Tag Archives: security

Tomcat ??????????

      No Comments on Tomcat ??????????

シマンテックは、Apache Tomcat を実行しているサーバーを標的にする、新しいバックドア型のワームを確認しました。この脅威は、毎日のように発見される通常のワームとは若干毛色が異なります。

バックドア型のワームやトロイの木馬を使うと、攻撃者は侵入先のコンピュータ上でさまざまなコマンドを実行でき、実質的にコンピュータをリモートで制御できるようになります。つまり、ユーザーから重要な情報を盗み出すことも、そのコンピュータを利用して他のユーザーを攻撃することも可能だということです。

このタイプの攻撃は、デスクトップやラップトップなどの PC だけを標的にしていると思われがちですが、残念ながらそうではなく、サーバーも攻撃対象になります。サーバーは高性能なコンピュータであり、24 時間 365 日稼働しているため、むしろ標的としてはかなり貴重です。PHP.Backdoor.Trojan のように、PHP で記述されているバックドア型のトロイの木馬が一般的ですが、今回シマンテックが検出したバックドア型のワームは、Java サーブレットのように動作します。シマンテックは、これを Java.Tomdep と命名しました。
 

Tomdep 1.png

図 1. Java.Tomdep の拡散方法
 

この Java サーブレットは Apache Tomcat 上で実行されますが、Web ページは作成しません。代わりに IRC ボットのように機能し、IRC サーバーに接続して、攻撃者から送信されてきたコマンドを実行します。感染した Tomcat サーバーから Web ページにアクセスしたエンドユーザーは、この脅威の影響を受けません。感染したコンピュータは、ダウンロードやアップロード、新規プロセスの作成、SOCKS プロキシ、UDP フラッド、自身の更新といった標準的なコマンドだけでなく、他の Tomcat サーバーをスキャンして検索し、そこにマルウェアを送信することもできます。このことから、攻撃者の目的は、侵入先のサーバーから DDoS 攻撃を行うことにあるのかもしれません。

Java.Tomdep は、他の Tomcat サーバーを見つけると、以下のように弱いユーザー名とパスワードの組み合わせを使ってログインを試みます。
 

Tomdep 2 edit.png

図 2. Java.Tomdep がログインを試みるときに使うユーザー名とパスワード
 

次に、見つかった Tomcat サーバーに自身を配備します。
 

Tomdep 3 edit.png

図 3. 見つかった Tomcat サーバーに Java.Tomdep が自身を配備
 

攻撃者のコマンド & コントロール(C&C)サーバーは、台湾とルクセンブルクに置かれていることが判明しています。シマンテック製品をお使いのお客様からの感染報告は、限られた国や地域からのみ寄せられています。
 

Tomdep 4 edit.png

図 4. 感染報告のあった国や地域
 

これまでのところ、この脅威の被害を受けているコンピュータの数は多くありません。しかし、サーバーには PC と同じようなウイルス製品がインストールされていない場合もあるため、それが低い検出率の原因ではないことを祈るばかりです。

この脅威に感染しないように、サーバーとウイルス対策製品にはすべてのパッチを適用して、最新の状態に保つようにしてください。また、強力なパスワードを使うこと、そして管理ポートを一般アクセス用に開放しないことをお勧めします。

シマンテック製品は、今回の脅威を Java.Tomdep および Java.Tomdep!gen1 として検出します。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

?? 30 ????????????? DHA ???????????

      No Comments on ?? 30 ????????????? DHA ???????????

台風 30 号(ハイエン)による最大の被災地となっているタクロバンが現在、スパマーによる大規模なディレクトリハーベスト攻撃(DHA)の標的となっています。

DHA 攻撃は、標的となった電子メールサーバーに関連する電子メールディレクトリや電子メールの有効性を確認するために仕掛けられます。その目的は、情報を収集してデータベースを整備したうえで、特定のサイトに対する大規模なスパム攻撃の基盤を準備することです。拒否された電子メールは送信されずに配信不能レポート(NDR)が返ってくるため、それ以外が有効なアドレスであると特定され、たちまち大量のスパムやフィッシング、マルウェアの添付された電子メールによる攻撃の標的となります。

この攻撃を仕掛けているスパムは、大手インターネットサイトやサービスプロバイダから著名な報道機関や通信社を装って送られていますが、その意図は、有効な電子メールアドレスを収集することにあります。

電子メールの作りはごく単純です。件名と本文の内容は、有名ニュースサイトで 2013 年 11 月 14 日前後に公開されたニュース記事からの引用です。差出人と件名には、スパムフィルタによる検出を避けるために末尾にランダムな数字が追加されています。

件名: Typhoon: After battle to survive, the struggle to live 26488(台風災害: 生き残った人々の被災生活続く 26488)
差出人: “Typhoon: After battle to survive, the struggle to live 26488″(「台風: 台風災害: 生き残った人々の被災生活続く 26488」)<電子メールアドレス>

Figure1_4.png

図 1. DHA 攻撃によって送信された、台風 30 号に関するスパムメール

ディレクトリハーベスト攻撃認識機能を設定して Web サイト環境を保護し、攻撃を撃退するためにスパムフィルタのアルゴリズムを更新するようにしてください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Fake AV Software Updates Are Distributing Malware

Contributor: Joseph Graziano
A new clever way of social engineering spam is going around today that is attempts to trick users into running malware on their computers. The methods malware authors are using include pretending to be from various antivir…

All Your Tomcat Are Belong to Bad Guys?

      No Comments on All Your Tomcat Are Belong to Bad Guys?

Symantec has discovered a new back door worm-type threat which targets servers running Apache Tomcat. This threat is a little different from the ones we usually encounter every day.
Back door type Trojan horses and worms let attackers execute various c…

Knowledge is Power – Website Vulnerabilities

      No Comments on Knowledge is Power – Website Vulnerabilities

This blog post is based on the ‘Knowledge is Power: Symantec Guide to Protecting your Website’ whitepaper which is free to download now.In 2012 Symantec performed more than 1,400 website vulnerability scans each day. More than half the webs…

????????????????????????????????

      No Comments on ????????????????????????????????

寄稿: Avdhoot Patil

インターネットは、至るところにセキュリティ上の脅威が潜む危険な場所でもありますが、脅威が複合するとその危険性はさらに高くなります。最近のフィッシングはサイバー犯罪において重要な役割を担っており、フィッシング詐欺師も最近、他のセキュリティ上の脅威に対して関心を強めています。今年は、たとえばマルウェアやスパムといった脅威とフィッシングとの融合が確認されています。先日、偽アプリでマルウェアが使われていたのも、その一例です。

今月に入ってからも再び、Facebook に偽装したフィッシングサイトでマルウェアが使われました。このフィッシングサイトは、Android と iPhone のユーザーを誘導して偽アプリをインストールさせようとします。サイトのホストサーバーはフランスのパリに置かれ、ページはフランス語で書かれていました。

フィッシングサイトにはエサが付きものですが、毎度お決まりのエサでユーザーが見慣れてしまわないように、フィッシング詐欺師は次々と新たな手口を考え出してきます。今回のエサは、パスワードを入力せずに iPhone や Android から Facebook にログインできると謳う偽アプリの広告です。

figure1_0.png

図 1. 偽の Facebook アプリを宣伝するフィッシングサイト

広告の売り文句によれば、このアプリは 24 時間だけ無料で試用できます。広告の下にあるボタンは、翻訳すると「続行」という意味で、このボタンをクリックすると手順の書かれたページに移動します。

figure2_0.png

図 2. 偽アプリを利用するための手順説明

手順は以下のとおりです。

  1. ユーザーは、フォームに個人情報を入力する必要があります。
  2. iPhone アプリまたは Android アプリを選択し、アプリをダウンロードします。
  3. アプリを試用できるのは、初回のインストール時だけです。
  4. 試用期間の 24 時間が過ぎると、アプリは自動的にロックされます。
  5. 試用期間が過ぎると、支払いオプションを記載した電子メールが届きます。ユーザーは、アプリを使い続けることも、アンインストールすることもできます。

figure3_0.png

図 3. 個人情報の入力フォーム

この手順を読んで続行ボタンをクリックするとフィッシングページにリダイレクトされ、名前、電子メールアドレス、パスワードの入力を求められます。フィッシングサイトの説明によれば、このアプリをインストールすることで、ユーザーはこのアプリの使用を法的に同意したことになります。

このフィッシングサイトでは、個人情報を求める理由が以下のように説明されています。

  1. 24 時間の試用期間が経過してから、アクティブ化コードを受け取るために電子メールアドレスが必要です。
  2. iPhone または Android アプリにアクセスする際にはパスワードが必要です。

figure4_0.png

図 4. モバイルアプリのインストーラに偽装した悪質なダウンロード

フィッシングサイトで次のページに進むと、アプリのダウンロードリンクとして Android と iPhone のロゴが表示されます。これらのリンクをクリックすると、iphone.zip.exe または android.phone.exe というファイルのダウンロードを確認するメッセージが表示されます。実際には、これは Android アプリでも iPhone アプリでもなく、Windows 用のマルウェアです(シマンテックはこれを Backdoor.Breut として検出します)。Android や iPhone のロゴを使っているのは、インストールを誘うためにすぎません。

今回のマルウェアを解析した結果、以下のような事実を確認しました。

  1. このマルウェアは Darkcomet RAT と同一である。
  2. ネットワーク接続の機能はない。
  3. コマンド & コントロール(C&C)サーバーは 127.0.0.1:1604(ローカルループバックアドレス)と設定されている。
  4. このマルウェアは外部サーバーには接続しない。

この手口に乗ってログイン情報を入力したユーザーは、個人情報を盗まれ、なりすまし犯罪に使われてしまいます。

インターネットを利用する場合は、フィッシング攻撃を防ぐためにできる限りの対策を講じることを推奨します。

  • アカウントにログインするときに、アドレスバーの URL を確かめ、間違いなく目的の Web サイトのアドレスであることを確認する。
  • 電子メールメッセージの中の疑わしいリンクはクリックしない。
  • 電子メールに返信するときに個人情報を記述しない。
  • ポップアップページやポップアップウィンドウに個人情報を入力しない。
  • 個人情報や口座情報を入力する際には、鍵マーク(画像やアイコン)、「https」の文字、緑色のアドレスバーなどが使われていることを確かめ、その Web サイトが SSL で暗号化されていることを確認する。
  • ノートン インターネットセキュリティやノートン 360 など、フィッシング詐欺やソーシャルネットワーク詐欺から保護する統合セキュリティソフトウェアを使う。
  • 電子メールで送られてきたリンクや、ソーシャルネットワークに掲載されているリンクがどんなに魅力的でも不用意にクリックしない。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Typoon Haiyan: Spammers Strike with DHA Attack

      No Comments on Typoon Haiyan: Spammers Strike with DHA Attack

Tacloban, the new ground zero created by Haiyan, is the raison d’être for a large Directory Harvest Attack (DHA) launched by spammers today.

A DHA attack is launched to check the validity of an email directory or emails related to a targeted email server. The aim of this is to collect intelligence and prepare a platform to launch a large spam campaign on that particular site once a database is put in place. Rejected emails return as bounce or Non-Delivery Report/Receipt (NDR) and the rest is concluded as legit, while valid emails will soon be bombarded with a host of spam, phish and malware laden email attacks.

The attack is launched, with the spammer claiming to be from a reputed mass media and communications company on a very large internet site and service provider, for the sole purpose of harvesting and validating email addresses.

The email’s structure is very simple. The headers and body content of the said attack are taken from a news article of a reputed news channel that was published around 14 November 2013. The alias in the form line and the subject line contain randomization at the end to prevent being caught by the spam filter detection.

Subject: Typhoon: After battle to survive, the struggle to live 26488
From: “Typhoon: After battle to survive, the struggle to live 26488″<email address>

Figure1_4.png

Figure 1. A spam email about Typhoon Haiyan from a DHA attack

Symantec advises users to configure directory harvest attack recognition to protect their website environment, and to update their spam filter algorithms to repel such attacks.

2014 Predictions from Symantec

      No Comments on 2014 Predictions from Symantec

Whispers.

The secret to predicting the future is to listen for the whisper.

By the time you’ve heard things in a loud, clear voice they have already come true. I’ve been listening to the whispers in 2013 and have a pretty good idea for what we’ll be hearing loud and clear in 2014. Below are my predictions of the top things we’ll hear and what they will mean for us in 2014.

  • People will finally begin taking active steps to keep their information private.
  • Scammers, data collectors and cybercriminals will not ignore any social network, no matter how “niche” or obscure.
  • The “Internet of Things” becomes the “Internet of Vulnerabilities.”
  • Mobile apps will prove that you can like yourself too much.

“Wait a minute…The Internet knows more about me than my own mother?”

People will finally begin taking active steps to keep their information private.

Privacy issues have littered the headlines in 2013, delivering a wake-up call to people and businesses about the amount of personal information we share and that is collected every day by everyone from your doctor to your social network. You can expect to see privacy protection as a feature in new and existing products. Then, beyond 2014, we’ll be arguing on whether or not these features actually provide any privacy protection. Expect Tor, which enables online anonymity, to become a popular application across the spectrum of Internet users. You’ll also see a resurgence of users adopting aliases and fake names on social networking sites to protect their privacy. And you know who is going to lead the way on this? Teens. They do care about privacy—and not just where their parents are concerned. Given this, more people will move to new, upstart and niche social networking sites, in an attempt to hang with their friends in obscurity. Which leads to my next prediction…

 “Adult supervision is not wanted but adult behavior may keep you out of trouble.” 

Scammers, data collectors and cybercriminals will not ignore any social network, no matter how “niche” or obscure.

It’s tempting to believe that you can move to a new neighborhood and all your old problems will go away. They don’t in real life and they won’t when it comes to social networking. Any new social network that attracts users will also attract scammers and miscreants. Users who feel it’s just them and their friends on these new sites are in for a big (and unpleasant) surprise. Your mother won’t be there to remind you, so let me: If something sounds too good to be true, it almost certainly is a scam. Protect yourself by using security best practices no matter where you are on the Internet, or how you connect to it. And speaking of connecting…

“Your toaster is not infected, but your security camera just robbed you blind.

The “Internet of Things” becomes the “Internet of Vulnerabilities.”

You can expect dumb things will get smarter in 2014. With millions of devices connected to the Internet—and in many cases running an embedded operating system—in 2014, they will become a magnet for hackers. Security researchers have already demonstrated attacks against smart televisions, medical equipment and security cameras. Already we’ve seen baby monitors attacked and traffic was shut down on a major tunnel in Israel, reportedly due to hackers accessing computer systems via a security camera system. Major software vendors have figured out how to notify customers and get patches for vulnerabilities to them. The companies building gadgets that connect to the Internet don’t even realize they have an oncoming security problem. These systems are not only vulnerable to an attack – they also lack notification methods for consumers and businesses when vulnerabilities are discovered. Even worse, they don’t have a friendly end-user method to patch these new vulnerabilities. Given this, we are going to see new threats in ways in which we’ve never seen before.

“I like you, I like you, I like you… That will be $20 and your login and password, please.”

Mobile apps will prove that you can like yourself too much.

People (generally) trust those they sleep with, so it should not be surprising that with 48 percent of people sleeping with their smart phones, they are lulled into a (false) sense of security about them. In 2013, we reported on a mobile app that would secure additional “likes for your postings on Instagram. All you had to do was hand over your login and password to some guy in Russia. More than 100,000 people saw nothing wrong with that. We trust our mobile devices and the wonderful apps that run on them to make our lives better. We suspend disbelief for that device that sits in our pocket, purse or nightstand. The bad guys are going to take advantage of this big time in 2014. I’m not even talking about malware – mobile apps are going to be behind hoaxes, cons and scams of all sorts in 2014.  

So, there you have them, my predictions for 2014. Of course, the best part of trying to predict the future is being surprised by the unforeseen and the unimaginable. I’ll be right on some of my predictions. I’ll be proved wrong on others. What’s certain is that I’ll be listening for all the new whispers to see what 2015 will bring.

predictions-infographic-FINAL.jpg

Cryptolocker ??????: ???????????????????

      No Comments on Cryptolocker ??????: ???????????????????

英国の国家犯罪対策庁(NCA)は先週、大量スパム攻撃によってきわめて多くのユーザーが Cryptolocker マルウェアの標的になっていると警告しました。

この警告によると、英国内で数百万人ものユーザーが悪質な電子メールを受け取っており、その主な標的は中小規模の企業のようです。

Trojan.Cryptolocker については最近のブログでも取り上げており、ランサムウェアに類する脅威の活発な進化の状況を報告しました。Cryptolocker は、侵入先のコンピュータ上のファイルを暗号化し、復号鍵を取引材料として身代金を要求する手口で増加しています。シマンテックは、『インターネットセキュリティ脅威レポート』の最新号で、このようなランサムウェアの急増を予測していました。
 

image1-b.png

図 1. Cryptolocker に誘導されるスパムメールの例
 

このスパム攻撃では、被害者を狙うさまざまなワナが使われています。たとえば、覚えのない番号から発信された音声メッセージや、未払いの請求書などに偽装した電子メールが確認されています。
 

image2_9.png

図 2. Cryptolocker に誘導されるスパムメッセージの別の例
 

悪質な添付ファイル自体はダウンローダであり、それを使って Trojan.Zbot など他の脅威が取得されます。それが最終的に Cryptolocker の感染を引き起こして身代金を要求します。
 

image3_9.png

図 3. 復号鍵に必要な支払いの要求画面
 

NCA の警告によると、2 枚の Bitcoin(2013 年 11 月 18 日時点で 653 ポンドに相当)を要求する Cryptolocker のサンプルが確認されています。シマンテックが解析したサンプルの中には、Bitcoin を 1 枚だけ要求するものもありました。

シマンテックの Email Security.cloud をお使いのお客様は、組み込みの Skeptic™ テクノロジにより、このスパム攻撃から保護されています。また、シマンテックはこれらのサンプルに対して以下のセキュリティシグネチャを用意しています。

検出名 検出定義のタイプ
Downloader ウイルス対策シグネチャ
Trojan.Zbot ウイルス対策シグネチャ
Trojan.Cryptolocker ウイルス対策シグネチャ
Trojan.Cryptolocker!g2 ヒューリスティック検出
Trojan.Cryptolocker!g3 ヒューリスティック検出
System Infected: Trojan.Cryptolocker 侵入防止シグネチャ

シマンテックでは、今後も Cryptolocker マルウェアの最新版に対して保護対策の提供を続けていきますが、お客様の側でも、万一 Cryptolocker に感染した場合に予想される損害を最小限に抑えるための対策として、ファイルを定期的にバックアップすることを強くお勧めします。組み込みツールを使ってファイルを復元する方法については、「Recovering Ransomlocked Files Using Built-In Windows Tools(ランサムウェアでロックされたファイルを Windows の組み込みツールで復元する)」(英語)と題したサポート記事を参照してください。

 

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/ja にアクセスしてください。

Smart Phone Users Face Amalgamation of Phishing and Malware

Contributor: Avdhoot Patil
The internet can be a dangerous place with security threats lurking from every direction, and it gets worse when threats meld together. Phishing today is a major part of cybercrime and phishers have recently gained interest i…