Contributor: Lionel Payet
Political news has always been one of the top topics used in targeted attacks. Last week we came across unique malicious emails targeting high-profile companies in Europe and Asia (in sectors such as finance, mining, telecom, …
There’s been a lot of confusion over the last few days, since bitcoin.org announced that an Android component responsible for generating secure random numbers contained a critical weakness that rendered many Android bitcoin wallets vulnerable.
Th…
Hello, welcome to this month’s blog on the Microsoft patch release. This month the vendor is releasing eight bulletins covering a total of 23 vulnerabilities. 14 of this month’s issues are rated ’Critical’.
As always, customers are advised to follow these security best practices:
Microsoft’s summary of the July releases can be found here:
http://technet.microsoft.com/en-us/security/bulletin/ms13-Aug
The following is a breakdown of the issues being addressed this month:
MS13-066 Vulnerability in Active Directory Federation Services Could Allow Information Disclosure (2873872)
AD FS Information Disclosure Vulnerability (CVE-2013-3185) MS Rating: Important
An information disclosure vulnerability exists in Active Directory Federation Services (AD FS) that could allow the unintentional disclosure of account information.
MS13-062 Vulnerability in Remote Procedure Call Could Allow Elevation of Privilege (2849470)
Remote Procedure Call Vulnerability (CVE-2013-3175) MS Rating: Important
An elevation of privilege vulnerability exists in the way that Windows handles asynchronous RPC requests. An attacker who successfully exploited this vulnerability could execute arbitrary code and take complete control of an affected system. An attacker could then install programs, view, change, or delete data, or create new accounts with full user rights.
MS13-064 Vulnerability in Windows NAT Driver Could Allow Denial of Service (2849568)
Windows NAT Denial of Service Vulnerability (CVE-2013-3182) MS Rating: Important
A denial of service vulnerability exists in the Windows NAT Driver that could cause the target system to stop responding until restarted.
MS13-060 Vulnerability in Unicode Scripts Processor Could Allow Remote Code Execution (2850869)
Uniscribe Font Parsing Engine Memory Corruption Vulnerability (CVE-2013-3181) MS Rating: Critical
A remote code execution vulnerability exists in the Unicode Scripts Processor included in affected versions of Microsoft Windows. An attacker who successfully exploited this vulnerability could run arbitrary code as the current user.
MS13-065 Vulnerability in ICMPv6 could allow Denial of Service (2868623)
ICMPv6 Vulnerability (CVE-2013-3183) MS Rating: Important
A denial of service vulnerability exists in the Windows TCP/IP stack that could cause the target system to stop responding until restarted. The vulnerability is caused when the TCP/IP stack does not properly allocate memory for incoming ICMPv6 packets.
MS13-059 Cumulative Security Update for Internet Explorer (2862772)
Internet Explorer Process Integrity Level Assignment Vulnerability (CVE-2013-3186) MS Rating: Moderate
An elevation of privilege vulnerability exists in the way that Internet Explorer handles process integrity level assignment in specific cases. An attacker who successfully exploited this vulnerability could allow arbitrary code to execute with elevated privileges.
EUC-JP Character Encoding Vulnerability (CVE-2013-3192) MS Rating: Moderate
An information disclosure vulnerability exists in Internet Explorer that could allow script to perform cross-site scripting attacks. An attacker could exploit the vulnerability by inserting specially crafted strings into a website, resulting in information disclosure when a user viewed the website.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3184) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3187) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3188) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3189) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3190) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3191) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3193) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3194) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
Internet Explorer Memory Corruption Vulnerability (CVE-2013-3199) MS Rating: Critical
A remote code execution vulnerability exists when Internet Explorer improperly accesses an object in memory. This vulnerability may corrupt memory in such a way that an attacker could execute arbitrary code in the context of the current user.
MS13-063 Vulnerability in Windows Kernel Could Allow Security Feature Bypass (2859537)
ASLR Security Feature Bypass Vulnerability (CVE-2013-2556) MS Rating: Important
A security feature vulnerability exists in Windows due to the improper implementation of the Address Space Layout Randomization (ASLR). The vulnerability could allow an attacker to bypass the ASLR security feature, most likely during, or in the course of exploiting, a remote code execution vulnerability. The attacker could then load a DLL in the process.
Windows Kernel Memory Corruption Vulnerability(CVE-2013-3196) MS Rating: Important
An elevation of privilege vulnerability exists in the Windows kernel due to a memory corruption condition in the NT Virtual DOS Machine (NTVDM). An attacker who successfully exploited this vulnerability could run arbitrary code in kernel mode. An attacker could then install programs, view, change, or delete data, or create new accounts with full user rights.
Windows Kernel Memory Corruption Vulnerability(CVE-2013-3197) MS Rating: Important
An elevation of privilege vulnerability exists in the Windows kernel due to a memory corruption condition in the NT Virtual DOS Machine (NTVDM). An attacker who successfully exploited this vulnerability could run arbitrary code in kernel mode. An attacker could then install programs, view, change, or delete data, or create new accounts with full user rights.
Windows Kernel Memory Corruption Vulnerability(CVE-2013-3198) MS Rating: Important
An elevation of privilege vulnerability exists in the Windows kernel due to a memory corruption condition in the NT Virtual DOS Machine (NTVDM). An attacker who successfully exploited this vulnerability could run arbitrary code in kernel mode. An attacker could then install programs, view, change, or delete data, or create new accounts with full user rights.
MS13-061 Vulnerabilities in Microsoft Exchange Server Could Allow Remote Code Execution (2876063)
Oracle Outside In Contains Multiple Exploitable Vulnerabilities (CVE-2013-2393) MS Rating: Critical
Remote Code Execution vulnerabilities exist in Exchange Server 2007 and Exchange Server 2010 through the WebReady Document Viewing feature. The vulnerabilities could allow a remote code execution as the LocalService account if a user views a specially crafted file through Outlook Web Access in a browser.
Oracle Outside In Contains Multiple Exploitable Vulnerabilities (CVE-2013-3776) MS Rating: Critical
Remote Code Execution vulnerabilities exist in Exchange Server 2007 and Exchange Server 2010 through the WebReady Document Viewing feature. The vulnerabilities could allow a remote code execution as the LocalService account if a user views a specially crafted file through Outlook Web Access in a browser.
Oracle Outside In Contains Multiple Exploitable Vulnerabilities (CVE-2013-3781) MS Rating: Critical
Remote Code Execution vulnerabilities exist in Exchange Server 2007 and Exchange Server 2010 through the WebReady Document Viewing feature. The vulnerabilities could allow a remote code execution as the LocalService account if a user views a specially crafted file through Outlook Web Access in a browser.
More information on the vulnerabilities being addressed this month is available at Symantec’s free SecurityFocus portal and to our customers through the DeepSight Threat Management System.
Recently, we observed an attack campaign using link files attached to emails in Japan. We have blogged about threats utilizing link files before and this type of attack is still alive and well.
The target of the link is disguised to make it look like i…
3D プリンタは魅力的なデバイスで、最近では値段も手ごろになり、広く利用できるようになりつつあります。多くのユーザーが好んで 3D プリンタを試用し、さまざまな分野にイノベーションを起こしています。3D 印刷によって可能なことはあまりに多く、武器の模造など物議を醸すアイデアの実現から、鍵の複製までさまざまです。ここで言っているのは、単に安っぽいプラスチック製の複製の話だけではありません。新型の 3D プリンタになると、チタンなどの素材を焼結して耐久性の高いものを作ることも可能です。
先々週に相次いで開催されたセキュリティカンファレンス OHM2013 と DEFCON では、錠前破り（ピッキング）に関して類似のプレゼンテーションが 2 つ行われました。どちらも、物理的な鍵の複製を 3D プリンタで作成できることを実証したもので、必要なのは元の鍵の ID 番号と、精巧な写真数枚だけです。たったそれだけで、実際に使える 3D モデルの鍵を複製できてしまうというのは、考えるだけでも心配です。3D モデルのファイルの一部は、一般に入手可能で、変更も改造も簡単です。
これは別に新しい概念ではありません。手錠の鍵の 3D モデルは、1 年以上前から一般に出回っています。数年前には、高解像度のカメラで撮影した数枚の写真から鍵を複製する方法を実証した本も何種類か出版されました。
もちろん、熟練した腕前の攻撃者であれば、通常のピッキング道具で錠を開けることもできます。3D プリンタが一般にも利用できるようになり、対応する鍵ファイルがオンラインで流通すれば、多くの人々がますます簡単に複製を作れるようになります。
新聞やテレビ番組で鍵の写真が映しだされた例は数多くあり、それが複製につながる恐れがあります。たとえば、消防士がさまざまなエレベータや非常口を操作できる特殊な鍵や、警察官が持つ手錠の鍵などは、それなりのプリンタさえあれば誰にでも簡単に作れる標的になりえます。
これは大多数の人々が心配しなければならない性質の問題ではありませんが、撮影したものの物理的な特性について慎重を期することは重要です。言うまでもなく、この攻撃は、あらゆる種類の鍵と錠の組み合わせに有効なわけではありません。どちらかといえば、デジタル世界の暗号鍵に似ており、脆弱な鍵を使った古い単純な実装は破られてしまう可能性があるので、強力な鍵に取り替える必要があるものの、未熟で脆弱な鍵を使っている実装もまだまだ多く、リスクにさらされている恐れがあります。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
ソーシャルメディアのアカウント、なかでも Twitter アカウントを利用して、Android.Opfake（昨年のブログを参照）などをホストしている悪質なサイトにユーザーを誘導する手口は、特に珍しいものではありません。シマンテックは最近、何も知らない一般ユーザーのアカウントが感染して、こうしたタイプの悪質なリンクをフォロワーにツイートしているケースを確認しました。
図 1. 感染したアカウントからの悪質なツイート
感染した一連のアカウントが出現するようになったのは 7 月の初め頃で、影響は全世界のユーザーに及んでいます。数週間で広範囲のアカウントが感染しましたが、すでに何百というツイートが送信されているにもかかわらず、多くのユーザーは自分のアカウントが悪質なツイートを送信していることに気づいていません。
図 2. 感染したアカウントから正規のツイートと悪質なツイートが送信される
フォローしているアカウントから送信された悪質なリンクを誤ってクリックしてしまったのではないかと心配な場合でも、ロシア語を理解できなければおそらくは安全です。というのも、このツイートはロシア語で書かれており、友人のアカウントでロシア語を見かけても無視すると思われるからです。ただし、ロシア語を理解することができ、ふだんロシア語でツイートするユーザーをフォローしている場合には警戒が必要です。
こういったリンクをクリックすると、マルウェアをホストしているサイトがブラウザで開きます。一般的なブラウザでは、アプリの自動ダウンロードを開始するページが表示されます。
図 3. マルウェアをホストしているサイトがブラウザで開く
アプリは自動的にダウンロードされますが、インストールはユーザーが手動で実行する必要があります。
図 4. 自動的にダウンロードされたアプリ
注目に値するのは、この悪質なツイートから無償版の Asphalt 7 を入手できるように見える点です。しかし、アプリをダウンロードしてインストールする際は、正規のアプリであるかどうかを再確認してください。このアプリは無償版を装っていますが、正規の Asphalt 7 アプリとは異なり、バックグラウンドでプレミアム SMS を送信するからです。この費用は、本物を実際に購入するよりも、よほど高くついてしまいます。
図 5. 偽の Asphalt 7 ダウンロードサイト
ユーザーにリンクをクリックさせてマルウェアをデバイスにダウンロードさせようと、ユーザーの気を引くような画像が添付されたツイートもあります。悪用されるのは感染したアカウントとは限らず、詐欺師によって用意されたアカウントの場合もあります。この手の詐欺には十分に注意してください。
図 6. 興味を引く画像が添付された詐欺
シマンテックは、感染してしまったユーザーのサポートに関して Twitter 社と協力しています。アカウントが感染しているかどうかを確認するには、身に覚えのないツイートがないかどうか、フォローした覚えのないアカウントをフォローしていないかどうかを調べます。アカウントを感染から保護するために、強力なパスワードを使用し、フィッシング詐欺に注意してください。また、アカウント情報を盗み出すマルウェアにコンピュータやデバイスが感染しないように、オペレーティングシステムやインストールされているすべてのソフトウェアに最新のパッチを適用したり、最新のセキュリティソフトウェアを使用したりするなど、基本的なセキュリティ対策（ベストプラクティス）に従ってください。悪質なサイトにアクセスしてしまわないように、たとえ知人のツイートでも、ふだんとは違うメッセージは無視するようにしてください。ノートン モバイルセキュリティや Symantec Mobile Security などのセキュリティアプリをインストールすることもお勧めします。シマンテックは、このブログで説明したマルウェアを Android.Opfake として検出します。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
3D printers are fascinating devices that are becoming affordable and widely available. Many people love to experiment with them, bringing innovation to many different fields. There are so many things that one can do with 3D printing, from contro…
It is not uncommon to see social media accounts, specifically Twitter accounts, directing users to malicious sites such as the ones hosting Android.Opfake, an issue we blogged about last year. Recently, we discovered that the accounts of innocent users…
怪訝に思われるかもしれませんが、株関連のスパムの増加は、経済回復の確かな兆しの 1 つです。こういったスパムは、経済が回復してくると真っ先に表れるものです。その証拠に、最近届いたメールを確認してみてください。迷惑メールフォルダには、「一世一代のチャンス」を謳うこの種のスパムがいくつも届いていることでしょう。経済回復の兆候が見られるたびに、大切なお金を騙し取ろうとする悪質なスパムが必ず現れます。
株関連のスパムは何年にもわたって進化してきました。ある組織によって株価が急騰すると謳って特定の株を買わせようと心理的に誘導する手法はますます巧妙になっています。株関連のスパムは不当に切迫感を煽り、最後には必ず儲かると約束します。
株関連のスパムは「パンプアンドダンプ」と呼ばれる戦略を用いています。スパマーは擬似的に投機熱を作り出し、一晩で大儲けできると誘ってペニーストック（安値の小型株）への投資を誘います。多くの人間が持っている金銭欲につけ込むのです。
このようなスパムメールが何百万通もばらまかれると、当該株の株価は急騰し、その後大幅に下落します。そして後には多くの投資家たちが取り残されます。投機熱が上がると、今度は一転して当該株は売られ、低株価に戻ります。つまり、株価の操縦者は、高値で買わされた投資家よりも多くの利益を得ることになります。
スパムの観点から言えば、誇大な宣伝をして、荒稼ぎしたら姿を消すという手口は変わっていません。社会政治的な状況も踏まえて体系的に行われます。
メールの件名は、スパムフィルタをすり抜けるために若干の変更を加えつつ使い回されます。株関連のスパムに使われる件名の例を以下に示します。
メールの本文には、対象株に関する概要と銘柄コードが含まれています。銘柄コードは、通常、不明瞭化されています。
図. 株関連のスパムメールサンプル
では、このようなスパムにどのように対処すればよいでしょうか?
この種のスパムメールが受信ボックスに届いても、決してだまされないように注意してください。うますぎる話には必ず裏があることを忘れないでください。
スパム対策のシグネチャは定期的に更新することをお勧めします。シマンテックではこのようなスパム活動を厳重に監視しており、この傾向の監視を続けて読者の皆様に最新の情報をお届けする予定です。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
It may sound strange, but one surefire sign that the economy is on the mend is an increase in stock spam. Yes, stock spam is a bellwether signal of an economic revival and if you want proof, check your email. Scattered in your bulk folder, you may find a myriad of such spam promising you ‘an opportunity of a life time.’ Rearing its ugly head every time there is a hint of an economic recovery, stock spam never misses an opportunity to try and con victims out of their hard-earned cash.
Over the years, stock spam has evolved, honing its method of psychologically hustling a victim into buying a particular stock that will ‘imminently’ be pumped up by some sort of syndicate. Stock spam creates an unwarranted urgency and promises a pot of gold at the end of it all.
Stock spam relies on a strategy called ‘pump and dump,’ where spammers create pseudo hysteria, beckoning victims to invest in penny or sub-penny stocks that would give astronomical returns overnight. It takes full advantage of a widespread human trait, greed.
After millions of these spam emails are dispersed, the stock in focus suddenly increases in value and then falls drastically, leaving investors stranded. Stocks are then dumped after creating hysteria and subsequently bought back at a lower price, which means more profit for the manipulators rather than those invested who are trapped at higher levels.
From a spam perspective, the modus operandi has been constant – create hype, make a profit, then disappear into oblivion! This is done systematically, keeping the sociopolitical situation in mind.
The subject lines used are altered and recycled with a few cosmetic alterations in order to evade spam filters. The following are some sample subject lines used in stock spam:
The email body contains some brief information on the targeted stock and its trading ticker ID (which is usually obfuscated).
Figure. Sample stock spam email
So, what’s the best practice here?
The next time you see unsolicited emails cluttering your mailboxes, make sure that you don’t fall for this type of scam. Remember, if something sounds too good to be true, it usually is!
Symantec advises users to update their antispam signatures regularly. We are closely monitoring these spam campaigns and will continue monitoring this trend to keep our readers updated.
To the pilot who knows no storm! Thanks Samir.