Security Response

Skype などのインスタントメッセージアプリケーションに対するソーシャルエンジニアリング攻撃が依然として続いていますが、この 1 週間は特に勢いづいています。この攻撃は 9 月 29 日頃に始まったと見られ、現在までに無防備なユーザーを欺いて 250 万回以上クリックさせることに成功しています。攻撃に使われている手口は、インスタントメッセージアプリケーションへのリンクを投稿して潜在的な被害者を誘導するという、典型的なソーシャルエンジニアリングの手法です。この攻撃の手順は、おおよそ以下のシナリオのとおりです。
 

図 1. ソーシャルエンジニアリング攻撃のシナリオ
 

ユーザーが goo.gl リンクをクリックすると、Hotfile.com 上の URL にリダイレクトされます。Hotfile.com サイトでは .zip ファイルをダウンロードするように指示され、この .zip ファイルに、正規のインスタントメッセージファイルを装ったマルウェア W32.IRCBot.NG が含まれます。手動でこのファイルを解凍して実行すると、IRC チャネルに接続してコマンドを受信します。シマンテックが解析したところ、これはさらに別のファイルを Hotfile.com からダウンロードして実行するよう命令するコマンドです。検証したどのテストでも、2 番目にダウンロードされるファイルは W32.Phopifas...

過去 3 カ月間、シマンテックは年間に何十万というユーザーにマルウェアを送りつけているロシアの攻撃者を調べてきました。調査対象となっているのは Backdoor.Proxybox で、この調査によってブラックハット攻撃の全貌が明らかになっています。このボットネットの仕組みや規模について興味深い情報が得られるとともに、実際の作成者を特定できる情報にもたどり着きました。

プロキシサービス自体は目新しいものではなく、地理的に固定されたコンテンツにアクセスするためや、匿名のトラフィックをリレーするために使われます。proxybox.name では、プロキシ販売業者が世界中のプロキシサーバーに対するアクセス権を販売しています。フロントエンドの Web サイトからすれば、ロシアの正規プロキシサービスであるように見え、何千というプロキシのリスト全体に対するアクセス権が 1 カ月あたりわずか 40 ドルで売られています。これほど多くのサーバーに対するアクセス権を、これほど低価格で売ることができるのはなぜなのでしょうか。
 

図 1. Proxybox のメインの Web サイト（ロシア語から翻訳）
 

脅威のコンポーネント

シマンテックの調査は、まず Backdoor.Proxybox マルウェアのリバースエンジニアリングから始まりました。これは 2010 年の初めに最初に確認された脅威ですが、最近活動が盛んになっていることが判明しています。この脅威は、以下の 3 つのコンポーネントで構成されています。

1. ドロッパー...

9 月 27 日、Adobe 社は、Windows オペレーティングシステムに対する Adobe コードサイニング証明書の不正使用について調査中であることを同社の Web サイトで発表しました。シマンテックはこの問題を受け、該当する Adobe の証明書を使って署名された不正なファイルを検出する保護を追加しました。これは Trojan.Abe として検出されます。シマンテックは現在、2 つのユーティリティの合計 3 つのファイルが、この証明書を使って署名された特定のソースに由来するものであることを確認しています。ユーティリティの 1 つは、すでに公開されているパスワードダンプツールで、もう 1 つは、Web サーバー上のインターネットトラフィックをリダイレクトする ISAPI フィルタです。ISAPI フィルタは、シマンテックで調査した限りまだ公開されたことはありません。3 つのファイルの詳細を以下に示します。

PwDump7.exe

MD5 ハッシュ値: 130F7543D2360C40F8703D3898AFAC22

署名のタイムスタンプ: 2012 年 7 月 26 日木曜日、太平洋夏時間午後 8:44:40（GMT -7:00）

libeay32.dll

MD5 ハッシュ値: 095AB1CCC827BE2F38620256A620F7A4

署名のタイムスタンプ: 2012 年 7 月 26 日木曜日、太平洋夏時間午後 8:44:13（GMT -7:00）

myGeeksmail.dll

MD5 ハッシュ値: 46DB73375F05F09AC78EC3D940F3E61A

...

悪名高い Blackhole 悪用ツールキットの勢いは衰えを知りません。最近も、数々の新機能を搭載するバージョン 2.0 のリリースを作成者が予告し、メディアの注目を集めたところです。先日シマンテックは、Blackhole 悪用ツールキットのバージョン 2.0 らしきものがホストされている Web サイトを発見しました。驚くべき発見ですが、いつものようにすぐに調査を始めたところ、Web サイトに不審な点があることに気がつきました。

図 1. 悪用ツールキットの（不審な）統計ページ

図 1 を見ると、ページの一番下のラベルに「Blackhole v.2.0」とはっきり書かれていることがわかります。ところが、その違いを除けば、ページの残りの部分は旧バージョンとほとんど差がありません。

図 2. 悪用ツールキットの旧バージョンの統計ページ

どちらのページも、メインのコンテンツセクションは同じですが、新しいと称するバージョン（図 1）の上部には、ロシア語が書かれた水色のボックスが表示されています。もともとは［Blackhole］メニューが並んでいる位置です。この部分のテキストの翻訳は、およそ以下のとおりです。

広告: [削除済み] - iframe / javascript コードの暗号化サービス。
広告: シリアにあるデータセンターの専用サーバーを利用、プロジェクトの内容は不問。マーケットでの実績は 6 年以上。品質は保証付き!(^^)
[...