US-CERTが北朝鮮HIDDEN COBRAのマルウェア”Volgmer”に関する注意喚起(TA17-318B)を発表。(後編)
※この記事は、昨日(2017/11/15)書いたTA17-318Aの内容の”後編”として、TA17-318Bの内容をまとめていきます。
関連: US-CERTが北朝鮮HIDDEN COBRAのマルウェア”Volgmer”に関する注意喚起(TA17-318A)を発表。(前編)
TA17-318Bの概要
TA17-318Bは、HIDDEN COBRAが使用したマルウェア・「Volgmer」に関するIOC、関連IPアドレス、マルウェアの説明、シグネチャに関する記述がされている。
また、TA17-318Bには、Volgmerへの対策方法や、インシデントのレポート方法も記述してある。
もし万が一、Volgmerの被害に遭った場合、直ちにDHSかFBI Cyber Watch(CyWatch)に報告してほしい旨が書かれている。
TA17-318Aの概要欄には、IOC、並びにマルウェア分析レポート(MAR)に関する文書が記載されているので、興味のある人は参照するといいだろう。
直リンクを貼るのはセキュリティ的に問題があるので、ダウンロードリンクのある場所を、実際のページのスクリーンショット画像として示しておく。
(TA17-318Bの”Overview”配下にIOCのリンクがある。)
Volgmerについての説明
調査によれば、HIDDEN COBRAはVolgmerを2013年から使用していたとされる。
Volgmerのターゲットは、主に以下の業界。
- 政府機関
- 金融機関
- 自動車
- マスメディア
Volgmerは、backdoor Trojan(バックドアとしてターゲット端末に潜伏するトロイの木馬)で、攻撃者とターゲット端末間で通信を行う為に潜伏する。
HIDDEN COBRAは、主に標的型メール攻撃を使ってVolgmerを拡散するようだ。
ただ、HIDDEN COBRAは、ターゲットをエクスプロイトするために必要な様々ななツールを使用する事が確認されている。
その為、Volgmerをターゲット端末に潜伏させる為に、標的型メール以外の攻撃手法を使用する可能性もある。
言い換えると、Volgmerに感染した端末には、Volgmer以外のマルウェアが潜伏しているケースもある事になる。
アメリカ政府の調査によれば、Volgmerには静的・動的IPアドレスの2種類が設定されているようだ。
静的IPアドレスに関して言えば、最低でも94の静的IPアドレスが指定されている。
動的IPアドレスは、様々な国のドメインサービスから取得されており、主に以下の国々に集中しているという。
- インド…25.40%
- イラン…12.30%
- パキスタン…11.30%
- サウジアラビア…6%
- 台湾…5.60%
- タイ…4.60%
- スリランカ…4%
- 中国(香港含む)…2.70%
- ベトナム…2.60%
- インドネシア…2.20%
- ロシア…2.20%
- その他…21.10%
以上のリストだけではイメージが掴みにくいので、以下に円グラフを掲載しておく。
Technical Details
Volgmerの持つ機能について
Volgmerは、backdoor Trojan(バックドア・トロイの木馬)として以下の機能を持つ。
ペイロード
Volgmerのペイロードは、32bitの*.exeファイルか、*.dllファイルと言われている。
Volgmerは、TCPポート8080番か8088番を使って、カスタムされたバイナリ転送プロトコルでC&Cサーバーとの通信を行う。
尚、通信はSSLで暗号化されているようだ。
検知とレスポンス
TA17-318Bに記載されているIOCには、HIDDEN COBRAを検知する為に必要な情報を記載している。
DHSとFBIは、ネットワーク管理者は、IOCを参照し、そこに記載されているIPアドレスが自身の管理するIPアドレスに該当するかどうかチェックすることをお薦めしている。
ネットワークシグネチャとHost-Basedルール
TA17-318Bには、ネットワークシグネチャも記載されている。
ネットワークシグネチャを使うにあたって、誤検知アラート(False Positive)が上がる可能性は拭いきれないので、「あくまで参考として使用してもらいたい」と述べている。
ネットワークシグネチャ
※最大限注意を払ってコピペして掲載しているが、誤記入している可能性もあるので、念のためシグネチャは元ページから参照頂きたい。
以下は参考としてコピペしたものを掲載しておく。
alert tcp any any -> any any (msg:"Malformed_UA"; content:"User-Agent: Mozillar/"; depth:500; sid:99999999;)
YARA Rule
rule volgmer
{
meta:
description = "Malformed User Agent"
strings:
$s = "Mozillar/"
condition:
(uint16(0) == 0x5A4D and uint16(uint32(0x3c)) == 0x4550) and $s
}
Volgmerによる感染の影響
Volgmerがネットワークに侵入できた場合、機密情報漏洩など、深刻な影響を及ぼす可能性がある。
- 一時的、又は永続的な重要/機密情報の喪失
- 通常オペレーションの妨害
- 損なわれたシステムやファイル復元に関する金銭的損失
- 被害にあった組織の社会的信用の損失
対策方法
- アプリケーションのホワイトリストを設定し、組織で認証されていないアプリケーションによって通信が行われるのを防ぐ
- OSとソフトウェアを最新の状態にアップデートする
- アンチウイルスソフトと定義データベースを最新の状態にアップデートする
- 組織内のユーザーのアクセスコントロールを行い、アプリケーションのインストール制限を行う。
- Eメールに添付されていた文書のマクロの実行を制限する
- Eメールに書かれている行き先不明のリンクを踏まない
Volgmerによる感染被害を確認した場合
直ちにDHSかFBIオフィスに連絡する事。
- DHS NCCIC(NCCICCustomerService[at]hq.dhs.gov)又は+1-888-282-0870
- FBI’s Cyber Division(CyWatch[at]fbi.gov)又は+1-855-292-3937
Reference
合わせて読みたい: US-CERTが北朝鮮HIDDEN COBRAのマルウェア”Volgmer”に関する注意喚起(TA17-318A)を発表。(前編)
US-CERTが北朝鮮HIDDEN COBRAのマルウェア”FALLCHILL”に関する注意喚起(TA17-318A)を発表。(前編)
US-CERTは、現地時間11月14日、北朝鮮のサイバー犯罪集団に関する注意喚起を発表。
US-CERTとは、United States Computer Emergency Readinessの略で、米コンピューター緊急対策チームという意味だ。
発表された注意喚起は、以下の2つ。
これら声明は、米国土安全保障省（DHS）と米連邦捜査局（FBI）が協力してアメリカ政府と行なってきた調査データを元に作成される。
”HIDDEN COBRA”に続く注意喚起
実は、今年の夏にもUS-CERTは、北朝鮮のサイバー犯罪集団の活動に「HIDDEN COBRA」と称して注意喚起(TA17-164A)を発表していたようだ。
北朝鮮のサイバー犯罪集団は、「Lazarus Group(ラザルスグループ)」という名前があるのだが、HIDDEN COBRAと同義である。
言い換えると、アメリカ政府が「Lazarus Group」がサイバー空間における隠密行動に対して、コブラ(毒蛇)が獲物をコソコソ狙う様子に喩えて、HIDDEN COBRAと呼んでいる。
簡単に言えば、ニックネームのようなものだ。
これまでHIDDEN COBRAは、アメリカだけでなく、世界各国に対してサイバー攻撃を仕掛けてきた。
主にターゲットとされたのは、メディア、宇宙・航空、金融業界や、発電所等の社会インフラに関するシステムだったようだ。
HIDDEN COBRAに関しては、江添佳代子さんの以下の記事にわかりやすく説明されているので参照して頂きたい。
関連記事(外部サイト)
2種類の注意喚起を発表
さて、冒頭にも書いたとおり、US-CERTはTA17-318AとTA17-318Bの2種類の注意喚起を発表した。
それぞれ以下のように、北朝鮮のサイバー犯罪集団が使用したマルウェアについて詳細に記載されている。
- TA17-318A: FALLCHILLに関する説明
- TA17-318B: Volgmerに関する説明
そこで今回の記事では、”前編”として、「TA17-318A」で報告されている内容に関して説明することにする。
（TA17-318Bに関しては、明日の記事に”後編”としてまとめる。）
TA17-318Aの概要
TA17-318Aは、HIDDEN COBRAが使用したマルウェア・「FALLCHILL」に関するIOC、関連IPアドレス、マルウェアの説明、シグネチャに関する記述がされている。
また、TA17-318Aには、FALLCHILLへの対策方法や、インシデントのレポート方法も記述してある。
もし万が一、FALLCHILLの被害に遭った場合、直ちにDHSかFBI Cyber Watch(CyWatch)に報告してほしい旨が書かれている。
TA17-318Aの概要欄には、IOC、並びにマルウェア分析レポート(MAR)に関する文書が記載されているので、興味のある人は参照するといいだろう。
直リンクを貼るのはセキュリティ的に問題があるので、ダウンロードリンクのある場所を、実際のページのスクリーンショット画像として示しておく。
(TA17-318Aの”Overview”配下にIOCのリンクがある。)
FALLCHILLについての説明
調査によれば、Hidde CobraはFALLCHILLを2016年から使用していたとされる。
FALLCHILLのターゲットは、主に以下の業界。
- 航空宇宙
- テレコミュニケーション
- 金融業界
FALLCHILは、RAT(Remote Access Trojan)で、攻撃者はC&Cサーバーからターゲット端末に潜伏させたFALLCHILLに対してコマンド命令を送信できる。
HIDDEN COBRAは、Dropper(詳細は不明)を使ったり、細工の施されたサイトをターゲットに訪問させる等して、FALLCHILLを端末に感染させるようだ。
以上の事から、ターゲット端末にはFALLCHILLの他にもHIDDEN COBRAによって作成されたマルウェアが潜伏している可能性があるという。
Technical Details
間には2層からなるProxyマルウェア
HIDDEN COBRAは、FALLCHILLに対してコマンドを送る際、2段階のProxyマルウェアを噛ませている。
US-CERTに以下の画像が掲載されている。
(HIDDEN COBRAのコミュニケーション・フロー。TA17-318Aのページから引用。)
攻撃者とターゲットの間に2段階のProxyマルウェアを噛ませているのは「ターゲット端末から送信される通信の送信元を特定しづらくする目的」である事が予想される。
通信をフェイクTLS暗号処理
また、FALLCHILLは、偽の証明書を用意し、RC4形式で暗号化したTLS通信行っているようだ。
RC4暗号化に使用されているキーは、以下。
・[0d 06 09 2a 86 48 86 f7 0d 01 01 01 05 00 03 82]
ちなみに、RC4暗号方式に関する脆弱性は報告されており、既にTLSプロトコル全てのバージョンで使用禁止されている。
参考: Transport Layer Security(Wikipedia)
FALLCHILLの収集する情報
FALLCHILLは、ターゲット端末に関する以下の情報を収集、C&Cサーバーに送信する。
FALLCHILLに実装された機能
FALLCHILLには、以下のような機能が実装されている。
- 感染端末にマウントされた全てのディスク情報(ディスクの種類、空き容量等)の取得
- プロセス・スレッドの作成、開始、終了
- ファイルの検索、読み込み(read)、書き込み(write)、移動(move)、実行(execution)
- ファイル、又はディレクトリのタイムスタンプの取得
- プロセス、又はファイルのカレントディレクトリの変更
- 感染端末内のマルウェア、及び関連ファイルの削除
検知とレスポンス
TA17-318Aに記載されているIOCには、HIDDEN COBRAを検知する為に必要な情報を記載している。
DHSとFBIは、ネットワーク管理者は、IOCを参照し、そこに記載されているIPアドレスが自身の管理するIPアドレスに該当するかどうかチェックすることをお薦めしている。
ネットワークシグネチャとHost-Basedルール
TA17-318Aには、ネットワークシグネチャも記載されている。
ネットワークシグネチャを使うにあたって、誤検知アラート(False Positive)が上がる可能性は拭いきれないので、「あくまで参考として使用してもらいたい」と述べている。
ネットワークシグネチャ
※最大限注意を払ってコピペして掲載しているが、誤記入している可能性もあるので、念のためシグネチャは元ページから参照頂きたい。
以下は参考としてコピペしたものを掲載しておく。
alert tcp any any -> any any (msg:"Malicious SSL 01 Detected";content:"|17 03 01 00 08|"; pcre:"/\x17\x03\x01\x00\x08.{4}\x04\x88\x4d\x76/"; rev:1; sid:2;)
alert tcp any any -> any any (msg:"Malicious SSL 02 Detected";content:"|17 03 01 00 08|"; pcre:"/\x17\x03\x01\x00\x08.{4}\x06\x88\x4d\x76/"; rev:1; sid:3;)
alert tcp any any -> any any (msg:"Malicious SSL 03 Detected";content:"|17 03 01 00 08|"; pcre:"/\x17\x03\x01\x00\x08.{4}\xb2\x63\x70\x7b/"; rev:1; sid:4;)
alert tcp any any -> any any (msg:"Malicious SSL 04 Detected";content:"|17 03 01 00 08|"; pcre:"/\x17\x03\x01\x00\x08.{4}\xb0\x63\x70\x7b/"; rev:1; sid:5;)
YARA Rule
rule rc4_stack_key_fallchill
{
meta:
description = "rc4_stack_key"
strings:
$stack_key = { 0d 06 09 2a ?? ?? ?? ?? 86 48 86 f7 ?? ?? ?? ?? 0d 01 01 01 ?? ?? ?? ?? 05 00 03 82 41 8b c9 41 8b d1 49 8b 40 08 48 ff c2 88 4c 02 ff ff c1 81 f9 00 01 00 00 7c eb }
condition:
(uint16(0) == 0x5A4D and uint16(uint32(0x3c)) == 0x4550) and $stack_key
}
rule success_fail_codes_fallchill
{
meta:
description = "success_fail_codes"
strings:
$s0 = { 68 7a 34 12 00 }
$s1 = { ba 7a 34 12 00 }
$f0 = { 68 5c 34 12 00 }
$f1 = { ba 5c 34 12 00 }
condition:
(uint16(0) == 0x5A4D and uint16(uint32(0x3c)) == 0x4550) and (($s0 and $f0) or ($s1 and $f1))
}
対策方法
- アプリケーションのホワイトリストを設定し、組織で認証されていないアプリケーションによって通信が行われるのを防ぐ
- OSとソフトウェアを最新の状態にアップデートする
- アンチウイルスソフトと定義データベースを最新の状態にアップデートする
- 組織内のユーザーのアクセスコントロールを行い、アプリケーションのインストール制限を行う。
- Eメールに添付されていた文書のマクロの実行を制限する
- Eメールに書かれている行き先不明のリンクを踏まない
FALLCHILLによる感染被害を確認した場合
直ちにDHSかFBIオフィスに連絡する事。
- DHS NCCIC(NCCICCustomerService[at]hq.dhs.gov)又は+1-888-282-0870
- FBI’s Cyber Division(CyWatch[at]fbi.gov)又は+1-855-292-3937
iPhoneXのFaceID破れたり。3Dプリンタと2D画像で顔認証マスク作成
今年の秋に公開されたAppleのフラッグシップモデル”iPhoneX”に、新たにFaceID(顔認証)が搭載された事は記憶に新しい。
Appleは、iPhoneXの発表時に、他人がiPhoneをアンロックする確率が「5万分の1まで下がった」と豪語している。
ですが、そのFaceIDが、ベトナムのセキュリティ企業Bkavのセキュリティ研究者によって破られたようだ。
3Dプリンタに2D画像を貼り付けたマスクを作成
FaceIDを破るマスクは、以下の様になっているという。
(Bkavセキュリティ研究者によって作成されたマスク)
また、実際にBkavがこのマスクを使ってFaceIDを破る動画が公開されている。
(Bkavのセキュリティ研究者によるデモンストレーション動画)
FaceIDを突破する技術を開発したBkavのセキュリティ研究者は、iPhoneX所有者の顔を忠実に再現したマスクを製作したわけではない。
なぜなら、FaceID技術が公開された時に発表されたとおり、Appleもマスクへの対策はしているからだ。
以下は、FaceIDエンジニアチームが作成してFaceIDのAIに覚えさせたマスクの画像
(iPhoneXローンチイベントのKeynoteプレゼンテーション)
実はBkavの研究者は、「iPhoneXの所有者の顔に似たマスク」ではなく、「FaceIDの認証アルゴリズムを突破するマスク」に注目したようだ。
Bkav研究者は、美容手術でも使用される素材、シリコンだけに頼らずに、他の技術もミックスした。
まず、ターゲットの写真データを元に顔型のマスクを3Dプリンタで成型。
次に、シリコンで作成された鼻をそのマスクに貼り付ける。
最後に、所有者の目と口の2D画像を、3Dモデルに貼り付けた。
たった$150で突破できるFaceID
恐らく、AppleはFaceIDの技術を開発するために膨大な時間とコストを費やしたのではないだろうか。
だがBkavの研究者は、たった$150の費用を使い、僅か1週間でFaceIDを突破したようだ。
$150というと、一般ユーザーからしたら「高い」と思うかもしれないが、企業役員や政府要人等がiPhoneXを所有していたら話は全く別だ。
更に、そのような”ハイステータス”にいる人達は、往々にしてインターネットからイメージデータを入手できる場合が多く、その分狙われるリスクも高まる。
発売前から懸念されていたFaceIDのセキュリティ
実は、iPhoneXの発売前から、FaceIDのセキュリティが心配されていた。
AndroidにはiPhoneXに先駆けて顔認証ロックが搭載されていたのだが、認証登録している持ち主の写真をカメラに向けることでロック解除できたからだ。
iPhoneXの発表から発売されるまで、一ヶ月程ラグがあったわけだが、メディアではiPhoneXのFaceIDについて様々な憶測が伝えられていたのだ。
「便利さ」か「セキュリティ」か
往々にして、「便利さ」を優先すると「セキュリティ」が甘くなってしまう事がある。
だが、Appleが開発したFaceIDは、「便利さ」と「セキュリティ」の両方を追求して得た、Appleなりの最適解だと思う。
AppleもFaceIDについて以下の様に説明している。
触れることよりも自然な動作は何か。見ることです。Face IDはそんな視点から生まれました。パワフルで、安全で、Touch IDよりもさらに便利なこの認証システムなら、すばやく、簡単に、直感的に、ロック解除と支払いができます。
だが、今回ベトナムのセキュリティ企業BkavによってFaceIDを破れる証明がされてしまった。
実はBkavは以前からAppleの認証アルゴリズムについて研究を重ねており、今回のFaceIDを破るマスクの詳細な作成方法を公開していない。
つまり今すぐにFaceIDが第三者によって破られるリスクが高まるわけではない。
また、多くのユーザーに行き渡れば、認証に使っているAIも更に賢くなっていくので、マスクでFaceIDを破る事もできなくなってしまうだろう。
今はまだ、AppleがiPhoneXをリリースしてからまだ数日しか経っていないので、Appleが今後どFaceIDのセキュリティを向上していくか、温かく見守っていきたい。
バンキングトロイ”IcedID”が発見された。Emotetを使って拡散か
IBMのセキュリティ研究チーム、IBM X-Forceによって、新たなトロイの木馬”IcedID”が発見された。
発見された時期
最初にIceIdIDが確認されたのは、2017年9月の事だと言われている。
その後、詳細な調査が行われ、今日(2017/11/12)にIBM X-Forceによって公開された。
ターゲットは英・米の金融企業
IcedIDは、主に金融企業をターゲットにして拡散される。例えば、銀行や、クレジットカード会社、モバイルペイメント、Eコマースサイトなどが標的にされているという。
IcedIDが主にターゲットにしているのは、アメリカ、カナダ、イギリスの3カ国のようだ。
Emotetによるボットネットを使って拡散
IBM X-Forceによれば、Iced IDを拡散しているクラッカー集団は、過去に拡散されたEmotetを利用している。
Emotetとは、過去に、世界中の金融機関を狙って拡散したトロイの木馬であった。
Emotetを操る攻撃者は、感染端末の地理情報やシステム情報を使って、新たなサービスを始めた。
実はEmotetは、「バンキングトロイ」としてではなく、「マルウェア拡散用インフラ」として使用されているというのだ。
つまりIcedIDは、Emotetが所有するボットネットをプラットフォームにして拡散しているという事だ。
新種のバンキングトロイの可能性
IBM X-Forceの調査によると、IcedIDは、これまで確認済みのトロイの木馬で使われていたコードを使用しておらず、新たに作成された可能性が高いようだ。
過去にバンキングトロイとして確認されているZeus、Gozi、Dridex等と同様の機能を既に兼ね備えおり、今後更にIcedIDの機能がアップデートされているとIBM X-Forceは予想する。
リダイレクトとインジェクションの両方可能
IcedIDは以下の2パターンの動作をするようだ。
・ターゲットの金融情報の盗み取り
・ターゲットを攻撃者のサーバーへリダイレクト
まず、IcedIDは、ユーザーのブラウザ上でconfファイルをC&Cサーバーからダウンロードする。
このconfファイルには、エクスプロイト用のコードが記述されており、ターゲットによってエクスプロイト方法を変更する。
例えば、金融機関の場合、コード・インジェクション攻撃のコードを実行して、オンラインバンキングのサイトをエクスプロイトする。
一方、感染端末が金融機関以外の場合は、リダイレクト攻撃を起こして、ターゲットのカード情報や、Webメールアカウント情報を盗み取る。
ちなみに、過去に拡散されたバンキングトロイの内、Dridexというバンキングトロイしか、2種類の動作が実装されているものは確認されていない。
Technical Details
X-Forceのセキュリティ研究者は、IcedIDのサンプルを分析。
IcedIDは、主にWindowsPCHROME上で動作することが確認されている。
尚、anti-virtual machine(VM上での動作が出来ない状態)、anti-research(コード分析が出来ない状態)等の機能は実装されていないようだ。
その代わり、IcedIDには以下の機能制限がされている。
・再起動の必要性
完全にディプロイされるためには、再起動を必要とする。これは、再起動をエミュレートできないサンドボックス環境を避ける為だと推測されている。
・SSLの使用
IcedIDは、C&Cサーバーと通信を行う際に、SSL通信を使って暗号化する。そうすることで、ファイアウォールやIDS/IPSで検知する事が難しくなる。
IBM X-Forceは、以上の機能を鑑みると、「今後、anti-forensic(フォレンジック調査が出来ない又は難しい機能)が実装される可能性が高い」と予測する。
ペイロード・ディプロイメント
IcedIDは、EmotetをDropperとしてディプロイされる。
Emotetに感染した端末が再起動されると、ペイロードがWindowsの%LocalAppData%フォルダに書き出される。
フォルダ名に使用される値は、ターゲット端末のOSからパラメータ値を取り出し、以下のような名称で保存する。
・%LOCALAPPDATA%\[a-z]{9}\[a-z]{9}.exe
例
・C:\Users\User\AppData\Local\ewonliarl\ewonliarl.exe
・HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ewonliarl
以上の例からも分かる通り、IcedIDは、再起動後も問題なく実行される目的で、レジストリキーにRunKeyを作成するようだ。
次に、IcedIDは、RSAキーを使ってAppDataフォルダにシステムを保存する。（この時RSAキーがどのように使用されているかは調査中）
Tempファイルは、以下のファイル規則に従って保存される。
・%TEMP%\[A-F0-9]{8}.tmp
例
・C:\Users\User\AppData\Roaming\Microsoft\Crypto\RSA\S-1-5-21-2137145731-2486784493-1554833299-1000\fdbe618fb7eb861d65554863fc5da9a0_883f9a43-a12c-410f-b47d-bb7275830b53
・C:\Users\User\AppData\Local\Temp\CACCEF19.tmp
ここでディプロイメントのプロセスは終了し、DropperはExplorerのプロセス配下で、感染端末が再起動されるまで実行され続ける。
感染端末が再起動された際には、ペイロードが実行されIcedIDの端末へのインストールが完了する。
この時点でIcedIDは、攻撃者が用意したProxyを使って、感染端末を偽のオンラインバンキングサイトへリダイレクトする。
（※IBM X-Force並びに他のメディアから追加情報が入り次第、当記事に追記していく。）
AVGaterでアンチウイルスソフトをエクスプロイト。トレンドマイクロやカスペルスキーも対象に。
https://bogner.sh/2017/11/avgater-getting-local-admin-by-abusing-the-anti-virus-quarantine/
Florian Bogner氏によって、アンチウイルスソフトを使ったWindowsPCのエクスプロイト方法が明らかにされた。
Bogner氏は、Kapschというオーストラリアにあるセキュリティ企業に勤めるセキュリティ監査人だ。
今回のエクスプロイトには、Bogner氏によってAVGaterという名前が付けられており、以下のイラストと共に拡散されているようだ。
(AVGaterを表す画像。Bogner氏の記事より引用。)
AVGaterの実行ステップ
Bogner氏は、AVGaterの手順理解を助ける為に、以下のYoutube動画を公開している。
https://www.youtube.com/watch?v=U_hqWVicA64&feature=youtu.be
正直、この動画だけ見ても概要がつかみにくいと思うので、以下に手順として示しておく。
- AVGaterのエクスプロイト手順
-
- ユーザーがマルウェアに感染する
- アンチウイルスがマルウェアを検知
- アンチウイルスがマルウェアを隔離
- ローカル環境にいる攻撃者が、感染端末に対して細工したコードを実行。
- このコードは、このコードは、ジャンクション(WindowsのNTFSに関する機能)を使って、隔離されたファイルが元々置かれていた場所からファイルがリレーされるよう設定する。
- 攻撃者は、隔離されたファイルを復元する命令コードを実行する。
- 隔離されたマルウェアは、一旦、元のパスに復元されるが、ジャンクション機能を使ってC:\Windows配下に移動する。
- 感染端末のユーザーがシステムを再起動すると、Windows起動時にマルウェアが実行される。
攻撃者は「ローカル」にいなくてはならない
注意して頂きたいのは、攻撃者が「ターゲットのローカル環境」に存在している事が必要という事。
また、ローカル環境にいる限りは、攻撃者は一般ユーザー権限でエクスプロイトを実行できる。
言い換えると、AVGaterを使ってエクスプロイトする為に管理者権限は必要ないという事になる。
ジャンクションとは何か
ステップ5で使用するジャンクションとは、WindowsのNTFSで使われているシンボリックリンクのようなものを指す。
「ショートカット」等によって使われているリンク機能で、違うディレクトリから他のファイルを参照できるようにする機能だ。
一般ユーザー権限でエクスプロイト可能
本来C:\Windows配下への書き込み権限は管理者ユーザーしか保有していないはずだ。
つまり一般ユーザーがC:\Windows配下にファイル書き込みをしようとすると、エラーメッセージがあがるはずだ。
それがAVGaterの”ミソ”となる部分である。
実は、アンチウイルスの権限を使えば、C:\Windows配下への書き込みが可能になってしまうのだ。
Windows起動時に実行するファイルとは
実は、Windowsのデフォルト設定では、特定のフォルダに保存されているDLLファイルは起動時に実行するようになっている。
C:\Windows配下にあるファイルも、実行対象である。
したがって、今回AVGaterを使ってC:\Windows配下に移動されたマルウェアが、起動時に実行してしまうのだ。
C:\Windows以外にも、C:\Program Filesが指定される事も有り得る。
影響のあるセキュリティソフト
以下に、AVGater対策としてアップデートを提供したセキュリティソフトを挙げておく。
他のセキュリティソフトも、今後対策を行なってアップデートを提供する見込みだ。
AVGaterのエクスプロイト手順
AVGaterの発見者・Bogner氏は既にMalwarebytesとEMSISOFTのエクスプロイト手順を以下の記事で示している。
興味があれば手順に従って、実際にエクスプロイトをしてみてもいいだろう。
Cobraランサムウェアが拡散。Crysisの亜種で、ファイル復元は不可能。
セキュリティ研究者、Michael Gillespie氏(@demonslay335)は、Crysis/Charmaランサムウェアの亜種が、ID-Ransomwareにアップロードされた事を公表。
更にJakub Kroustek氏(@JakubKroustek)が、同サイトにアップロードされたサンプルが、Crysisランサムウェアを元に作成された新種のランサムウェアである事を確認したようだ。
そこでこの記事では、まずCrysisに関して説明をし、今回発見されたCrysisの亜種に関して報告されている事を説明していきたい。
Crysisランサムウェアとは何か？
Crysisランサムウェアは、RSAとAESを使って暗号化する。
暗号化キーの文字列がかなり長いことから、復号化はほぼ不可能とされている。*1
その為、Crysisランサムウェアに感染した端末は、ファイルの復元をする以外にCrysisランサムウェアの感染を解く方法は無いとされているようだ。
(もし、Crysisランサムウェアに関する詳細を知りたい場合は、記事下のReference欄にリンクを貼り付けておくので参照していただきたい。)
Crysisによる被害は123カ国に広がる
ESETの公表によれば、Crysisの検知数が増加したのは、2016年5月末だったという。
123カ国で検知を確認しているが、検知数の60%はなんと10カ国のようだ。注釈3
(国別Crysisの検知数を示すグラフ。ESETより引用。)
Cobraの独特な拡張子変換
Cobraは、一見独特な方法でファイル拡張子を変換する。
・*.id-[id].[email].cobra
例えば、”書類.docx”というファイルの場合は、
・書類.docx.id-BCBEF350.[cranbery@colorendgrace.com].cobra
のようにファイル名が変換されるのだ。
(Cobraが暗号化したファイルの例。Bleeping Computerより引用。)
さらに、Cobraがファイルを暗号化する際、Windows標準のシャドウボリュームを削除する。
削除する際に使うコマンドは、以下になる。
・vssadmin delete shadows /all /quiet
そうすることで、ユーザーはバックアップデータを使って暗号化されたファイルの復元ができなくなってしまう。
Cobraのランサムノート(脅迫文)
Cobraは、2種類のランサムノートを表示する。
1つ目は、info.htaというファイルで、ユーザーが端末にログオンした際に自動的に起動する。
(info.htaの画像。Bleeping Computerより引用。)
別のファイルは、encrypted!!.txtというファイル。
このテキストファイルは、デスクトップに保存される。
2種類のファイルとも、マルウェア作成者のものと思われる
cranbery@colorendgrace.comに連絡するように記載されている。
Cobraの拡散方法
発見されたランサムウェアがどのように拡散するかは不明のようだ。
しかし、元のCrysisはRemote Desktop Serviceを使って拡散されていた事から、Cobraも同様の手段で拡散すると予想される。
IOC
ハッシュ
COBRA SHA256: de6376e23536b3039afe6b0645da4fc180969b1dc3cc038b1c6bd5941d88c4d8
ランサムノート(Files encrypted!!.txt)
All your files have been encrypted,
to decrypt them contact us using the e-mail address:
cranbery@colorendgrace.com
As a proof we can decrypt 3 files for free.
ランサムノート(INFO.hta)
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail cranbery@colorendgrace.com
Write this ID in the title of your message [id]
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 5 files for free decryption. The total size of files must be less than 10Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
https://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Cobraに関わるメールアドレス
cranbery@colorendgrace.com
Reference
https://eset-info.canon-its.jp/malware_info/trend/detail/170323.html
https://www.malwarerid.jp/malware/crysis-ransomware/
*1:ESETの記事より引用。
WikiLeaksが新たなCIA極秘文書”Vault8”をリーク。マルウェア管理ツール”Hive”のソースコードを公開。
WikiLeaksが11月9日木曜日、新たなCIAの極秘文書をリークした。
今回リークされたValut8に含まれるのは、”Hive”という「マルウェアを遠隔から操作する為のツール」のソースコードのようだ。
Vault7が公開された時に、実はWikiLeaksはHiveに関するCIAの極秘文書を公開していたようだ。
だが、これまで何度もCIAの情報をリークしてきたWikiLeaksも、今回の様にツール自体のソースコードを公開するのは初めてのようだ。
ソースコードを公開した目的とは？
一体何故そのようなことをしたのだろうか。
WikiLeaksのページには、以下ののように書いてある。
このように文書を公表することによって、ジャーナリスト、フォレンジック専門家、そして世間の人々がCIAがどのような”極秘任務”を行っているか理解できるだろう。（中略）Hiveは、CIAに勤務するマルウェア管理者にとって非常に重要なツールである。なぜなら非常に洗練されたマルウェアであっても、被害者端末の所有者に気づかれる事なく、外部ネットワークにいるマルウェア管理者と(Hiveのように)通信を行う事が出来なければ意味がないからだ。
証明書を偽装して”カスペルスキー”を装う
ユーザーの端末に感染しても気づかれないために、Hiveはロシアのセキュリティ企業であるカスペルスキーの証明書を偽装していたようだ。
これに対し、カスペルスキーの創始者・Eugen Kaspersky氏は、以下のようにTwitterでコメントをしている。
We've investigated the Vault 8 report and confirm the certificates in our name are fake. Our customers, private keys and services are safe and unaffected
— Eugene Kaspersky (@e_kaspersky) November 9, 2017
↓翻訳版↓
Vault8に報告されている内容に関して調査し、我々(カスペルスキー)を騙る証明書は偽装されたものであると確認した。我々の顧客、秘密鍵、及びその他のサービスは安全で影響はない。ーーカスペルスキー氏
そもそもソースコードを公開して安全なのか？
セキュリティ研究者のJake Williamsは、「Vault7ほ危険性は無いので、公開されたとしてもツールが悪用されてサイバー攻撃の被害が発生する可能性は極めて低い」と分析している。
Williams氏は、かつてNSAでハッカーとして働いた経歴があり、現在はRendition InfoSecという民間企業で働いているとという。
Williams氏は更に、「PandemicやBrutal Kangarooといったツールの方がサイバーセキュリティ分野に大きな影響を与える可能性が高いだろう」としている。
何故かと言うと、Brutal Kangarooは、USBポートに関するゼロデイ脆弱性を暴く可能性がある事が理由のようだ。
以前CIAからリークされたツールがDDoS攻撃に使用されたり、今年に入ってからはWannaCryやPetyaのように悪用されて世界的なサイバー攻撃が発生した。
今回公開されたVault8に含まれているのは、あくまでマルウェアを遠隔から操作するためのツールである。
マイニングスクリプトの猛威。2496件のオンラインストアがコードインジェクション被害に
2496件に及ぶオンラインサイトが、マイニングスクリプトの被害に遭っている事が明らかになった。
このデータはセキュリティ研究者・Willem de Groot氏(@gwillem)が独自の調査を行なって自身のウェブサイトで公表した。
オンラインショッピングサイトの性質を悪用
注入したスクリプトでユーザーPCのリソースを使ってマイニングをするためには、ユーザーが長時間ウェブサイトに滞在していなくてはならない。
その理由は暗号通貨のマイニングには時間がかかり、継続的な計算処理が必要だからだ。
オンラインストアは、商品ページをユーザーがじっくりとウィンドウショッピングする傾向にあるので、時間のかかる暗号通貨マイニングには丁度いいのだ。
被害に遭ったサイトの80%がスキミング被害も
マイニングスクリプトをインジェクト(注入)されたオンラインサイトは、スキミング用のコードも注入されていたようだ。
その数はなんと、80%(de Groot氏調べ)。
80%というと、およそ2000ものサイトがスキミング用のコードを注入されていた計算になる。
この数字は、de Groot氏が行なった調査対象サイトに限った数字なので、サンプル数を増やせばもっと小さくなるかもしれない。
たった2つのアカウントで全体の85%からマイニング報酬を回収
またde Groot氏の調査によれば、2496件のオンラインサイトの85%程が、たった2つのアカウントに対してマイニング報酬を送っているようだ。
全体の85%という事は、およそ2122件分のマイニング報酬が2つの攻撃者(又はグループ)によって回収されていると見て間違いない。
被害に遭ったサイトの信頼失墜は確実
マイニングスクリプト、スキミングの被害に遭っているともなれば、サイトの信頼は失墜する。
ユーザーからしたら、CPUのリソースを90%以上も使われ、電池も消耗されるだけでも敬遠したくなるだろう。
そこに更に、クレジットカードの情報まで盗みとられてしまうとすれば、被害のあったウェブサイトへユーザー登録情報も削除したくなってしまうのではないだろうか。
カスペルスキーでは既に対応済
エンドポイントソフトウェアを提供するカスペルスキーは、既にマイニングスクリプトの対策をしているようだ。
私のPCで被害を受けたttp://shop[dot]subaru[dot]com[dot]au/アクセスした所、カスペルスキーのソフトウェアによってブロックされた。
このようにエンドポイント側でブロックされてしまうと、今後このサイトに訪れたいと思う人は減っていくに違いない。
私個人的にも、マイニングスクリプトを注入されるような脆弱性を抱えたオンラインストアにはカード情報、氏名や住所等の情報は預けたいと思わない。
今後、マイニングスクリプトを無断で実行するウェブサイトは自動で検知し、ブロックしていく流れになっていくと思うので、ウェブサイト運営者はセキュリティパッチの適用をしよう。
また、ユーザーも知らないうちにマイニングスクリプトを実行されている可能性がある。
私のようにカスペルスキーエンドポイントを導入していれば防げるが、その他のエンドポイントを使用しているユーザーは、エンドポイントにマイニングスクリプトをブロックするシグネチャがあるか確認してもらいたい。
Chromeユーザーは、Coinhive(マイニングスクリプトの提供元)のスクリプトをブロックする拡張機能があるので、ダウンロードすることをおすすめする。
Sowbugによる諜報活動は2015年から？主なターゲットは東南アジアと南アメリカ地域
Symantec社が、Sowbugという諜報集団に関する注意を促している。
この記事では、Sowbugについて報告されている事をまとめておく。
Sowbugのターゲット
Sowbugのターゲットは、ASEAN諸国と、南アメリカの外交機関である。
主な国名は、アルゼンチン、ブラジル、エクアドル、ペルー、ブルネイ、マレーシアであると言われている。
それらの国々の外務省など、外交関係を担う政府機関に対して諜報活動を行っている。
Sowbugについて
Sowbugは集団としての能力が非常に高く、複数のターゲットへの同時攻撃が可能であるという。
尚且つ、Sowbugはセキュリティ対処能力が低くなりがちな、勤務時間外を狙って攻撃を仕掛けるようだ。
Sowbugが使うマルウェアは、RAT(Remote Access Trojan)のようだ。
また、主なターゲットが政府機関である事と、組織としての能力が高いことから、Sowbugはどこかの国のサイバー組織か、どこかの国がスポンサーしているサイバー組織である可能性が高いと言える。
Sowbug”初確認”は2015年5月
Sowbugによる攻撃が確認されたのは、実は2015年五月と言われている。
その時にターゲットとなっていたのは、南アメリカに位置する”とある国”の外務省の、環太平洋地域の国に対する外交政策部門だったようだ。
Sowbugのクラッカー達は、ターゲットのサーバーに侵入し、保存されているワードファイルを、RAR形式で圧縮し、攻撃から過去4日分に作成されたデータ全てを盗み出した。
そこから、ターゲットが管理する共有ディレクトリにアクセスし、その国と関係が強い国際組織のリスト等を取得したと言われている。
更に攻撃者は、2つのペイロードをターゲットのサーバー上に落とし、同年9月までの4ヶ月間、バックドアとして仕込ませていたようだ。
この時に仕込むのは、Windows系のサービスや、Adobe PDF Reader等のソフトウェアを装ったマルウェアだと言われている。
2016年9月に新たな被害を確認
2016年9月、Sowbugによる新たな諜報活動の痕跡が確認された。
Sowbugは、”Felismus”という名のバックドアを東南アジア政府機関のコンピュータに仕込んだ。
そしてSowbugは、Program Files\Adobe\commonというディレクトリを作成し、adobecms.exeという実行ファイルをダウンロードした。
この段階は、ハッキングにおける情報収集、いわゆるReconaissanceフェーズだったと専門家は指摘する。
なぜならその後に、更なる情報収集の痕跡が、同機関の別のコンピュータから発見されたからだ。
結局Sowbugが仕込んだFelismusバックドアは、2017年3月まで潜伏していたとSymantec社は報告する。
Sowbugによる諜報活動は、今後も続いていくと思われる。
カナダの企業”Verticalscope”がハッキング被害に
https://krebsonsecurity.com/2017/11/2nd-breach-at-verticalscope-impacts/#more-41365
カナダのWebサービス大手企業”Verticalscope.com”がサイバー攻撃の被害に遭ったようだ。
Verticalscopeは、車、スポーツ、ペット、テクノロジー等、様々な企業に対してWebサイトやフォーラムの作成、Webマーケティングを行う企業だ。
発生日と発見者
11月2日、Hold Securityの創始者Alex Holdenというセキュリティ研究者によって報告された。
Holden氏は、ダークネット上の闇取引サイトでVerticalscope.comや同企業が管理するホストの、管理画面へのアクセス権を持つアカウント情報が販売されている事を発見した。
発見当初、Holden氏は2016年に同企業で発生した情報漏えいによって流出したアカウント情報が再販されていると思ったようだが、どうやら再度、情報漏えい
が発生していたようだ。
流出したユーザーアカウントの数は、2016年に発生した情報漏えいでは4500万件に対し、今回の情報漏えいでは270万件であると報告されている。前回と比較して小さい規模である事は確かだが、それでも相当数のアカウント情報が流出している。
情報漏えいの原因は”Web Shell"
”Verticalscope.com”からアカウント情報が漏洩した今回のインシデントはなんだったのか。
Holden氏はダークネットでアカウント情報を販売している”侵入者”と連絡を取り、どのように入手したかを示すスクリーンショットを侵入者から受け取った。
どうやらスクリーンショット上では肝心な箇所に”ぼかし”がかかっており、詳細は知り得なかったと報告する。
だが、スクリーンショット画像で伏せられていなかった部分に”Web Shell”を思わせる記載がされていた事を指摘している。
Web Shellとは何か
トレンドマイクロのブログによればWeb Shellとはバックドアである。
WebShell とは、バックドアの一つで、攻撃者が潜入に成功した Webサーバに自由に出入りできるようにする、すなわち「アクセス権の獲得」や「アクセス権の維持」をするために設置するものです。ーートレンドマイクロ
つまり、Web Shellがウェブサイトにインストールされると、攻撃者は遠隔からサイト管理者としてログインし、ファイルのアップロード、削除、ユーザーデータベース情報の窃取をすることが出来るという事だ。
パスワードを使い回すユーザーが”一番の被害者”
このようなユーザーアカウント情報の漏えいで一番被害を被る可能性が高いのは、パスワードを複数のサイトで使いまわしているユーザーである。
A、B、Cの3つのWebサービスで同じパスワードを使用していると、Aで情報漏えい被害が発生するとしよう。
攻撃者は、Aを攻撃して盗み取ったアカウント情報を使って、B、Cのサイトにログインを試みることが多い。
Verticalscope.comは、ディスカッションフォーラムのプラットフォームである。
GmailやFacebookのアカウントのような「個人情報が沢山詰まっているアカウントデータ」と比べると、ディスカッションフォーラム用のアカウントに関する個人情報は少ないと多くのユーザーは考えるだろう。
その事から、「自らのアカウントデータが流出しても、被害は小さい」と考えるのではないだろうか。
しかし、その心理こそがクラッカー達の狙い目である。
パスワードを使いまわさないためには
率直に言えば、パスワード管理アプリを使用する事をおすすめする。
セキュリティ専門家の辻 伸弘氏も、日立ソリューションズの情報セキュリティブログで以下のように語る。
長く複雑なパスワードを暗記しておくのは難しいことです。これは、仕組み、運用で解決するのがよいと僕は思います。大きく二つの方法があり、一つは、手帳や紙にメモしておく方法。もう一つは、パスワード管理ソフトを用いる方法です。ちなみに、僕はパスワード管理ソフトを使っています。ーー辻伸弘氏のインタビューより引用
辻氏は、手帳や紙にメモする事もお薦めしているが、ネット上からクラッカーがオフラインのメモ帳を読むことは不可能である事が理由のようだ。
だが手帳や紙にメモしている場合は、二段階認証を使うことが出来ないのが欠点だと思う。
更に言えば、いつもメモしている手帳の交換時期だったり、出先で持ち歩いていないケースも考えられる。
その時に便利なのが、クラウドベースのパスワード管理ソフトである。
クラウドベースならば、マスターパスワードを覚えて、二段階認証を設定しておけば、後は出先のどこからでもスマホを使ってパスワードのデータベースにアクセスできる。
個人的にお薦めのパスワード管理ソフト
以下に、私がお薦めしてるクラウドベースのパスワード管理ソフトを紹介する。
「サイバー攻撃」と「ガルトゥング平和学」（第一回リサーチ・マンデー 『イントロ』）
サイバー攻撃が政治的な意味合いを持つ事がある。
「サイバー戦争」という風に名付けて、ある国が別の国を意図的にインターネット上で攻撃しているかの如く。
勿論、実際の戦争に喩えると戦地で戦った経験のある兵士からすれば、サイバー戦争に関する危険性や心理的プレッシャーは、比べ物にならないほど低いと思う。
だが、それでも、あくまで比較する事は出来るのではないだろうか。
プロフィールで簡単に述べているが、私はアメリカの大学で一般教養を専攻した。
一般教養とは、ざっくり言うと
「様々な分野を広く学び、ある物事を多角的な視点から見られる様になる教育」
である。
端的に言うと、私は、「関係のなさそうな物事」に対しても、何かしらの共通点を考えるよう教育を受けた。
大学時代に様々な分野の膨大な量の論文を読み、レポートとして書いてきたので、今でも物事を繋げて考える姿勢は持っている。
その事から、私はサイバーセキュリティという分野に関しても、技術的な観点だけでなく、政治、経済、環境といった視点を組み合わせて考えるようにしている。
また私は、一般教養の中でも、特に国際関係学、紛争解決学や平和学に集中して卒業研究を行なった。
大学卒業後はセキュリティエンジニアとして仕事をしており、直接的に大学時代に学んだことは仕事には活きない。
それでも、大学時代に培った多角的に物事を考える姿勢は今でも持つようにしている。
サイバーセキュリティに関するニュースサイトを見ていても、
といった事を考える事が多い。
また、以上の疑問を少しでも明らかにするために、より一層最近はサイバーセキュリティニュースを読む機会が増え、このブログにもまとめている。
いずれは、海外のセキュリティニュースをまとめるだけでなく、私が一次情報発信者としてこのブログを更新していきたいと思っている。
毎週月曜日は時差の関係でセキュリティニュースメディアが更新されない為、私の私見を述べる「リサーチ・マンデー」としたい。
今日はその連載のイントロとして、ここまでにしておく。
来週月曜日は、平和学のセオリーである「消極的平和・積極的平和」「構造的暴力」というコンセプトを使って、サイバー攻撃について考えていきたい。
”GIBON”というランサムウェアを確認。スパムメールで感染拡大
”GIBON”というランサムウェアが確認された。
Proofpointのセキュリティ研究者Matthew Mesaによって名付けられたGIBONは、スパムメールでマクロウイルス付きの文書ファイルとして拡散されているようだ。
Michael Gillespie氏の調査によれば、GIBONによって暗号化されたファイルを復号化することが出来るようだ。
なぜGIBONと呼ばれているのか？
一般的にランサムウェアが発見された際に、発見者によって名前が付けられる事が多い。
その時参考にされるのが、 .exeファイル内で使われている変数名や、他にマルウェア内のコードに使われている特定の文字列である。
GIBONの場合は、「マルウェア内のコードに使われている特定の文字列」を使ってGIBONと名付けられたようだ。
GIBONがC&Cサーバーと通信を行う際に、User-Agent変数にGIBONという文字列を使っている。
(C&Cサーバーと通信している際の画面)
また、他にもランサムウェアの管理画面にGIBONと明記されているのだ。
(GIBONの管理画面)
GIBONが感染端末を暗号化する方法とは
（※現段階で提供されている情報に限りがあるので詳細に説明できないことをお許し下さい。）
GIBONが起動するとまずC&Cサーバーに接続し、感染端末に関する情報を登録する。
この通信を行う際、base64でエンコードされたデータでサーバーにデータを送信する。
データの内容は、タイムスタンプ、Windowsのバージョン、攻撃者の管理する被害者データベース用のIDである。
尚、データ内に”被害者データベース用のID”が存在するという事は、その端末が初めてGIBONに感染した事を意味する。
その後、C&Cサーバーはレスポンスを感染端末に出す。
このレスポンスには、base64でエンコードされたStringが含まれている。このStringは、GIBONがランサムノート(脅迫文)として使用する文字列が含まれている。
このように、ランサムノートがC&Cサーバーから送信されるようにする事で、攻撃者はランサムノートをアップデートすることが出来るようになる。
言い換えれば、新しい.exeファイルに脅迫文をハードコードしてコンパイルするよりも簡単に別の脅迫文を作成できるという事だ。
以下の画像では、C&Cサーバーからから感染端末に出されるレスポンスを示している。
C&Cサーバーに感染端末が登録されると、感染端末上で自動で暗号鍵が生成され
C&Cサーバーに送信される。
この暗号鍵は、感染端末上でファイルを暗号化する際に使用されるようだ。
ここまでのプロセスを経ると、ランサムウェアは感染端末のファイルを暗号化し始める。
暗号化は、Windowsフォルダ以外の全てを拡張子に関わらず行われる。
また暗号化されたファイルは”.encrypt”という拡張子を使って暗号化される。
暗号化している途中、GIBONはC&Cサーバーにpingを送信し続ける。その目的は、”暗号化している最中”という事実を示すためのようだ。
また、暗号化されたフォルダには、 READ_ME_NOW.txt.というテキストファイルが生成される。
このテキストファイルはランサムノートで、感染端末に何が起きたのかを説明し、支払いに関する説明を貰うために以下の2つのメールアドレスに連絡するよう説明書がされている。
- bomboms123@mail.ru
- subsidiary:yourfood20@mail.ru
以下の画像は、ランサムノートである。
IOC
ハッシュ
SHA256: 30b5c4609eadafc1b4f97b906a4928a47231b525d6d5c9028c873c4421bf6f98
ファイル
READ_ME_NOW.txt
関連メールアドレス
bomboms123@mail.ru
subsidiary:yourfood20@mail.ru
GIBONのランサムノート
Attention! All the files are encrypted!
To restore the files, write to the mail:bomboms123@mail.ru
If you do not receive a response from this mail within 24 hours,
then write to the subsidiary:yourfood20@mail.ru
Reaperボットネットに関する簡単なまとめ
Reaperの概要
Reaperは、LinuxベースのOSをターゲットにしているIoTマルウェアである。
主にIoT端末等の埋め込み型システムの脆弱性をエクスプロイトするように作成されたマルウェアだ。
感染した端末はボット化され、Reaper Botnetとして吸収される。
昨年に大流行したMirai Botnetのソースコードを若干踏襲しているようだが、Miraiと違う点もあるようだ。
Miraiは管理者の認証情報をエクスプロイトとして使っていたが、ReaperはHTTPを管理するインターフェースをエクスプロイトする。
Reaperは、2013年から2017年の間に発見された様々な脆弱性をエクスプロイトする（現段階で10個）。
Reaperがエクスプロイトする全ての脆弱性はベンダによってパッチが提供されているのだが、全てのデバイスがアップデートを行なったとは言い切れない。
ある調査によれば、何百万者端末がアップデートを行なっておらず、Reaper感染の危機に晒されているということだ。
※既にNetLabからの詳細にReaperに関してまとめられた記事が出ているので、当記事の最後に補足しておく。
以下は、NetLabから発表された記事に細かな点を付け加えておく。
Reaperの実行について
Reaperが端末に侵入すると、管理者がデバイス状況を知るために必要な情報を参照できなくしてしまう。
例えば、"/var/log"に対して”rm -rf”コマンドを実行してしまう。
他にも、IOCTLをデーモンに送信して、Linuxのデーモンを無効化してしまう。
そうしてデバイスの初期化を行なった後に、Reaperは複数の子プロセスを立ち上げる。
その時に立ち上げる子プロセスを以下に示す。
- 初期化後に立ち上がるプロセス
-
- C&Cサーバーに接続する
- Statusレポートサーバーを起ち上げ、ポート23番(telnet)をListening状態にする
- 未使用のサービスを開き、ポート48099番を開く
- 脆弱な端末をスキャンし始める
この時起ち上げられる子プロセスは、 “6rtr2aur1qtrb”のようにランダムに生成された管理者名で実行される。
Stringの隠蔽
Reaperによって作成された子プロセスは、非常に効果的な方法でStringの隠蔽をする。
メインプロセスはStringの隠蔽をしないのだが、全ての子プロセスは非常にシンプルなスキームを使用する。
そのスキームとは1ビットのXOR(0x22)だ。
メインプロセスが、メモリのヒープ領域にテーブルを割り当て、XOR演算処理されたデータを注入する。
その後、子プロセスがヒープ領域に注入されたデータを参照したい時に、データがデコードされて、数値データ型として参照される。
データの使用が終わった際、データは再び原型に戻される。
以下に画像として示しておく。
コマンド＆コントロール
Reaperは、定期的に複数のC&Cサーバーと通信を行う。
以下に示すのは、Reaperが通信するサーバーだ。
- Reaperが通信するサーバー
-
- weruuoqweiur.com
- e.hl852.com
- e.ha859.com
- 27.102.101.121
C&Cサーバーから送られるコントロールのメッセージとレスポンスは、平文で送られ、ビーコンは以下のフォーマットで送信される。
/rx/hx.php?mac=%s%s&type=%s&port=%s&ver=%s&act=%d
プロトコルは非常にシンプルである。
簡単に説明すると、以下の2つしか機能がない。
- シャットダウン
- Shellを使ってペイロード実行
ポートスキャン
Reaperの子プロセスは、脆弱な端末をスキャンする。
Reaperは、IPアドレスをランダムに生成するのに加えて、９つのハードコードされたIPアドレスを使用する。（ハードコードされたIPアドレスを使用する理由は解明されていない。）
また、Reaperはこれらのウェルノウンポート番号を対象にスキャンを行う。
80, 81, 82, 83, 84, 88, 1080, 3000, 3749, 8001, 8060, 8080, 8081, 8090, 8443, 8880, 10000
実は、ランダムにスキャンされるように思われているポートは、バイト順交換された表記である。
例えば、8880は0x22b0で、バイト順交換されて0xb022となり、45090と変換される。（このようにバイト順交換される理由も明らかにされていない。）
Reaperの開発者が単純に「めんどくさかった」事から変更しなかったのか、それともシンタックスエラーを起こしているのかは不明である。
IoT端末の中には、ビッグエンディアンを用いる端末も存在する事から、ポート番号のバイト交換をする理由もそこから起因するのかもしれない。
ハードコードされたポート番号は以下になる。
そして、ハードコードされたIPアドレスは以下の９つ。
- IPアドレス
-
- 217.155.58.226
- 85.229.43.75
- 213.185.228.42
- 218.186.0.186
- 103.56.233.78
- 103.245.77.113
- 116.58.254.40
- 201.242.171.137
- 36.85.177.3
エクスプロイト方法
Reaperのスキャンによって脆弱な端末を見つけると、今度はHTTPベースのペイロードを端末に送信する。
現段階では合計で10個の脆弱性が確認されており、それらの脆弱性は全てIoTデバイスにおけるHTTPベースのコントロール・インターフェースに関連している。
以下にReaperがエクスプロイトする脆弱性を示す。
認証無しで遠隔からコマンドを実行する脆弱性
対象: D-Link DIR-600とDIR-300
Exploit URI: POST /command.php HTTP/1.1
対象: D-Link DIR-645
POST /getcfg.php HTTP/1.1
対象: Vacron NVR
GET /board.cgi?cmd=cat%%20/etc/passwd HTTP/1.1
対象: D-Link 850Lワイヤレス・ルーター
POST /hedwig.cgi HTTP/1.1
対象: ReadyNAS Surveillance(ネットワークビデオレコーダー)
GET /upgrade_handle.php?cmd=writeuploaddir&uploaddir=%%27echo+nuuo+123456;%%27 HTTP/1.1
対象: Netgear DGN DSLモデムとルーター
GET /setup.cgi?next_file=netgear.cfg&todo=syscmd&curpath=/¤tsetting.htm=1cmd=echo+dgn+123456 HTTP/1.1
対象: AVTech IP cameras, DVRs and NVRs
GET /cgi-bin/user/Config.cgi?.cab&action=get&category=Account.* HTTP/1.1
カスタムGoAhead HTTP serverのエクスプロイト
対象: CVE-2017-8225を持つカメラ
GET /system.ini?loginuse&loginpas HTTP/1.1
インプット整合性機能の欠如による脆弱性のエクスプロイト
対象: Linksys E1500/E2500
POST /apply.cgi HTTP/1.1
HTTPサーバーヘッダのエクスプロイト
対象: サーバーヘッダ”JAWS/1.0” を使ってカスタムサーバーを動かすDVR
GET /shell?echo+jaws+123456;cat+/proc/cpuinfo HTTP/1.1
ハッシュのサンプル
md5:37798a42df6335cb632f9d8c8430daec
関連記事
スパムメールで大学授業料稼いだ男、懲役刑無しの判決。現在はセキュリティ専門家に転身
アメリカのペンシルベニア州・ピッツバーグの裁判所が、大学の授業料を払うためにボットネットを作成しスパムメールを送信した男に対して、執行猶予2年、懲役刑無しの判決を言い渡した。
審判に問われていたのは、カリフォルニア州・サンタクララに住むSean Tiernanという29歳の青年。
FBIは、Tiernanは77,000台ものコンピュータからなるボットネットをコントロールしていたという。
Tiernanの逮捕は2012年。即座に犯行を認めた
2012年10月、FBIは大規模なスパムメールキャンペーンの黒幕を探る調査を進め、ついにTiernanの自宅を突き止めた。
TiernanはFBIの調べに対して即座に自らの犯行を認め、さらに翌年の2013年に有罪を認めた。
そして、今年の10月30日の月曜日に裁判所から有罪判決を言い渡されたようだ。
Tiernanの弁護士は、裁判所に対して懲役刑ではなく執行猶予の申し立てをしている。その理由は、彼の及んだ犯行がNon-intrusive(何かに侵入する性質を持たない)である事だという。
Tiernanのマルウェア、はSNSを経由して拡散されたが、感染したコンピュータはProxyとして使われただけで、感染したコンピュータから個人情報を盗み取る事はなかった。
更に、マルウェアは非常に簡単に取り除ける様に作成されており、Tiernanがマルウェアで収集したのはIPアドレスだけだったという。
アメリカの裁判所は、IPアドレスを”個人情報”として分類していない。
つまり、Tiernanは「個人情報の盗み取りはしていない」という事になるのだ。
得たお金の全てを大学の授業料へ
Tiernanは、「スパムメールでマルウェア送信しておらず、あくまで広告を拡散しただけ」と主張。スパムメールを送信して感染端末をボット化するスキームは数年続いたのは事実だが、「Tiernanが得た利益は、他のマルウェアキャンペーンと比べたら比較的小さい」ようだ。
したがって、「Tiernanの犯行によってもたらされた被害は、比較的小さい」と弁護士は主張している。
Tiernanは、ITコンサルをする父を持つ
Tiernanは父親の背中を見て育ち、幼い頃からプログラミングを学び、スパムメール・ボットネットの開発に2000年代から携わっていた。
Tiernanの弁護士は、「Tiernanがボットネットのスキームに参加した時、どれ程スキームに参加する事が犯罪に繋がってしまうほど深刻であるか判断ができなかった」と主張している。
実はTiernanは、スキームに参加した当時、銀行口座情報や金銭取引の記録などの個人情報にアクセスさえしなければ、犯罪とみなされないと思っていたようだ。
Tiernanは、現在セキュリティ企業へ
FBIが自宅でTiernanを逮捕した時は、Tiernanはカリフォルニア工科大学（Cal Poly）の学生だったようだ。それ以降、Tiernanはセキュリティ業界に携わりたいとキャリアを洗濯。現在はアメリカのサイバーセキュリティ業界で有名な企業に勤めているようだ。
また、Tiernanの弁護士によれば、Tiernanは働きながらスタンフォード大学院のサイバーセキュリティに特化したプログラムに通っていて、CISSPの資格取得に励んでいる。
Tiernanのように、犯罪を犯した人がサイバーセキュリティの専門家として更生した例はアメリカでは多いようだ。
先日、日本でマルウェアをクラウドサービスのフォルダにアップしたことで逮捕された人がいましたが、日本はマルウェアに関する規制を緩和した方がいいのではないでしょうか。
この記事で取り上げたTiernanのように、技術力が高い青年が日本にたくさんいると思います。
そうした青年たちが厳しい法律を理由に逮捕されてしまったり、そもそも逮捕されるのを恐れてセキュリティに関心を持たなくなってしまう可能性がある事を考えると、日本のセキュリティ業界の将来が不安になります。
セキュリティ企業からしても、攻撃者の視点を持っているセキュリティ専門家は喉から手が出るほど欲しいと言える人材なのではないでしょうか。
確かに、「アメリカはアメリカ、日本は日本」という意見もあるでしょうが、日本のセキュリティ人材を自由に育てる為に、規制緩和をすべきではないでしょうか。
Reference
Ethereumマイニング機器のアドレスを書き換えマイニング報酬を強奪。初期設定ユーザーネームとパスワードが標的
暗号通貨イーサリアムのマイニング機器が狙われれている。
ある攻撃者は、初期設定のまま運用されているイーサリアムマイニングOSのを標的にスキャニングを行っているようだ。
そして、スキャニングによって検知された端末に対して、SSH認証情報を使ってマイニング機器の管理画面にログインする。
管理画面で機器の所有者のイーサリアムウェレットアドレスを攻撃者のアドレスに書き換えているようだ。
マイニング報酬を全て攻撃者に送信するよう設定するのが狙いだ。
スキャンは10/30に確認
攻撃者は、イーサリアム機器に対する大規模スキャニングを今週の月曜日から開始したとされている。ルーマニア系のセキュリティ会社、Bitdefenderのハニーポットで検知アラートが上がったのだ。
ハニーポットのログによると、スキャニングは以下のユーザーネームとパスワードを使っている機器に対して行われていた。
- スキャニング対象の認証情報
-
- ethos:live
- root:live
インターネット全体をスキャニングして、Bitdefenderはこのユーザーネームとパスワードのコンビネーションが、イーサリアム採掘用に使用される64bitで、ethOS、Linuxディストリビューションで、GPUベースの暗号通貨マイニングに特化したデバイスだ。
Bitdefenderの研究者は、認証情報がデフォルト設定のままになっている機器を対象にスキャニングを行なった。
攻撃で得た報酬はたった611米ドル
ethOSチームの公表によれば、世界中でおよそ38,000ものマイニング専用デバイスが作動しているようだが、全てのデバイスが今回の攻撃に対して脆弱ではないとしている。
もしマイニングデバイスの所有者がOSのデフォルト認証情報を変更してファイアウォール内に設定していれば、攻撃の心配はない。
Bitdefenderのアナリスト、Bogdan Botezatu氏によれば、攻撃者のものと思われるイーサリアムアドレスには、10個しかトランザクションが発生していないようだ。（文中リンクは攻撃者のイーサリアムアドレス）
（画像を見てもらえばわかるが、2ETH程度しか入っていない。）
更に、Botezatu氏は注意を呼びかけている。
もしイーサリアムマイニング機器を所有している場合は、デフォルトユーザーネームとパスワードを変更したかチェックして欲しい。もし変更していないのであれば、今やってもらいたい。そうすれば、あなたが貰えるはずの報酬を攻撃者に横取りされる事はなくなる。
相次ぐ暗号通貨を狙った犯行
実は、今回Bitdefenderによって報告された事例は、過去にも発生していたようだ。
9月、カナダのセキュリティ会社ESETは、何者かが脆弱性IISバージョン6.0を対象にスキャニングを行なっており、Moneroの採掘用サーバーをインストールしたインシデントがあった。
この時攻撃者は、およそ63,000米ドルもの大金を手にした。
また、今日カスペルスキーは、とあるクラッカー集団がCryptoShufflerというトロイの木馬を使って、ターゲットから暗号通貨を盗み取っている事を明らかにしたようだ。
CryptoShufflerはPCのクリップボードを監視して、暗号通貨用のアドレスがクリップボードにコピーされた際に彼らのアドレスに書き換えるのだ。
こうする事で、ターゲットがペーストする際に彼らのアドレスに暗号通貨が送金される事になるからだ。
他にも、CoinhiveのWebサイト埋め込み型マイニングスクリプトが不正に埋め込まれたり、ユーザーの許可なしに採掘を行う事例も起きている。
暗号通貨は、徐々に世間に注目され始めており、今後伸びていくからこそ狙われやすいのだと思います。
更に暗号通貨のメリットである”匿名性”も攻撃者にとっては非常に魅力的です。
私も暗号通貨運用をしていますが、複数のレイヤーで暗号通貨資産を守るなど、情報管理は徹底的に行っています。
