On August 4, websites hosted by Freedom Hosting, a service provider that offers anonymous hosting through the Tor network, began to host malicious scripts. This follows media reports from August 3 about US authorities seeking the extradition of the man…
On August 4, websites hosted by Freedom Hosting, a service provider that offers anonymous hosting through the Tor network, began to host malicious scripts. This follows media reports from August 3 about US authorities seeking the extradition of the man…
What a summer of sport it has been. We’ve witnessed in our millions the British & Irish Lions rugby team triumphing in the Rugby Union Test series in Australia; Chris Froome winning the 100th edition of the Tour de France; Missy Franklin taki…
AVAST Evangelists’ share tips about backing up your PC. This time of the year – summer in the Northern Hemisphere – is the time to enjoy yourself while traveling. You want to protect those precious photos and videos that you take of your children or friends having adventures. In the Southern Hemisphere, it’s winter. For […]
Parents are without a doubt their children’s most important role models. The way we interact with our friends, the way we deal with problems and the language we use all become our children’s subconscious ‘how-to’ guide. Of course, none of us are perfect – although don’t tell the kids that! We all make mistakes and Read more…
7 月下旬、千葉県警は Android.Enesoluty をダウンロードするリンクが記載された電子メールを含むスパムを配信したとして 9 人を逮捕しました。Android.Enesoluty は、所有者のデバイスに保存されている連絡先情報を収集するマルウェアです。逮捕された 9 人の中には、東京都渋谷区の IT 関連企業コーエイプランニング社長、香川雅昭容疑者（50）も含まれていました。香川容疑者は、熱心なポーカープレイヤーとしても有名で、世界中のポーカー大会に参加しては、これまでの大会で累計 1 億円以上を稼ぎ出してきました。スパム活動では主犯格であったと見られています。イチかバチかに賭けるその情熱が、ポーカーの世界では膨大な稼ぎをもたらしましたが、Android マルウェアをめぐる賭けでは運に見放されたようです。香川容疑者とその関係者は間もなく起訴されると見られています。
シマンテックの調べによると、このスパム活動は 2012 年 9 月頃に始まっており、捜査当局の家宅捜査があった 2013 年 4 月に停止しました。シマンテックは、この期間に悪質なアプリのホスト先として約 150 のドメインが登録されていたことを確認しています。報道によれば、このグループは 810,000 台前後の Android デバイスからおよそ 3,700 万件もの電子メールアドレスを集めていました。また、スパム活動の最後の 5 カ月間には、「サクラ」サイトと呼ばれる偽のオンライン出会い系サービスを運営して、3 億 9,000 万円以上の稼ぎを上げています。被害者をこの出会い系サイトに誘導したスパムの送信先は、マルウェアによって収集されたアドレスでした。
シマンテックは 2012 年 7 月以来、Enesoluty 詐欺を綿密に追跡してきました。その詳しい経緯は、以下のブログでお伝えしています。
シマンテックは、Android.Maistealer と Android.Enesoluty も、Android.Uracto という別のマルウェアと共通のソースコードを使っていると考えていますが、マルウェアを拡散する手口が大きく異なることから、Uracto は別の詐欺グループが管理しているものと思われます。この別グループはまだ特定に至っていないため、こちらのグループをめぐっては今後もしばらく紆余曲折がありそうです。Android.Uracto によって実行される詐欺の詳しい情報は、以下の 2 回のブログでお伝えしています。
最後になりましたが、今回の逮捕について千葉県警に称賛の意を表したいと思います。シマンテックは、この逮捕に至るまで捜査当局に協力しており、今後も犯罪者の摘発や告訴については協力を続けていきます。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
URL に .pw を含むスパムメッセージの増加については、これまでにも何度か（4 月の記事と 5 月の記事）このブログでご報告しました。
その後、URL に .pw を含むスパムの量は大幅に減少しています。.pw ドメインのスパムは 5 月初めがピークで、全スパム URL のほぼ 50% を占めていましたが、最近の 7 日間では 2% 足らずです。
図 1. トップレベルドメイン（TLD）に .pw を含むスパムメッセージの変化
.pw ドメインを使ったスパムが減少したのは、シマンテックと Directi 社が連携して、スパムに関係する .pw ドメインの報告と停止を続けた結果です。
Symantec Global Intelligence Network の最近のデータによれば、.pw ドメイン（元々はパラオを表す国別トップレベルドメインでした）の比率がこれほど小さくなっても、.pw を使うスパマーは諦めずに新たな手口を使い始めています。世界中の最新ニュースに目を光らせ、最新ニュースの見出しをドメイン名に変換しているのです。
そうした例のひとつが babykingishere.pw というドメイン名で、これはパナマの登録者が 7 月 24 日に登録したものです。スパマーが選んだこの名前は、英国から届いたお世継ぎ誕生という大きなニュースに由来しています。全世界がご生誕を祝うなか、スパマーがそのニュースを利用しようとしたのは明らかです。
これまでのところ、このスパムドメインは一撃離脱タイプのスパム攻撃で確認されています。このタイプのスパムに見られる大きな特徴は「使い捨て」ドメインを使っていることで、babykingishere.pw ドメインがまさにそれです。
babykingishere.pw ドメインを使う一撃離脱スパムで確認された差出人のサンプルを以下に示します。
図 2. babykingishere.pw ドメインを含むリンクの記載されたスパムメッセージの例
どちらのサンプルも現在、シマンテックの IP 評価とコンテンツフィルタリングによって遮断されています。シマンテックは、.pw ドメインと「ロイヤルベビー」スパムを引き続き監視する予定です。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
シマンテックの『インターネットセキュリティ脅威レポート』（ISTR）は、過去 1 年間のオンラインセキュリティを取り巻く環境について概要と詳細な解析が記載されている年次レポートです。ISTR は、シマンテックのアナリストがサイバー攻撃や悪質なコードの活動、フィッシング、スパムなどに関する最新の傾向と、脅威を取り巻く現状の幅広い傾向について特定、解析し、解説する際に利用する、Symantec Global Intelligence Network のデータに基づいています。
その最新号である ISTR 第 18 号には、現時点で最も包括的で詳細な情報が掲載されています。なかでも、標的型攻撃、データ侵害、マルウェア、スパム、脆弱性、モバイルマルウェアについて最新のデータと解析結果が盛り込まれています。
シマンテックの誰もが ISTR に誇りを持っていますが、今はその成果に安住しているときではありません。シマンテックは常に製品とサービスの品質改善に努めており、ISTR もその点は同様です。その目的のために読者の皆様のご協力を仰ぎたいと考え、このたび第 1 回 ISTR 読者アンケート（英語）を実施することにいたしました。ISTR 読者の皆様との接点を通じて、お客様のニーズやご要望にお応えできるようにさらに調整を深めていきたいと考えています。
たとえば、データ侵害に関するデータをもっと多く必要としている方や、標的型攻撃にさらに注目している方もいらっしゃるでしょう。今回は皆様のそうした好みや、興味深く読んだ内容、読み飛ばした内容などについてお伝えいただける絶好のチャンスです。シマンテックは皆様に最も関わり合いのある脅威について最善の情報を提供するよう努力していますが、それが読者一人一人にとって、また所属する企業にとってどのような意味を持つのかを知り、レポートの使われ方について深く理解したいと考えています。
また、ISTR のような形態のレポートを年 1 回よりも頻繁にお読みになりたいかどうかも知りたいと思っています。シマンテックと読者の皆様の相互利益のために、ISTR について何でもご意見やご感想をお寄せください。
ご意見については、まず ISTR 読者アンケート（英語）にお答えください。アンケートは簡単ですぐに終わります。皆さまのご協力は、今後のご報告を改善していくためにも貴重なものです。また、ISTR をご覧の友人や同僚がいらっしゃいましたら、アンケートについても情報を共有していただければ幸いです。
いつもご愛読、ご協力いただき、感謝いたします。皆さまのご回答を拝見することを楽しみにしています。ISTR をさらに読みやすく充実した内容にできるよう、そして今後とも皆さまのお役に立てるよう対応していきたいと思います。
アンケートに回答（英語）
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
最近の自動車には、高度な電子機器が多数搭載されており、あらゆるセンサー、処理装置、電子制御ユニットを接続するケーブルの全長は 1 km を超えるほどです。車両自体が大型のコンピュータのようになっており、これまでの歴史が示しているとおり、コンピュータがあれば必ず攻撃の対象として狙われます。車載ネットワークを通じて自動車を攻撃することの現実性については、過去数年間にいくつかの研究が行われています。大半の研究は、完全に物理的なアクセスによって自動車を攻撃する方法に終始していますが、なかには外部の攻撃経路を調査した研究もあります。
自動車に対して物理的なアクセスが可能な場合、攻撃者は CAN（コントローラエリアネットワーク）システムや OBD（車載診断）システムなどにもアクセスできますが、ブレーキに細工する、車両自体を盗むなど、ほかにも悪質な行為を行うことも可能です。一方、自動車に対するデジタルな改変操作を事後に証明することは、物理的な行為より困難な場合があります。このような攻撃は、リモートコード実行の余地がある他の攻撃と組み合わせることも可能であり、ペイロードの実証と捉える必要があります。
物理的にアクセスせずに車載システムに侵入する経路は、タイヤ圧監視システム、TMC（交通メッセージチャネル）のメッセージ、GSM 接続や Bluetooth 接続など、いくつかあります。車両の一部の機能を制御できるスマートフォン向けアプリを開発し始めたメーカーもあり、それも新しい攻撃経路として利用される可能性が出てきました。また、特別に細工した音楽ファイルを USB ドライブに潜ませ、車載システムの一部を乗っ取ることができたというケースも確認されています。
DARPA のプロジェクトに研究員として携わっているチャーリー・ミラー（Charlie Miller）氏とクリス・バラセク（Chris Valasek）氏は、車両に乗り込んだ場合にどの程度まで CAN をハッキングできるかを研究しています。DEFCON カンファレンス向けプレゼンテーションのプレリリース版ビデオによると、自動車の機能はほぼすべて制御またはトリガーすることができ、たとえばライトをすべて消灯する、エンジンを停止する、ブレーキを無効にする、一分ハンドル操作を行う、クラクションを鳴らす、システムディスプレイを操作することが可能です。これが深刻な事故につながりうることは容易に想像できます。悪質なファームウェア更新やシステム変更を利用すれば、このような改変を恒久的に、かつ見つからないようにすることも不可能ではありません。もちろん、ラップトップとモデムをグローブボックスに入れても同様の攻撃は可能ですが、この方法に比べれば発覚しやすいでしょう。攻撃者がこの研究と同じ手口を使ったしても、後部座席に攻撃者のラップトップがあるのに気づけば、きっと怪しむはずです。
自動車メーカーもこうした課題に気づいており、車載ネットワークのセキュリティについて何年間も改善を続けています。リモート攻撃の経路については特に、解析と保護対策が必要です。シマンテックでも、今後の改善に向けてこの分野の研究に注目しています。ミラーとバラセクの両氏の研究では、自動車が攻撃者にとって格好の標的になることが実証されていますが、運転中にハッカーに乗っ取られるよりもはるかに大きなリスクがすでに存在しています。個人的には、運転中にスマートフォンを操作している人がいることに脅威を感じます。少なくとも当面の間、自動車事故という点では、このほうがはるかに大きなリスクでしょう。運転は、どうぞ安全第一で。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。
セキュリティ業界の各企業は以前から、現在のシステムよりも確実にマルウェアを検出し特徴付ける方法を探り続けています。そのようなシステムがあれば、マルウェアとそれが引き起こす損害に対処しなければならないすべての人々にとって、大きなメリットとなるでしょう。現在でも、ごく基本的なものから高度なものまで、マルウェアの検出には多種多彩なテクニックが使われていますが、マルウェアを完全には特徴付けていないという点で、その大半は不十分です。
その多くは手動で分解と解析を行うか、または実環境または仮想マシン（VM）環境でサンプルを実行したうえで、システムに生じる変化を記録しマルウェアの副作用として報告するかのいずれかの手段に拠っており、そのどちらにも長所と短所があります。手動による解析は時間と手間の掛かる作業であり、人的エラーも発生しがちです。副作用の自動照合は高速で、人的介在もほとんど不要、あるいはまったく不要ですが、残念なことに有用な情報が欠けていたり不完全だったりすることも少なくありません。要するに、マルウェアの自動解析は解決の難しい問題だということです。自動解析で期待どおりの結果が得られない理由は、以下の要因にまとめられます。
これらの要因がすべて絡み合って、マルウェア自動解析機能が制限されます。
そのような状況を受けて、セキュリティ研究者であるジョシュア・サックス（Joshua Saxe）氏が Black Hat で発表するのが、オープンソースとクラウドトレーニングを利用してマルウェアファイルの機能を識別できるマシンラーニングツールです。このツールは、特定のネットワークプロトコルを利用する機能やデータを盗み出す機能など、マルウェアの機能のリストを生成できるとされています。検出された機能について、適切な場合に確率スコアを示すという機能は注目に値します。断定できないマルウェアや見かけで特定できないマルウェアでも、スコアがあれば機能の有無を予測できるからです。このツールを作成するプロジェクトは、DARPA の Cyber Fast Track プログラムから資金提供を受けており、使われているアルゴリズムについても今回のプレゼンテーションで詳しく紹介される予定です。興味深いプレゼンテーションになることは間違いないでしょう（訳注: Black Hat カンファレンスでの発表はすでに終了しています）。
ちなみに、シマンテックセキュリティレスポンスでも、マルウェアサンプルを収集してその情報と機能を照合する多くの自動システムが運用されています。これらのシステムは、マルウェアサンプルの統計とランタイム解析を実行し、その副作用を記録できます。この情報をシマンテックの他のデータや遠隔測定ソースと組み合わせて、独自のマルウェアレポートサービスを通じてお客様に提供しているので、お客様がマルウェア攻撃を予防し、マルウェアの被害から回復する際に有益な情報となっています。
* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。