Tag Archives: Security Response

Social Scams – Part 2: How to Clean Up Your Browser and Facebook Timeline

Hacker Medic April 3, 2013 No Comments

During recent weeks, I have seen different scams on Facebook attempt to convince users to install Google Chrome extensions. I have noticed some conversations taking place around the scams; people not sure how to get rid of the scammer photos or how to prevent the scams from spreading further. Some users have unfortunately gone as far as creating new Facebook profiles for themselves. This is not necessary.

If you have been tricked by one of these scams, here is how you can clean up your browser and Facebook timeline:

Remove bad browser extensions

If you have installed the Chrome extension for Facebook Black, Profile Spy (“See Your Profile Viewers”), or Free PS4, you will need to uninstall it from your browser:

Open the Google Chrome browser.
Type chrome://extensions into the browser address bar.
Click the trash can icon to delete bad extensions
Click Remove at the confirmation dialog

The Google Chrome extension page can help you identify any bad extensions that you have installed. In this preceding example you can see both the “Get PS4” and “See Your Profile Viewers” extensions that have been installed.

To delete a bad browser extension, just click the trash can icon and confirm.

Remove unwanted Facebook pages

The preceding Chrome extensions may be responsible for creating Facebook pages using your profile. Now you should confirm whether or not scammer Facebook pages were created in your account and then remove them:

Click the gear icon at the top right corner of your Facebook profile and select the page you wish to modify.
Once the Facebook page has loaded, click Edit Page at the top.
Select Manage Permissions.
Click Permanently delete [NAME OF PAGE] at the bottom.
Click Delete to permanently remove the Facebook page.

As you can see in this preceding example, a randomly created Facebook page was found being used by scammers. You can prevent friends from being photo-tagged with scammer spam by permanently deleting these scammer Facebook pages.

After page deletion you should arrive back at your main Facebook profile.

Remove scammer posts from your Facebook timeline

In order to keep the scam in circulation, the previously mentioned Chrome extensions have downloaded JavaScript files. These files were responsible for performing scammer activity, including tagging your friends in photos to promote the scam in news feeds.

The last step is to remove the photos the scam extension has posted on your behalf and get a clean Facebook timeline:

Go to your profile timeline.
Scroll through your timeline to check for photos published by the scam.
Hover over the timeline story item and click the pencil icon.
Select Delete Photo.

Deleting the photos left by scammers on your timeline helps stop promotion of the scam.

However, in another scenario, you may be the one who is tagged by a scammer photo in a timeline. In that case, you should report the scam to Facebook:

Hover over the timeline story item and click the pencil icon.
Select Report/Remove Tag.
Check I want to untag myself and I want this photo removed from Facebook and select It’s spam.
Click Continue to confirm.

And now that you have removed bad extensions from your browser, cleaned up your Facebook profile timeline, and reported scammer spam, point your friends to this blog post so that they can clean up their own browsers and Facebook timelines.

Don’t forget to stay vigilant

These clean-up instructions will help you remove scams circulating on Facebook that involve Google Chrome extensions. But, as mentioned before, scammers are relentless; they are likely to change their tactics again and again. Proceed with caution on social networks and avoid installing any browser extensions in exchange for free products or special features.

Symantec customers are protected against these types of attacks by our Web Attack: Fake Facebook Application 3 IPS signature.

Social Scams – Part 1: Reusing Old Scams to Push Browser Extensions

Hacker Medic April 3, 2013 No Comments

Last year, we talked about scams and spam circulating on Facebook in our whitepaper. Social networking scammers often reuse common lures to trick users, such as offering free products or additional features that are not available on their network of choice. What these scammers do differently is find new ways to get more eyeballs to view their specific links. Whether it is likejacking or even convincing users to paste code (an external JavaScript file) into the browser address bar, these scammers are relentless.

Just recently, we published a blog about the Facebook Black scam that has been spreading. While that scam continued to spread, we found two old lures being reused, and also two identical Google Chrome extensions being pushed onto the end user.

“Additional feature” lure

Users of social networks have often requested certain features and wondered whether they would ever be implemented on their favorite sites. One of the most commonly requested features across all social networks has been a way to see who has visited one’s profile. This feature has never been available, yet this lure has been used in scams across many of the most popular social networks over the years.

Figure 1. Photo-tagging spam claiming additional feature

In fact, this lure—commonly found on social networks—is identical to the one used in the Facebook Black scam we posted about recently. Users are redirected through an iFrame on a Facebook page and then taken to a website where they are enticed to install a Google Chrome extension.

Figure 2. Browser extension claiming additional feature

Installing the extension does nothing—except present the user with a set of surveys to fill out in order to unlock the additional feature. The feature never gets unlocked. The only thing that happens is the scammers make money off of every survey completed successfully.

Figure 3. Scammer survey

“Get something free” lure

Let’s face it: people like free stuff. But free stuff on social networks is not really free. The newest products are the most valued by users and scammers know this. This is why they continue to reuse this lure.

Figure 4. Web page claiming to get something free

For instance, in February Sony announced their new video game console, PS4. It is not scheduled to arrive in stores until the year-end holiday season. However, that has not stopped scammers from attempting to trick users by offering a free PS4 test unit that they can keep.

Figure 5. Browser extension claiming to get something free

The Web page for this scam claims that users can get a voucher for a free PS4. In reality, there is no voucher. There is just a browser extension created by scammers.

When users install this browser extension, JavaScript files are downloaded onto the user’s computers. These files then perform various actions in the user’s Facebook account, like creating a Facebook page with an iFrame and posting a photo the user’s friends are subsequently tagged in (see previous Figure 1). And this is how the scam spreads.

Protection

Symantec customers are protected against these types of attacks by our Web Attack: Fake Facebook Application 3 IPS signature.

Be cautious when you see offers for free products on social networks, especially products that are highly sought after. Also, if a feature is not currently available on a social network, chances are there is a reason that it is not available. Do not install browser extensions from unverified sources—even if they offer free products or access to an unavailable feature—and be especially suspicious of anything that is promoted aggressively on your social networks.

Google, for their part, removes malicious Chrome extensions as they find them and are improving their automated systems to help them detect items containing malware.

However, in the next post we provide instructions on how to remove these scammer browser extensions yourself, and how to clean up your Facebook timeline from all the spam left by scammers.

Google Play ?????????????????

Hacker Medic April 2, 2013 No Comments

ワンクリック詐欺とは、アダルト動画に興味のあるユーザーを誘い込み、有料サービスに登録させようとする詐欺行為のことです。このタイプの詐欺は、PC の世界では、この何年もの間よく見られるものですが、スマートフォンが普及するにつれ、スマートフォンデバイスを狙ったワンクリック詐欺も増加しています。こうした詐欺サイトには、興味のある語句で検索したり、スパムメッセージに記載されているリンクをクリックしたりしてアクセスしてしまうことが多いものです。昨年、ワンクリック詐欺を働く Android アプリの存在を確認しましたが、現在は Google Play でもこうしたアプリが見つかっています。

図 1. 詐欺アプリを提供している開発元の例

図 2. ワンクリック詐欺アプリの例

こういったアプリは、インターネット検索と同じように Google Play でキーワード検索を実行すると簡単に見つかります。たとえば、（このブログの執筆時点では）アダルト動画に関連する日本語の単語を入力すると、そうしたアプリの 1 つが検索結果の上位に表示されます。大抵の場合、アプリがユーザーに要求するのは、「ネットワーク通信」許可だけです。アプリによっては、何の許可も要求しないものもあります。これは、ユーザーに詐欺アダルトサイトを開かせるように誘い、詐欺に陥れるための道具としてしか、このアプリが使われていないためです。アプリには余計な機能が付いていないので、ユーザーはアプリが安全だと誤解して、無防備に起動してしまう可能性があります。

図 3. これらの詐欺アプリで通常要求される許可

このタイプのアプリを最初に確認したのは昨年の 1 月のことですが、それよりも前に公開されていた可能性もあります。以降、さまざまな開発元から何度もアプリが公開されています。一時、多くのアプリが理由は不明ながら Google Play から削除されたものの、その数は着実に増え続けています。現在では、複数の開発元がおびただしい数のアプリを毎日公開していることが確認されています。シマンテックで確認している限り、これまで 50 以上もの開発元によって、200 個以上の詐欺アプリが公開されていますが、実際には、おそらくそれ以上の数に上るでしょう。これらのアプリは、最近 2 か月で 5,000 回以上もダウンロードされています。この「サービス」には、99,000 円請求されますが、実際に詐欺グループにお金を払ってしまった被害者の数はわかっていません。2 か月以上もこの商売を続けていることを見ると、詐欺グループにとっては、時間と手間をかけるだけの価値があるのでしょう。

図 4. 詐欺アプリが開くサイトの例

図 5. 動画を見ようとすると表示される登録ページ

興味深いことに、詐欺グループが関心を持っているのは、ワンクリック詐欺だけではないようです。いくつかの開発元は、出会い系サービスアプリも公開していることが確認されています。出会い系サービスがいかがわしいものとされている日本では、詐欺グループがワンクリック詐欺アプリと出会い系サービスアプリの両方に手を染めていても、特に驚きはありません。

図 6. ワンクリック詐欺アプリ（右端）と出会い系サービスアプリの両方をリリースしている開発元

シマンテックは、このブログで説明しているアプリを Android.Oneclickfraud として検出します。アプリを探すときには、アプリがホストされている場所や見つかった場所にかかわらず、信頼できるサイトからダウンロードするようにしてください。ノートンモバイルセキュリティや Symantec Mobile Security などのセキュリティアプリをダウンロードして、デバイスを保護することも有効です。スマートフォンとタブレットの安全性に関する一般的なヒントについては、モバイルセキュリティの Web サイト（英語）を参照してください。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Japanese One-Click Fraud Campaign Comes to Google Play

Hacker Medic April 1, 2013 No Comments

One-click fraud refers to a scam that attempts to lure users interested in adult-related video to a site that attempts to trick them into registering for a paid service. For many years, it has been common to see this type of fraud on computers. As smar…

2011 ?? 2013 ????????????????????

Hacker Medic April 1, 2013 No Comments

概要
韓国に対する大規模なサイバー攻撃は、過去 4 年間に何回か確認されています。シマンテックが特定したバックドア（Backdoor.Prioxer）は 2011 年の攻撃で浮かび上がったものですが、このバックドアを修正した亜種が 2013 年の攻撃でも検出されています。このバックドアは一般に入手可能なコードをベースにしていますが、同じ個人が 2011 年と 2013 年のどちらの攻撃にも関与している形跡があり、2 つの攻撃には何らかの関係性があるものと示唆されます。

背景
大規模な攻撃が初めて記録されたのは、2009 年 7 月のことでした。この攻撃は、米国の独立記念日に当たる 7 月 4 日に始まり、韓国と米国の政府系や金融系のさまざまな Web サイトに対して分散サービス拒否（DDoS）攻撃が仕掛けられました。2 度目の攻撃は 7 月 7 日、3 度目は 7 月 9 日に発生しています。一連の攻撃に使われたマルウェアは Trojan.Dozer で、電子メールを介して拡散しました。Trojan.Dozer のコードには時限爆弾が仕込まれており、7 月 10 日に発動するように設定されていました。この時限爆弾は、ハードディスク上の各種のファイルを上書きするうえ、ハードディスクの先頭の 1 MB も上書きして MBR とパーティションテーブルを破壊する機能があります。これにより、ハードディスクは、「Memory of the Independence Day（独立記念日を祝して）」という文字列で上書きされてしまいます。

2 度目の大規模攻撃は、2011 年 3 月 4 日に発生しました。このときも DDoS が利用され、同じく米国と韓国の政府系機関が狙われました。ここで使われたマルウェアは Trojan.Koredos ですが、やはり指定されたタイプのファイルを上書きし、MBR を破壊します。この攻撃の調査中に発見されたのが、Backdoor.Prioxer というトロイの木馬です。Backdoor.Prioxer は非常に高度で、ファイルへの感染の仕組みも慎重です。このときの詳しい手口については、以前のブログで紹介しています。

そして、3 度目に当たるのが今回、2013 年 3 月 20 日の攻撃です。この攻撃はハードディスクを上書きするだけで、DDoS 攻撃はないものと見られています。ここで使われている Trojan.Jokra は、MBR とハードディスクの内容を、ファイル形式に関係なく上書きしたうえで、マップされたネットワークドライブを探し、見つかればそれも上書きしようとします。インストールの経路は、電子メールやパッチ管理など複数あるようです。パッチ管理とは自動更新システムで、これが感染してマルウェアを拡散しました。

2011 年の Trojan.Koredos の調査と同様に、Trojan.Jokra に感染したコンピュータのファイルを調べているときに Backdoor.Prioxer の新しい亜種が見つかっています（Backdoor.Prioxer.B と命名されました）。この新しい亜種は、同じ C&C のベースプロトコルを共有していますが、以前の亜種とは異なり IRC 通信のプロキシは行いません。被害を受けたコンピュータへのインストール方法を判定しようとして、このファイルをさらに調べたところ、Trojan.Jokra とのつながりが確認されました。

関連性の発見
Trojan.Jokra のサンプルは Jokra パッカーによって不明瞭化されています。Jokra パッカーはダウンローダの不明瞭化にも利用されていました（2012 年 8 月に、50e03200c3a0becbf33b3788dac8cd46 という MD5 で発見）。このダウンローダは、次の場所から Backdoor.Prioxer をダウンロードします。

http://www.skymom.co.kr/[削除済み]/update_body.jpg

Trojan.Jokra と Backdoor.Prioxer.B のつながりも、Jokra パッカーが基になっています。2013 年の事案で見つかった別のマルウェアサンプル（Trojan.Gen.2）は、Jokra パッカーでパッケージ化され、ビルドのパス文字列を含んでいます。この文字列は、サンプルがディスク上のどこでコンパイルされたかを示しています。

パスは以下のとおりです。

Z:\Work\Make Troy\3RAT Project\3RATClient_Load\Release\3RATClient_Load.pdb

同じ調査で見つかった Backdoor.Prioxer.B サンプルにも、以下のビルド文字列が含まれています。

Z:\Work\Make Troy\Concealment Troy\Exe_Concealment_Troy(Winlogon_Shell)\Dll\Concealment_Troy(Dll)\Release\Concealment_Troy.pdb

2 つのマルウェアが、Z:\work\Make Troy という同じビルドソースディレクトリからコンパイルされたことが、これで明らかになりました。

仕事か趣味か
Jokra パッカーが 1 つのグループに限定されているとすれば、Backdoor.Prioxer.B と Trojan.Jokra のつながりは間違いありません。このパッカーは、検出数がきわめて少ないことから、公然と配布されているわけではなく、韓国に限定されているとシマンテックは考えています。今までのところ Jokra、ダウンローダ、そして「Z:」で始まるビルド文字列を含むバックドア型のトロイの木馬しか対象になっていません。こうした範囲の狭さから、Jokra パッカーが 1 つのグループのみによって使われていることが示唆されます。

Backdoor.Prioxer.B と 2011 年の攻撃とのつながりは、これまで明確にはなっていません。各バージョンの Backdoor.Prioxer が 2 つの攻撃を通じて存在していたとは考えにくく、トロイの木馬は単に調査の過程で検出されただけで、実際には攻撃に関係していなかったという説明も可能でしょう。とは言え、Jokra のつながりを考えると、サンプルはやはり関係していると考えてよさそうです。

最後に、Backdoor.Prioxer サンプルで使われているビルドパス自体が手がかりになります。パスは「Z:\work」ですが、個人のハックティビストがトロイの木馬を保存する場所として「work（作業用）」というラベルのフォルダを使うことは、まずありえません。ハックティビストであれば、トロイの木馬を開発することは仕事ではなく、趣味のようなものだからです。コードを作業用フォルダに保存するのは、コーディングを職業にしている人と考えれば、請負業者として報酬を得ている、あるいは従業員として指示されている何者かが一連の攻撃を実行した可能性があるということになります。

Are the 2011 and 2013 South Korean Cyber Attacks Related?

Hacker Medic March 29, 2013 No Comments

Overview
In the past four years there have been several major cyber attacks against South Korea. We have identified a particular back door (Backdoor.Prioxer) that surfaced during the 2011 attacks. A modified version of this back door was also discover…

????????????????????????

Hacker Medic March 29, 2013 No Comments

寄稿: Avdhoot Patil

フィッシングサイトの裏では、ユーザーを誘い込み、個人情報を渡すようにそそのかす手口が次々と生み出されています。そこでよく使われているのが、偽装したソーシャルネットワークアプリケーションです。

先月の統計では、フィッシング全体の 8.6 パーセントがソーシャルメディアサイトで行われたものでした。そのうち 0.8 パーセントを占めていたのが、無料携帯通話時間、アダルト動画、ビデオチャット、アダルトチャットなどを謳い文句にした偽装アプリケーションです。

2013 年 3 月、フィッシング詐欺師は、無料 Web ホスティングサイトにフィッシングサイトを置き、偽のアジア系チャットアプリケーションを立ち上げました。

図 1. ソーシャルネットワークサイトを偽装したフィッシングページ

このフィッシングサイトは有名なソーシャルネットワークサイトを偽装しており、タイトルには「Pakistani chat room – Pakistani girls & boys chatting room（パキスタン人チャットルーム – パキスタンの男女のためのチャットルーム）」とあります。ページの右側には、チャットルームへの参加方法が稚拙な英語で書かれています。それによれば、ログイン情報を入力すると、パキスタンやインドの女性と無料でチャットできるようになるそうです。また、国内や海外の友だちを探してチャットする機能もあると書かれています。実際には、次のページに進むと、パキスタン、インド、アラブを含むアジア系向けを装った偽のチャットページが現れます。

おなじみのアプリケーションを備えた偽装サイトにリダイレクトするという手法は、ユーザーを信じ込ませるためにフィッシングサイトではよく使われるものです。このサイトの場合、インドの映画女優の壁紙に混ざって、偽のチャットルームへのリンクが仕掛けられています。この撒き餌に食いつくと、ログイン情報がまんまと盗まれてしまうわけです。

図 2. 偽装チャットサイト。個人情報を入力すると、ここにリダイレクトされる

フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

電子メールメッセージの中の疑わしいリンクはクリックしない。
電子メールに返信するときに個人情報を記述しない。
ポップアップページやポップアップ画面に個人情報を入力しない。
個人情報や口座情報を入力する際には、鍵マーク、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する。
ノートンインターネットセキュリティなど、オンラインフィッシングを防止するセキュリティソフトウェアを頻繁に更新する。

Bogus Asian Chat App Steals Login Information

Hacker Medic March 28, 2013 No Comments

Contributor: Avdhoot Patil
New methods to entice victims into handing over their personal information are always being devised by the people behind phishing websites and the use of fake social networking applications is always popular.
During the past …

???????????????????????Ransomlock ??????

Hacker Medic March 28, 2013 No Comments

マルウェアの多くは、自身を変化させる機能を持っています。侵入先のコンピュータに自身をコピーするときにセキュリティソフトウェアの目を逃れること、あるいは解読したメモリ領域を実行したり解読したメモリ値を読み取ったりしてマルウェアを解析しようとするエンジニアの試みを阻害することが目的です。今回のブログでは、メモリを共有して自身の姿を変えるトロイの木馬の動作について説明します。

マルウェアのプロセスは、図 1 の赤線のように進みます。

new ransomlock 1 edit.png

図 1. 脅威のプロセスを示すコード

ebx-4 というアドレスは、.data セクションの先頭を示しています。初期状態では、ebx-4 は 0 なので、31h や 32h と比較すると失敗になります。

コードによってアドレス ebx-4 に 31h が書き込まれると、トロイの木馬は自身のファイル名を使って WinExec 関数を実行し、自身を実行します。次に、ExitProcess 関数を使って自身を終了します。実行時には ebx-4 の値が常に 0 なので、プログラムは単に実行と終了を繰り返しているだけのように見えますが、実際には悪質な処理を実行しています。ここが、このマルウェアの巧妙なところです。

ファイル構造

このファイルのサンプルには、以下のような構造の .data セクションがあります。

new ransomlock 2.png

図 2. ファイルサンプルの構造

Characteristics の rw- d0000040 は異例な構成で、以下のように設定されています。
new ransomlock 3 edit.png
IMAGE_SCN_MEM_SHARED 設定が行われているのでメモリ値が共有されています。

実際の動作

このマルウェアが初めて実行されたときには、アドレス ebx-4 が 0 のため、コードはこのアドレスに 31h を書き込んで自身を再実行します。再実行されたときには、ExitProcess の実行前なので、このアドレスで 31h を保持しているメモリが共有されます。

new ransomlock 4 edit.png

図 3. 再実行されるとプロセスは異なるルートを進む

新しく実行されたプログラムはこのアドレスに 32h を書き込み、自身を再実行します。新しいプログラムは、このアドレスで 32h を保持しているメモリを共有します。

new ransomlock 5 edit.png

図 4. プロセスが復号ルーチンに達する

アドレスが 32h なので、プログラムは _decrypt 関数を実行し、暗号化されたコードを復号したうえでアドレス esi にジャンプします。この動作を順に示すと、以下のようになります。

Windows でファイルがロードされる。
アドレスはファイルの初期値として 0 をとる。
値を 31h に書き換える。
自身を実行する。
Windows で共有メモリを除くファイルイメージがロードされる。元のファイルのディスクイメージでは 0 のまま。
値 31h でプログラムが実行される。
最初のプロセスを終了する。
値を 32h に書き換える。
自身を実行する。
Windows で共有メモリを除くファイルイメージがロードされる。元のファイルのディスクイメージでは 0 のまま。プログラムが復号ルーチンに達し、コンピュータが危殆化する。
2 度目に実行されたプロセスを終了する。

new ransomlock 6.png

図 5. 実行順で示した動作

サンドボックスでのプロセスの動作

攻撃者は、自動の脅威解析システムから悪質な動作を隠そうとしていると考えられます。自動の脅威解析システムを搭載している 8 つの Web サイトにサンプルファイルを送信してみたところ、結果は以下のとおりでした。

ThreatExpert では、ファイルの作成、レジストリの改変、予想外のネットワークアクセスが記録されました。この結果からこのサンプルの動作を特定し、マルウェアであると判定しました。
3 つの Web サイトでプロセスの実行が記録されましたが、そのほかの異常はありませんでした。
残る 4 つの Web サイトでは、何も記録されませんでした。

自動の脅威解析システムは、図 5 の赤い枠線で示したセクションしか監視していないようです。このタイプの特殊コードが自動の解析システムをすり抜けることは、たびたび確認されています。

シマンテックは、このタイプの悪質なコードと手口を引き続き監視していく予定です。疑わしいプログラムは実行しないようにし、オペレーティングシステムとウイルス対策ソフトウェアは最新の状態に保つことをお勧めします。

New Ransomlock Variant Bypasses Automated Threat Analysis Systems’ Sandboxes

Hacker Medic March 27, 2013 No Comments

A lot of malware modify themselves to either hide from security software when they copy themselves to the compromised computer or to hinder engineers attempting to analyze the malware by executing the decrypted memory area and reading the decrypted mem…