Tag Archives: Messaging Gateway

???????????????????????????

Hacker Medic October 4, 2013 No Comments

現在、ケニアのテロ攻撃に関するニュースを悪用するスパムが増えています。スパマーがユーザーに送りつける電子メールメッセージは、あたかもテロ攻撃に関するニュースのように見えますが、実際にはマルウェアが含まれています。スパムメールのメッセージ本文には悪質な URL が含まれており、その URL をクリックすると、W32.Extrat をダウンロードする感染した Web ページにリダイレクトされます。

マルウェアが実行されると、以下のファイルが作成される可能性があります。

%Windir%\installdir\server.exe

これにより、攻撃者はユーザーのパスワードを盗み出して、重要なファイルやユーザーに関する情報にアクセスできるようになります。

図. .exe ファイルをダウンロードするよう求めるスパムメールのスクリーンショット

この電子メールには「Click HERE to view & watch」というメッセージが書かれており、ウエストゲートモールで起きたテロ攻撃のビデオや画像を見るためにリンクをクリックするよう促しています。リンクをクリックすると、感染した Web ページが開き、Web ページが読み込まれると、「Kenya terror Video.exe」ファイルをダウンロードするよう求めるポップアップが表示されます。この実行可能バイナリファイルは W32.extrat という名前の一般的な形式のマルウェアです。ダウンロードすると、ユーザーのコンピュータ上の脆弱性が悪用される恐れがあります。スパマーは、このテロ攻撃に関する情報を探している大勢のユーザーを誘い込むための罠として、ビデオと画像が見られると謳っているのです。

このスパムメールでは、以下のような件名が使われています。

Official: Kenya mall attackers Video（公式: ケニアのモールで起きたテロ攻撃のビデオ）

このスパムメールに含まれる悪質な URL のサンプルを以下に示します。

http://[削除済み].[削除済み].com/u/210772057/Kenya terror Video.rar

シマンテックのエンドポイント保護テクノロジでは、この種の悪質なサイトがシマンテックにまだ報告されていない場合でも、サイトを予防的に検出し、特定することができます。シマンテックでは、ノートンアンチウイルスやノートンインターネットセキュリティといった、ウイルス対策やスパム対策のテクノロジが組み込まれた製品によって、この種の攻撃からお客様を保護しています。

シマンテックは、この攻撃で使われているマルウェアを W32.Extrat として検出します。

悪質な攻撃を防ぐために、以下の基本的なセキュリティ対策（ベストプラクティス）に従うことをお勧めします。

疑わしい電子メールメッセージに含まれる添付ファイルを開いたり、リンクをクリックしたりしない。
電子メールに返信するときに個人情報を記述しない。
ポップアップページやポップアップ画面に個人情報を入力しない。
セキュリティソフトウェアを常に最新の状態に保つ。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Spammers Use Kenya Terrorist Attack to Spread Malware

Hacker Medic October 3, 2013 No Comments

Spammers are now leveraging news around the Kenya terror attack by targeting users through an email message that claims to contain news on the attack but if fact contains malware. The spam email includes a malicious URL in the body of the message that …

???????????????????

Hacker Medic October 3, 2013 No Comments

今、世界中で見出しを賑わせているニュースといえば、新年度予算が成立しなかったことを受けて、米国政府機関の一部業務が停止していることでしょう。サイバー犯罪者は、これまでも社会情勢をいち早く悪用してきましたが、この政府機関の業務停止にも目を付けて、さまざまなスパムメッセージを送り始めています。そうしたスパムメッセージが、Symantec Probe Network でも検出され始めました。確認されたスパムサンプルの大多数は、自家用車やトラックの在庫一掃セールを宣伝するものです。メールに記載されている URL をクリックすると、偽の広告が掲載された Web サイトに自動的にリダイレクトされます。

図 1. 米政府機関の業務停止を題材にしたスパムメール

シマンテックが確認したメッセージでは、ランダムな電子メールヘッダーが使われており、スパム対策用のフィルタをすり抜けようとしているものと考えられます。今回のスパム攻撃で使われているヘッダーには、一目で区別できるものもあります。

件名: Half-off our autos for each day the US Govt is shut down（政府機関の業務が停止している間は毎日、自動車が半額）
件名: Get half off MSRP on new autos for each day of govt. shut down（政府機関の業務が停止している間は毎日、自動車が希望小売価格の半額）
差出人: [名前] <shut.down@[削除済み]>
差出人: [名前] <short.term@[削除済み]>
差出人: [名前] <very.limited@[削除済み]>
差出人: [名前] <limited.event@[削除済み]>

スパムメッセージに記載されているリンクでは、以下のようなパターンが確認されています。

[ドメイン名]/[ランダムな文字]govt-shut[ランダムな数字]do.wn_event[ランダムな数字]

迷惑メールや心当たりのない電子メールの扱いにはご注意ください。シマンテックでは、最新の脅威に関する最新の情報をお届けできるよう、スパム攻撃に対して厳重な監視を続けています。

Symantec Receives Eight Honors from Information Security Magazine and SearchSecurity.com 2013 Readers’ Choice Awards

Hacker Medic October 2, 2013 No Comments

Information Security™ magazine and SearchSecurity.com recently announced the winners of its 2013 Reader’s Choice Awards, which were selected based on feedback by customers who were asked to assess products deployed within their organizations. We’re excited to announce that Symantec was honored with eight awards – four Gold, two Silver and two Bronze –demonstrating significant representation across our diverse portfolio of market-leading security solutions.

Included below is a complete list of Symantec’s wins, which will be featured in the October edition of Information Security magazine and are highlighted online at SearchSecurity.com.

The Information Security magazine and SearchSecurity.com 2013 Readers’ Choice Award winners were selected based on extensive, in-depth discussions and interviews between the editors of Information Security magazine and SearchSecurity.com, and over 1,000 information security executives and managers. These executives and managers were asked to rate products deployed within their organizations from a listing of more than 350 products. The editors used these scores to determine Gold, Silver and Bronze award winners for the industry’s best security products.

For more information and a detailed list of categories and winners, please visit http://searchsecurity.techtarget.com/essentialguide/Security-Readers-Choice-Awards-2013#guideCategory19.

Information Security magazine and SearchSecurity.com 2013 Readers’ Choice Awards

Best of Endpoint Security

Gold: Symantec Endpoint Protection

Best of Data Loss Prevention

Gold: Symantec Data Loss Prevention

Best of Email Security

Gold: Symantec Messaging Gateway powered by Brightmail

Best of Authentication

Gold: Symantec User Authentication Solutions

Silver: Symantec Managed PKI for SSL

Best of Cloud Security

Silver: Symantec Email Security.cloud

Bronze: Symantec O3

Best of Web Security

Bronze: Symantec Web Security.cloud

Symantec Receives Eight Honors from Information Security magazine and SearchSecurity.com 2013 Readers’ Choice Awards

Hacker Medic October 2, 2013 No Comments

Included below is a complete list of Symantec’s wins, which will be featured in the October edition of Information Security magazine and are highlighted online at SearchSecurity.com.

For more information and a detailed list of categories and winners, please visit http://searchsecurity.techtarget.com/essentialguide/Security-Readers-Choice-Awards-2013#guideCategory19.

Information Security magazine and SearchSecurity.com 2013 Readers’ Choice Awards

Best of Endpoint Security

Gold: Symantec Endpoint Protection

Best of Data Loss Prevention

Gold: Symantec Data Loss Prevention

Best of Email Security

Gold: Symantec Messaging Gateway powered by Brightmail

Best of Authentication

Gold: Symantec User Authentication Solutions

Silver: Symantec Managed PKI for SSL

Best of Cloud Security

Silver: Symantec Email Security.cloud

Bronze: Symantec O3

Best of Web Security

Bronze: Symantec Web Security.cloud

Spammers Take Advantage of US Government Shutdown

Hacker Medic October 2, 2013 No Comments

The latest news making headlines around the world is about the partial shutdown of the US government, which failed to agree on a new budget. Ever quick to take advantage of a situation, cybercriminals have begun to send various spam messages related to…

.avi ? .mp3 ???????????????

Hacker Medic October 1, 2013 No Comments

ランダムな YouTube リンクを電子メールの本文に記載し、その URL で .avi または .mp3 の拡張子を使って YouTube を悪用する、新しいスパムの手口が確認されています。以前に「YouTube を騙る医薬品スパマー」というブログでお伝えしたように、医薬品業界もこのスパムの標的になっています。

今回の新しいスパムでリンクをクリックすると、偽の医薬品販売サイトにリダイレクトされます。シマンテックが調べたスパムサンプルからは、.avi と .mp3 の拡張子を使った以下のような URL が確認されています。

http://www.[削除済み].com/Fox.avi

http://www.[削除済み].com/Yamamoto.avi

http://www.[削除済み].vn/Larue.avi

http://www.[削除済み].com/McAlear.avi

http://www.[削除済み].ru/87342.mp3

http://www.[削除済み].ru/327182.mp3

http://www.[削除済み].fr/472738.mp3

http://www.[削除済み].com/165137.mp3

図 1: .avi 拡張子を使ったスパムメール

図 2: .mp3 拡張子を使ったスパムメール

図 3: 偽の医薬品販売サイト

今回のスパム攻撃で使われている件名の例を以下に示します。

件名: Here Comes the Sun 1969（ヒア・カムズ・ザ・サン、1969 年）
件名: Soldier of Love (Lay Down Your Arms) 1963（ソルジャー・オブ・ラヴ（レイ・ダウン・ユア・アームズ）、1963 年）
件名: For No One 1966（フォー・ノー・ワン、1966 年）
件名: Misery 1963（ミズリー、1963 年）
件名: Lucy in the Sky with Diamonds 1967（ルーシー・イン・ザ・スカイ・ウィズ・ダイアモンズ、1967 年）
件名: From Me to You 1963（フロム・ミー・トゥ・ユー、1963 年）
件名: Look! I found this!（ほら、見つけたよ!）

ドメインはヨーロッパで登録されたもので、サーバーの所在地はウクライナでした。スパム攻撃の YouTube リンクでこのような拡張子を使っているのは、フィルタをすり抜けたうえで、拡張子が表す種類のファイルが開くものと期待させてユーザーを欺くためです。

迷惑メールや心当たりのない電子メールには注意し、ウイルス対策のシグネチャを定期的に更新して個人情報が漏えいしないように保護することをお勧めします。シマンテックでは、最新の脅威に関する情報をお届けできるよう、スパム攻撃に対して厳重な監視を続けています。

Use of .avi & .mp3 Extension Leads to Pharmacy Spam

Hacker Medic September 30, 2013 No Comments

Symantec has observed a new spam tactic targeting YouTube using .avi and .mp3 extensions in URLs by placing a random YouTube link in the email content. This spam threat is also targeting the pharmaceutical industry, as we have previously observed in th…

?????????????????

Hacker Medic September 13, 2013 No Comments

フィッシング詐欺師がフィッシング用のサイトを本物のサイトとそっくり同じに偽装しようとすることは、よく知られています。JavaScript を使って静的なページに現在の日付を埋め込むなど、これまでにも多種多様な手口が確認されています。シマンテックは最近、汎用的なフィッシングメールが増えていることを発見しました。通常のフィッシングでは標的を想定するのが普通ですが（銀行の顧客、ソーシャルネットワークのユーザーなど）、汎用的なフィッシングメールの手口は少し変わっています。それは、相手を問わず任意の電子メールアドレスを標的にするということです。

たいていの場合、この汎用的なフィッシングメールでは、受信ユーザーのメールボックスが容量の上限を超えたとして、電子メールの消失を避けるために至急メールボックスを「再有効化」するよう指示します。先日シマンテックが特定した汎用的なフィッシングメールの Web サイトも、一見すると正規のサイトのようです。素人仕事のような外見（フィッシング詐欺師がデザインスキルに乏しく、プロの手によるサイトを真似られないことの証です）ではあるものの、ある意味では際立っています。背景が魚の絵のパターンになっているからです。

図. 汎用的なフィッシング Web サイトの背景に描かれた魚のパターン

特にこの背景を選んだフィッシング詐欺師の意図はわかりません。たまたま起きた残念なミスかもしれませんし、フィッシング詐欺師の内輪だけで通じるジョークなのかもしれません。あるいは、これが本当はフィッシングサイトであると、意味のわかるユーザーにだけ通じる大胆で露骨なヒントのつもりとも考えられます。それとも、サイトの一部がイタリア語で書かれていることから、この詐欺師は「フィッシング（phish）」と「魚（fish）」が類似していることを知らなかったのでしょうか。

フィッシング詐欺から保護するために、アカウントが制限されているなどと理由をつけて更新の必要性を訴えるようなメッセージには注意してください。また、セキュリティソフトウェアは常に最新の状態に保つようにしてください。Symantec.cloud や Symantec Messaging Gateway をお使いの方は、こうした脅威から保護されています。

Would You Like Some Fish with That Phishing Site?

Hacker Medic September 12, 2013 No Comments

Phishers are known for making their phishing sites look exactly like the sites they are spoofing. We have seen plenty of examples of the detail they employ, like using JavaScript to include the current date in their static pages. In recent times, Symantec have seen an increase in generic email phishing. Unlike normal phishing, where phishing messages usually have a target in mind (bank customers or social network users, for instance), the generic email phishing technique is slightly different. In generic email phishing, the phishers will target any email address; who the target is does not matter.

These generic phishing messages usually claim that the recipient’s mailbox size has been exceeded, and direct them to urgently “re-validate” their mailbox to prevent disruption to their email. Symantec recently identified a generic email phishing website which, at first glance, appeared normal. It looked fairly amateurish—demonstrating phishers’ poor design skills when they don’t have a professional site to rip off—but the site was strikingly unusual for one reason: it had a fish pattern background.

Figure. Generic phishing website with fish pattern background.

We are not sure exactly why phishers decided to use this particular background. Was it a random, unfortunate mistake? An inside joke among fellow phishers? Or perhaps a brazen but not-so-subtle hint to experienced users that it was actually a phishing site? Perhaps—since the site is partially in Italian—the phishers were unaware of the similarity between “phish” and “fish”?

To protect yourself from phishing scams, be wary of messages claiming that your account has been restricted or somehow needs to be updated. Keep your security software up to date. Symantec.cloud and Symantec Messaging Gateway customers are protected from these threats.