺師は督促電話を掛けてきます。

図 7. 詐欺に関する警告文が書かれた Q&A ページ

こうした詐欺は毎日のように発生しており、オペレーティングシステムの種類を問わず、スマートフォンを持つユーザーが狙われています。引き続きワンクリック詐欺には警戒して、迷惑メール（スパムメッセージ）のリンクは絶対にクリックしないようにしてください。

Ancient Japanese Click Fraud Still Healthy and Alive

Hacker Medic January 28, 2014 No Comments

In 2013, scammers published thousands of apps on Google Play that led to fraudulent sites. This form of scam is typically called “one-click fraud” in Japan. The very first variant appeared in January and while only a handful of these fraudulent apps survive for a few days at most, we confirmed that, in total, more than 3,000 apps were published on the market in 2013. By October, scammers for the most part have stopped publishing new variants of the fraudulent apps on Google Play for unknown reasons.

Figure 1. Total number of apps leading to one-click fraud sites published on Google Play throughout 2013

While apps that lure victims to fraudulent sites may no longer be available on Google Play, there are currently other vehicles leading victims to these sites, such as spam.

This scam typically begins with spam that has been sent to a mobile phone, ideally a smartphone. The spam message contains a link to an adult video website. The site claims that videos can be viewed free of charge.

Figure 2. Example of the spam message sent as part of this scam

Figure 3. The adult video site linked in the spam message

To view a video, the visitor is instructed to make a phone call in order to register for the site. Once the user calls the number provided on the site, an automated system will accept the call and save the phone number of the victim’s mobile device. The visitor will then be prompted to input their telephone number in order to access the site.

Figure 4. The site instructs the user to register to access the videos

When the user clicks on a video after they’ve registered for the site, another Web page opens. If you read the page carefully, you will notice that the term “free” has completely disappeared and a tiny note about a subscription fee has been added.

Figure 5. The adult video site with details of a subscription fee

If the visitor fails to notice this detail and clicks the download button, they will end up registering for the paid service and will be charged the hefty price of about US$1,000. If you actually compare the URL of the two adult video Web pages, you will notice that the two sites have different domains. The original site redirects the visitor to a different service and allows free videos to be viewed only on its own site, but no videos can be found. There are videos on the second site, but they are not available for free.

Figure 6. Registration page for the site that charges a subscription fee

The end-user agreement on the original site states that all content on the site can be accessed free of charge, however, other services linked to the site may not be free.

Interestingly, the site’s Q&A page warns visitors that they may receive phone calls from scammers asking them to pay for video services. The Web page instructs users to be carefully about making payments. The scammers do follow up by calling the visitors if the fee is not paid by the deadline.

Figure 7. The Q&A page with a warning about scammers

These scams occur on a daily basis and affect users with smartphones that run any type of operating system. Users should remain vigilant of one-click fraud scams and should avoid clicking on links received through unsolicited spam messages.

??????????????

Hacker Medic January 27, 2014 No Comments

エンターテインメントシステムなどの多数の家庭用デバイスや、さらには冷蔵庫までがスパムを送信していたという、Proofpoint 社による調査に基づいた報道をご覧になった方もいるでしょう。こうしたネットワーク対応デバイスの集まりは、「モノのインターネット（IoT）」と呼ばれています。もともと、この調査レポートには証拠が伴っていなかったため、シマンテックはその内容を裏付けることができませんでしたが、新たな詳細情報が公開されたことにより、最近のスパム攻撃が、冷蔵庫などの IoT デバイスから送信されたものではないことを確認できました。

シマンテックは、一般に公開された情報から、今回のスパムが Windows コンピュータの感染に起因する典型的なボットネットによって送信されていることを突き止めました。シマンテックは、エンドポイントセキュリティ製品、スパムを受信するハニーポット、スパム始動コマンドを待ち受けるボットネットハニーポットなど、多様なソースから遠隔測定データを受信しています。そうしたすべてのソースからスパムを追跡したところ、複数の Windows コンピュータに辿り着きましたが、その一部は W32.Waledac（Kelihos）に感染していました。このスパムが Windows 以外のコンピュータシステムから発信された例は今までになく、使途不明の大量スパムが他のソースから発信されていることも確認されていません。

今回の冷蔵庫は無実でしたが、IoT デバイスからのスパム送信がありえないというわけではありません。シマンテックは最近、IoT に対する初めての脅威である Linux.Darlloz を発見しました。Linux.Darlloz は、ルーター、カメラ、エンターテインメントシステムといった Linux ベースの IoT デバイスに感染します。Darlloz で注目すべき点は、IoT デバイスに感染するだけでなく、Linux.Aidra という別の脅威との間でワーム戦争を巻き起こしていることです。Darlloz は、デバイスが Aidra に感染しているかどうかを確認し、感染している場合にはそのデバイスから Aidra を削除します。

これは、ワーム作成者が IoT という縄張りを争っていることが確認された初めての例であり、2004 年のワーム戦争を連想させます。対象となるデバイスの処理能力もメモリも限られていることを考えると、同様の縄張り争いは今後も起きると予想されます。

IoT デバイスを狙うマルウェアはまだ生まれたばかりですが、IoT デバイスはさまざまなセキュリティ問題に影響されやすいという性質を持っています。したがって、近い将来に冷蔵庫が本当にスパムを送信し始めたとしても、驚くほどのことではありません。PC の場合と同様に、IoT デバイス上のソフトウェアも最新の状態に保ち、ルーターの内側にデバイスを置いて、デフォルトのパスワードはすべて安全性の高いパスワードに変更してください。

ところで、冷蔵庫が悪質化してスパムの送信を始めたという誤った結論はどこから導き出されたのでしょうか。

あいにく、インターネット上の実際の物理デバイスについて製造元やモデルを特定することは容易ではありません。多くの家庭用デバイスはホームルーターの内側に置かれており、ネットワークアドレス変換（NAT）を利用しています。外部から見ると、ルーターの内側に置かれているデバイスはすべて同じ IP アドレスを共有しているため、ネットワークトラフィックの本来のソースが、ルーターの内側に置かれているデバイスなのか、またはルーター自体なのかを判断するのは困難です。しかも、ルーターで開いているポートを調べる場合、ルーターがポート転送を採用していると、ルーターの内側に置かれている 1 つ以上のデバイスが公開されることがあります。たとえば、外出中にテレビ番組を録画できるようにインターネットを介してデジタルビデオレコーダーにアクセスする用途など、家庭用デバイスへのリモートアクセスが可能なようにルーター上でポート転送が有効になっている場合があります。その場合、ルーターが存在していることさえ気付かず、公開されたデバイスだけがその IP アドレスを使っている唯一のデバイスだと思い込んでしまう恐れがあります。

Refrigerator Spam 1.png

図. 見た目と実際は同じではない

今回の場合、マルウェアに感染したコンピュータは、エンターテインメントシステムや冷蔵庫のような他の家庭用デバイスと同様、ホームルーターの内側に置かれていました。感染したコンピュータがボットコントローラから新しいスパムテンプレートを受け取ると、スパムはルーターを通過し、特定の IP アドレスから送られたように見えます。その IP アドレスを調べると、感染したコンピュータには到達せず、ルーターに辿り着きます。

また、冷蔵庫がポート転送という機能を使っていて、誰かがポート 80 で IP アドレスに接続する場合、そのトラフィックはスマート冷蔵庫に到達できることになります。外部から見ると、目に見えているのは冷蔵庫だけで、そこにルーターが存在していることや、感染したコンピュータなどその他の多くのデバイスがルーターの内側に存在する可能性に気付かないかもしれません。こうした誤解こそ、冷蔵庫がスパムを送信していたと報告された理由なのです。事実としては、冷蔵庫が、感染したコンピュータとたまたま同じネットワーク上にあったに過ぎません。

今回どのような経緯で誤解が生じたかを検証するために、シマンテックは Waledac に感染したコンピュータのパブリック IP アドレスを調べました。予想どおり、検証で何度も最終的にエンターテインメントシステムやその他の家庭用デバイスに到達しましたが、それらはたまたまルーターを介して公開され、Waledac に感染したコンピュータと同じネットワークを共有していただけでした。

今回 IoT デバイスの罪は晴れましたが、将来的にはスパム送信の元凶となる恐れがあると思われます。

Malware de Windows Trata de Infectar los Dispositivos Android

Hacker Medic January 24, 2014 No Comments

Hemos visto en otras ocasiones que el malware para Android intenta infectar los sistemas de Windows. Por ejemplo, Android.Claco descarga un archivo en formato portable ejecutable (PE) malicioso junto con un autorun.inf y los instala en el directorio origen de la tarjeta SD. Cuando se conecta el dispositivo móvil afectado a una computadora por medio de USB, y el modo AutoRun está habilitado, Windows automáticamente ejecutará el archivo PE malicioso.

Curiosamente, ahora Symantec encontró algo que funciona al revés: es decir, una amenaza de Windows que intenta infectar los dispositivos Android.

La infección comienza con un Troyano que se llama Trojan.Droidpak. Este troyano descarga un DLL malicioso (también detectado como Trojan.Droidpak) y lo registra como un servicio del sistema. Luego, ese DLL descarga un archivo de configuración desde el siguiente servidor remoto:

http://xia2.dy[REMOVED]s-web.com/iconfig.txt

Después, analiza el archivo de configuración para poder descargar el APK malicioso a la siguiente ubicación en la computadora afectada:

%Windir%\CrainingApkConfig\AV-cdk.apk

El DLL podría descargar herramientas necesarias como el Puente de Depuración de Android (Android Debug Bridge).

Luego, instala el ADB y utiliza el comando que se observa en la Figura 1 para instalar el APK malicioso a cualquier dispositivo Android conectado a la computadora afectada:

Figura 1. Comando para instalar el APK malicioso

Se intenta instalar repetidamente para poder garantizar que el dispositivo móvil se infecte al conectarlo a la computadora. Para una instalación satisfactoria también requiere que el modo de depuración USB esté habilitado en el dispositivo Android.

El APK malicioso es una variante de Android.Fakebank.B y se presenta como una aplicación de la tienda de aplicaciones de Google.

Figura 2. APK malicioso simulado en la tienda de aplicaciones de Google.

Sin embargo, el APK malicioso en realidad busca ciertas aplicaciones de transacciones bancarias coreanas en el dispositivo afectado y, si las encuentra, provoca que el usuario las borre e instale versiones maliciosas. Android Fakebank.B también intercepta mensajes SMS y los envía a la siguiente ubicación:

http://www.slmoney.co.kr[REMOVED]

Figura 3. Fragmento del código APK malicioso

Para evitar ser víctima de este nuevo modo de infección, Symantec sugiere a los usuarios seguir las siguientes indicaciones:

Desactivar la depuración USB de su dispositivo Android cuando no la utilice.
Ser cauteloso cuando conecte su dispositivo móvil a computadoras no confiables.
Instalar software de seguridad confiable, como Norton Mobile Security.
Visitar la página de Symantec Mobile Security para obtener más información sobre seguridad.