【日刊】LokiBotがAndroid端末をターゲットに拡散、TyrantランサムウェアがVPNアプリを装い感染拡大・イラン、企業PCのリモートアクセス用認証情報がたった3ドルーー忙しい人のためのセキュリティニュース(2017/10/24)
お疲れ様です。いちです。
毎日セキュリティニュースを追っていますが、今日ほどランサムウェアのニュースで溢れていたのは初めてではないでしょうか。
Bad Rabbitについては別記事で紹介していますので参照下さい。
それでは本日は以下のセキュリティニュースのダイジェストをお送りします。
それでは早速、参りましょう！
LokiBotがAndroid端末をターゲットに拡散
SfyLabsのセキュリティ研究者はAndroid上で動く新たなバンキングトロイ”LokiBot”を発見した。
Lokibotは、主にAndroid用のモバイルバンキングアプリをターゲットとし、それらアプリの画面のログイン画面の上に被さるようにオーバーレイとして表示する。
LokiBotは既にクラッカー集団の集まるフォーラムで売買取引が行われており、付帯する機能すべてを利用するにはおよそUSD2,000もの金額をビットコイン建てで支払わなければならない。
LokiBotの機能は、他のAndroid向けマルウェアと比べてユニークだ。まずはじめに、モバイルブラウザを起動、URLにアクセスし、SOCKS5プロキシーをインストールする。その目的は、アウトバウンド通信をリダイレクトするためだという。
更に、自動でSMSを送受信する機能が備わっており、被害にあったターゲットの連絡帳にアクセスして保存されている宛先全てのSMSを送りつける事が出来る。
最後にLokiBotは、あたかも他のアプリが通知を出しているかのようにに思わせる”偽の通知”を出すことが出来る。例えば、ユーザーが他のバンキングアプリ上で”入金”があった事を示す通知を受け取ると、口座にログインしようとする。その際にオーバーレイで偽のログイン画面を表示し、IDとパスワードの認証情報を取得する。
また、LokiBotはランサムウェアとしても機能する。
対象バージョンはAndroid 4.0以降のOSとなり、インストールする際には”管理者権限”を要求してくる。
管理者権限を獲得するとすぐにAndroid端末内のデータを暗号化し始め、ランサムウェア特有の画面を表示する。請求される身代金はUSD70〜100だ。
TyrantランサムウェアがVPNアプリを装い感染拡大・イラン
Iran CERTCC(The Iran Computer Emergency Response Team Coordination Center)が、セキュリティアラートを発した。
アラートの内容は、Tyrantというランサムウェアがイラン国内で拡散されている事を知らせるものだ。
Iran CERTCCによればTyrantは、PsiphonというVPNアプリを装ってターゲット端末に侵入し、端末内のデータを暗号化する。
また、Tyrantは”DUMB”というランサムウェアから派生した亜種でと分析されている。
DUMBは2017年1月ごろに発見され、6月にはポーランド版の亜種も確認されている。
DUMBが発見された当初は、スクリプトキディによる仕業だと思われていたようだ。なぜなら暗号鍵を暗号化したファイルの中に保存してしまうなど、稚拙なコードが散見されたからだ。
今回イランで拡散されているTyrantも同様に、洗練されたスキルを持つプロフェッショナルが作成したとは言い難いマルウェアと言われている。
全てのランサムウェア対策として言えることだが、Tyrantの対策としてOSのアップデートをして脆弱性を潰しておくといいだろう。
そしてPsiphonをダウンロードする際は、サードパーティのサイトからダウンロードするのではなく、公式サイトからダウンロードする事をお薦めしたい。
Reference
企業PCのリモートアクセス用認証情報がたった3ドル
ダークウェブのあるウェブサイトでは、ヘルスケア、教育、政府、小売等の様々な企業や団体が所有するデスクトップPCへのリモートアクセス用IDとパスワードを最低3ドル程度で販売している。
Windows PCに標準で搭載されているRDPだが、普段は仮想環境などにアクセスするために使われるプロトコルである。
つまりRDPでアクセスするためのIDとパスワードを入手する事で、攻撃者はターゲットとなる団体の管理者権限にアクセスする可能性が生まれる。
ダークウェブでは、そのRDP用アカウントが、Windows XPだとおよそ3ドル、Windows 10だとおよそ10ドル程度で販売されている。認証情報の値段は、ターゲットとなる居住国とどれ程最近に入手された情報かによって変わる。
2016年に開設されたダークウェブのサイト、”Ultimate Anonymity Services”では、35,000ものRDP用認証情報が販売されていたようだ。
