2010年9月16日木曜日

“Here you have”ワーム攻撃、スペインから発信されていた可能性

Posted on 09/13/10 by Luis Corrons


先日、Sean-Paulは24時間という短期間に配布されていたワームについて記事を書きました。
“Here you have”というこのワームは、一ヶ月以上前に出現したワームの二番目の亜種で、その特徴のひとつは、メッセージのfromアドレスが、“Brigades of Tariq ibn Ziyad”と呼ばれるテロリストグループに関連している“iraq_resistance”であるということでした。

Tariq ibn Ziyad al-Layti (720年没)は、8世紀にイベリア半島のVisigothic Hispania(西ゴート王国ヒスパニア)を征服しイスラム支配に導いたベルベル人の将軍でした。

数時間前、自身をこのワームの作者であるとした人は、“IRAQ Resistance - Leader of Tarek Bin Ziad Group”と署名されたビデオを発表しました。ビデオを発表したユーザーの別名は、作者がYoutubeに追加した彼のプロフィールによると、“iqziad”26歳、スペイン出身。

ビデオによると、このワームは主に米国をターゲットに作られており、それは2つの理由において正当であるとしています。
9.11攻撃の記念と、先週公の場でコーランを焼却しようとしたTerry Jones牧師の問題についてイスラムへの敬意を要求するということ。

ビデオでは南スペインのアンダルシア地方の写真をみせています。私達は既に全ての情報をスペイン軍警察へ送っており、これについてさらに調査を進めています。近い将来おそらく詳しい情報を発表できるでしょう。

ビデオはこちら


私達はさらにできるかぎりビデオの内容を書き取ろうとしてみました。

Hello, My nickname is Iraq Resistance. Listen to me about the reasons behind 9/September virus that affected NASA, Coca-Cola, Google, and most American ???. What I wanted to say is that the United States doesn't have the right to invade our people and steal the oil under the name of nuclear weapons. Have you seen any there? No evidence about any project. How easy you kill and destroy. Second, that the Christian, Terry Jones. What he tried to do the same day this worm spread is not even fair. I know that not all Christians are similar and some news papers wrote that I am a terrorist hacker because a computer virus and Mr. Terry Jones is not. And he is not terrorist because he affected all muslims behavior? I think, America, come on, be fair. Where is your freedom, which must end when you ???. As you say you modern educated people. I don't know that there is another one and really I don't like “smashing” and even there were no computers “smashed” as you know from the analysis report. I can “smash” all of those infected, but I wouldn’t and don’t use the word terrorist please. I hope all people understand that I'm not negative person. Thank you for publishing.

ハロー。私のニックネームはIraq Resistance。NASA、コカコーラ、Googleなど多くのアメリカの??に影響を与えた9月9日のウイルスの背後にある理由について聞くように。
私は、米国が我々の身内に侵入して核兵器(の存在?)という名目の元に石油を盗む権利は無いと言いたい。何かが見つかったただろうか?いかなる計画に関する証拠もない。にもかかわらず、あなた達はなんと簡単に殺し破壊することだろう。
第二に、キリスト教徒のTerry Jones氏。このワームの拡散と同じ日に彼が行おうとしたことはフェアではない。私は全てのキリスト教徒が同じようではないことを知っている。いくつかの新聞が、コンピュータウイルスを理由に私をテロリストでハッカーであると書き、Terry Jones氏はそうは書かれていない。そして彼は全てのイスラム教徒の振る舞いに影響を及ぼしたけれどもテロリストではないのか?
私は思う。アメリカよ、公平であれ。あなた達の???で終わってしまった自由はどこに。そしてあなた達が自分を教養ある現代人だと言うように。私は別のものがあることを知らないし、私は本当に"破壊する"のは好きではなく、分析レポートからわかるように実際に"破壊された"コンピュータは無い。
私は感染した全てのコンピュータを"破壊する"ことができるが、そうしてはいない。テロリストという言葉を使わないでほしい。私がネガティブな人間ではないと全ての人が理解してくれることを望む。公開してくれたことに感謝する。

2010年9月15日水曜日

“Here you have”ワームはサイバー・ジハード(聖戦)に関与していた

Posted on 09/10/10 by Sean-Paul Correll


セキュリティ業界で総称“Here you have ワーム”と呼ばれているワームは、過去24時間以上、企業ネットワークなどに侵入しようとしていました。このワームは、PDFファイルに偽装した実行ファイルと共に、“Here you have” または“Just For you“という件名を使ってemail経由で届きます。
Panda Securityは、W32/Visal.A.wormとして分類しており、先月に初めてiraq_resistance@yahoo.com からのスパム送信が見られました。

このワームは次のファイルを作ります。(フルレポートはPandaのサンドボックスを見て下さい -> http://x.maldb.com/?p=44309#more-44309)

  • /WINDOWS/autorun.inf
  • /WINDOWS/autorun2.inf
  • /WINDOWS/csrss.exe
  • /WINDOWS/ff.exe
  • /WINDOWS/gc.exe
  • /WINDOWS/hst.iq
  • /WINDOWS/ie.exe
  • /WINDOWS/im.exe
  • /WINDOWS/op.exe
  • /WINDOWS/pspv.exe
  • /WINDOWS/rd.exe
  • /WINDOWS/re.exe
  • /WINDOWS/re.iq
  • /WINDOWS/system/Administrator CV 2010.exe
  • /WINDOWS/system/updates.exe
  • /WINDOWS/system32/SendEmail.dll
  • /WINDOWS/system32/wbem/Logs/wbemcore.lo_
  • /WINDOWS/system32/wbem/Logs/wbemprox.log
  • /WINDOWS/tryme1.exe
  • /WINDOWS/vb.vbs
  • /autorun.inf
  • /open.exe

以下に接続:
  • members.multimania.co.uk/yahoophoto/tryme.iq
  • members.multimania.co.uk/yahoophoto/ff.iq
  • members.multimania.co.uk/yahoophoto/gc.iq
  • members.multimania.co.uk/yahoophoto/ie.iq
  • members.multimania.co.uk/yahoophoto/im.iq
  • members.multimania.co.uk/yahoophoto/m.iq
  • members.multimania.co.uk/yahoophoto/op.iq
  • members.multimania.co.uk/yahoophoto/pspv.iq
  • members.multimania.co.uk/yahoophoto/rd.iq
  • members.multimania.co.uk/yahoophoto/w.iq
  • members.multimania.co.uk/yahoophoto/SendEmail.iq
  • members.multimania.co.uk/yahoophoto/hst.iq
  • members.multimania.co.uk/yahoophoto/re.iq
  • members.multimania.co.uk/yahoophoto/tryme.iq

さらなる調査で、“iraq_resistance”は、少なくとも8月中旬に発見されたワームの最初のバージョンに関与していると我々が信じて いるリビアのハッカー/テロリストとして知られたハンドル名であるとわかりました。

“iraq_resistance”に、テロ組織(エレクトロニック・ジハード《電子聖戦》)“Brigades of Tariq ibn Ziyad”と同時にこのマルウェアの件がリンクされていました。

これはiraq_resistanceの書き込みのコピーで、グループの一番の優先事項をはっきりと述べています。
“ Prompt Required young people to participate in the campaign of the electronic jihad اجهزة امريكية تابعة للجيش الامريكي Group was established as the Brigades of Tariq ibn Ziyad and goal of this group to penetrate U.S. agencies belonging to the U.S. Army ”
“エレクトロニック・ジハードの活動への若者の参加が必要である。グループはBrigades of Tariq ibn Ziyadとして作られ、米陸軍所属のエージェンシー(諜報機関)に侵入することがグループの目的である)” - Google Translate リンク
Brigades of Tariq ibn Ziyad
テロリストのリンクのほかに、xp10.comのようなその他のアンダーグラウンドのハッキングフォーラムでいくつかのポストが書き込まれています。
Forum Communication by Iraq_Resistance

グループも個人も関与を主張していないので、このワームのセカンドバージョンが、“iraq_resistance” または “Brigades of Tariq ibn Ziyad”に関連するかどうかはまだ不明ですが、このグループの性質上十分あり得ることです。

2010年9月10日金曜日

Google Instantにおける、悪意ある検索候補予測

Posted by Sean-Paul Correll

Googleは“Google Instant”という新しいサーチテクノロジーをリリースしました。
あなたがGoogleの検索窓に入力すると、ダイナミックで高速化された検索結果が表示されます。Google Instantは、基本的に、ユーザーが何を入力するかを予測して、リアルタイムに入力されている言葉に最も関連性が高いと思われる検索ワードを即座に提示します。


それがなにかって? はい、私たちは少し心配です・・・。
もしあなたが私達の過去のブログ記事を見たら、GoogleがBlackhat SEO攻撃を軽減するための良い仕事をしていないということがわかります。それは長い間検索結果に害を与えてきました。

試しにテストとして、私は"antivirus"を検索してどんな入力候補が出るか見ようと思いました。するとなんと、有名なRoguware(偽アンチウイルスプログラム)のAntivir Solution Proが検索の入力候補の中にありました。
Google Instant Malicious Search Suggestion

悪意ある検索予測候補の問題に続いて、ここでさっそく本当の問題に入ります。
私は、この新しいテクノロジーが既存のBlackhat SEO活動をもしかすると改善できるかどうかをより懸念しています。ほとんどのBlackhat SEO活動が自動的にGoogleのトレンドトピック結果を呼び出すことがわかっています。また現在Google Instantはトレンドのフレーズを(一語一句そのまま)提案し、潜在的に数百万の犠牲者を直接サイバー犯罪の攻撃対象にしていまう可能性があります。

Google InstantがBlackhat SEO活動の手助けになるのを本当にもうすぐ見ることができるかどうか、時が経てばわかるでしょう。
気をつけて下さい。

2010年9月2日木曜日

Mariposaストーリー、スロベニア編


Posted on 09/1/10 by Luis Corrons

数週間前、スロベニア警察はMariposaボットネットの構築に使われたボットを販売していた数名を逮捕したと発表しました。その作者達は今年3月にスペインで逮捕されています。この時点から多くの錯綜したニュースがありましたが、真に力になってくれたPeter Lovsin氏のおかげで、私達はこの混乱に再度少し光を当てることが出来ました。

スロベニアにおける逮捕の後、警察は記者会見を行い情報を一部公開しました。
彼らは7軒の家を捜索し、そこで75台のコンピュータ機器(コンピュータ、ハードディスクなど)を押収し、2人の容疑者(23歳と24歳)を拘留したことを認めています。(スロベニアにおける警察の拘留期間は最大48時間)。その後彼らは釈放されましたが調査はまだ進行中です。逮捕者のうちの一人について、警察は彼がMariposaボットネットの構築に用いられた悪意あるソフトウェア(ButterflyBot)の作成者であるという容疑であるとしています。そして二件の重罪を調査していることを明らかにしました。
  • サイバー犯罪を可能にするツールの作成
  • マネーロンダリング
さらに詳しいいくつかの情報があります。スロベニア警察によって確認されてはいませんがメディアによって知られた情報によると、23歳の男性は主犯格のIserdoであると思われ、実生活ではスロベニアのマリボール出身のMatjaz Skorjancとして知られています。彼は落第した医学生で、父はマリボールの近くに電子機器の開発と販売を行う小さな会社を所有しています。彼の別名"Isardo"のスペルを逆さまにすると"Odresi"、これはスロベニア語で「取り戻す、救う」という意味です。

24歳のほうは女性と思われ、同じくマリボール出身のNusa Coh、IRCニックネームは"L0La"です。Isardoがボットの販売によって稼いだ金の少なくともいくらかはNusa Cohに払われていたようです。彼女はIsardoがどのように金を稼いでいるか知らなかったかもしれませんが。彼女はWestern Unionの送金で、MariposaのオーナーであるNetkairoをはじめとする別の人間からも金を受け取っていました。

(犯罪者達がなぜいつもWestern Unionを使うのかを知りたければ、数ヶ月前に書いたこちらの記事を読んで下さい)

調査の間、もうひとつの名前が挙がりました。Dejan Janzekovic、24歳です。彼もマリボール出身で、スロベニアのデータ通信およびISP(インターネットサービスプロバイダ)事業者"Amis" のシステムアドミニストレーターとして働いています。彼はいくつかのメディアによってIsardoと間違って取り上げられたので
あり、逮捕はされていません。彼はメディアに連絡を取り自分についての話を明かしました。警察は彼の家にも来ましたが、彼は逮捕もされていないため、どちらかというと被害者と言えそうです。彼は高校(2nd gymnasium Maribor)でNusa Coh (L0La)と同じクラスだったため、調査側はこの話を彼に結びつけたようです。Dejanは長い間彼女とは連絡を取っておらず、本物のIserdoが個人証明のために時々自分の写真を使っていたのだと話しました。

IserdoとL0Laが逮捕された週に、Butterflyボットの広告及び販売サイトはシャットダウンしました。覚えているでしょうか、数ヶ月前に私は そのサイトのスクリーンショットをいくつか紹介しました。しかし一週間後オンラインに復活したので、私はスクリーンショットをアップデートすることができました。
Butterfly Network Solutions
Butterfly Network Solutions 3

その数日後、スロベニアのCERT(SI-CERT: コンピュータ緊急対応チーム)は、このページのホスティング業者(West Hosting corp)に連絡を取りました。このページがそれ以来シャットダウンされていることからみると、彼らはその時点から協力的であったようです。

ただし良いニュースばかりではありません。私が知る限り、Mariposaの背後にいるNetkairoとOstiatorの2人共まだ何の刑罰も課せられておらず、鳥のように自由です。

もしあなたがNetkairoのルックスがどのようだか知りたければ、私は彼の公開されているFacebookアカウントを見つけたので、こちらで写真をチェックすることができます。これはスロベニアでの逮捕が行われた時に彼が書いたコメントです。

Netkairo

これはスペイン語の慣用表現で、考えが似た人達が集まることを意味する”Dios los cria y ellos se juntan”をもじったものですが、彼は最後のフレーズを"警察はそれを積み上げる"に変えています。(神は一緒に育て彼らは集まる --> 神は一緒に育て...警察はそれを積み上げる)

とにかく、私はもっと良いニュースが近い将来発表されることを期待しています。Iserdoが売った数百のボットが作った数百のボットネットをダウンさせることができるからです。哀れむことなく最後まで彼らにつきまとうこと、これこそがサイバー犯罪を終わらせる方法です。

2010年8月30日月曜日

2010年の新種ワームの内25%は USBデバイス経由で拡散させるために作られている


  • 世界のSMBの48%が毎年感染しています。これらの被害者の3分の1はUSBデバイスで拡散するマルウェアによって感染させられています。
  • これはヨーロッパ、南米、北米全域で10,470社を調査したThe Second International SMB Security Barometerの調査結果の一部です。

PandaLabsによると、新種のワームの 25%はコンピュータに接続するUSBデバイス経由で拡散させるために特化して作られています。この種の脅威は、情報を格納できるどんなデバイスにも自身をコピーすることができます。(携帯電話、リムーバブルディスク、DVD、フラッシュメモリ、MP3/4プレイヤーなど)

Panda Securityが発表したThe Second International SMB Security Barometer(20カ国10,470社を調査)によると、集められたデータはこの配布方法が非常に効果的であることを示しており、SMB(コンピュータが1,000台以下の企業)の約48%は、昨年一年間に何らかの種類のマルウェアに感染させられていることを認めています。特に、そのうちの27%については感染元がコンピュータに接続したUSBデバイスであったことを確認していました。

PandaLabsのテクニカルディレクターLuis Corrons氏によると、「現時点では、流通しているマルウェアの多くはこれらのデバイス経由で配布するために作られています。これらのガジェットに自身をコピーするだけでなく、USBデバイスがコンピュータに接続されたときに自動で実行され、ユーザーに対してほとんど気づかれることなく透過的に感染します。これは我々が今年見てきた(Mariposa and Vodafoneボットネットの配布のような)多くの感染例に当てはまります。」

今までのところまだemail経由による感染の方が多い状況ですが、この種類の感染は増加傾向にあります。
「現在市場にある多くのデバイスは、USB経由でコンピュータに接続できます。デジタルカメラ、携帯電話、MP3やMP4プレイヤーなど・・・。言うまでもなくこれはユーザーにとって非常に便利で、全てのデバイスはメモリカードや内蔵メモリを備えており、携帯電話を使い易くし、あなたに気づかせずにウイルスを運ぶことができると言えます。」とCorrons氏は述べています。


どのように動作するのか?

リムーバブルディスクやメモリスティック、MP3プレイヤー、デジタルカメラなどのドライブ経由で拡散する、危険なConfickerワームのようなマルウェアの数が増加しています。
Windowsは、これらのドライブやデバイスがコンピュータに接続された時にいつでもどのアクションを行うかを知るためにAutorun.infファイルを使います。この機能は、USBドライブに保存されたマルウェアの命令(例えばコンピュータに接続された時に自動で実行されるといった)によるAutorun.infの変更で、ウイルスを拡散させるためにサイバー犯罪者達に利用されています。この方法は対象のコンピュータをすぐさま感染させることができます。

これを防ぐため、Panda SecurityはUSBドライブやその他のデバイス、コンピュータ上でAutoRun機能を無効にし、二重のレイヤーで保護を提供する無料製品、Panda USBワクチンを開発しました。


Panda USB Vaccine 無料ダウンロード:

2010年8月18日水曜日

AV-Test.org 2010年第2四半期、全製品テスト結果

Posted by Pedro Bustamante

ドイツの独立系アンチウイルス調査機関AV-Test.orgから包括的なFull-Product Testのレポートが発表されました。

Panda Internet Securityは、全カテゴリにおいて非常に優れたスコアを獲得し、他のベンダー2社と共にトップランクの座を獲得しました。
AV-Test.orgのCEOであるAndreas Marx氏は「Panda Internet Securityは12週間に渡って実施された広範囲なテストにおいて最高得点を獲得したわずか3社のうちの1社でした。」と述べています。

av-test-2010-q2-fx-2
このFull-Product Testは、セキュリティソリューションの多くの異なる側面を視野に入れた非常に広範囲なテストです。
  • Real-World(現実世界)のテスト - ゼロデイ及びWeb/email経由のマルウェアに対するプロテクション
  • ダイナミック(振る舞い)検出テスト - マルウェア実行時のブロック
  • 大量のマルウェアコレクションの検出 - 最新3ヶ月以内のマルウェアからテスト
  • 大規模感染型マルウェアの検出 - WildListマルウェアをベースとしたテスト
  • 大規模感染型マルウェアの除去及び修復
  • 悪意あるコンポーネントの除去及び改変されたシステムの回復
  • 隠れたアクティブなルートキットの検出
  • 隠れたアクティブなルートキットの除去
  • コンピュータのスローダウン
  • 静的なオンデマンドスキャニングにおける誤検知
  • ダイナミックオンアクセススキャニングにおける誤検知
av-test-2010-q2
この完全なレポートはAV-Test.orgのWebサイト又は私達のサーバーからダウンロードできます。

Panda Internet Securityに関するAV-Test.orgからのいくつかのコメント。

「Panda Internet Securityは新種のマルウェアの静的及びダイナミックな検出において圧倒的に高い結果を示しました。」

「ルートキットのようにアクティブな動作を隠すマルウェアの検出及び除去は、Panda Internet Securityにとっては問題ではありませんでしたが、その他のテストされた多くの製品にとっては問題でした。」

「我々は既知及び未知のマルウェアに対するプロテクションだけではなく、テスト以前にシステムを感染させたものの除去についてもテストしました。Panda Internet Securityはこれらの二つのカテゴリで6.0点中5.5点を獲得し、この徹底したテストにおいて高いスコアを達成しました。」

「新種のマルウェアのプロテクションと除去能力が極めて高かったでけでなく、Panda Internet Securityは同時にユーザビリティの観点からも、システムに与える負荷がより少ないという結果になりました。」

2010年7月30日金曜日

民間のセキュリティ企業がFBIのサイバー犯罪捜査に協力、スロベニアでハッカーを逮捕


  • スロベニア当局とFBIは、悪意あるソフトウェアを作成して他のサイバー犯罪者達に販売したとして男性を逮捕。
  • 容疑者はインターネット上のハンドルネーム“Iserdo”としてのみ知られている23歳の男性。
  • Butterflyボットネットキットは、世界中で数百万台のコンピュータを感染させ情報を盗んだMariposaやその他数百のボットネットの背後にある悪意あるソフトウェアです。
  • 情報を盗むボットネットは数百万台の危険にさらされたコンピュータから成り、200カ国以上で銀行や政府機関、企業を感染させました。

スペインのPanda Securityとカナダの Defence Intelligenceは、Mariposa Working Group のパートナー達と共に、FBIと国際当局にButterflyボットネットの作者と確証した23歳の“Iserdo”を逮捕する鍵となった情報を提供しました。2社のセキュリティ企業は、世界中で数百万台のシステムを危険にさらしたMariposaボットネットの背後にあるソフトウェアを分析することによって、Iserdoを特定しました。Iserdoは、先週スロベニアのマリボルで逮捕され現在保釈中です。

IsardoのWebサイト(半年前のスクリーンショット。現在は閉じられている)
Mariposaをはじめとする情報を盗むためのボットネットは、Butterflyキットのような悪意あるソフトウェアパッケージを使って構築されています。Butterflyキットはオンライン上で€500 から €1500 ($650 - $2,000 US)の価格で売られており、限られたコンピュータスキルしか持たない人々であっても大規模なサイバー犯罪を犯すことを可能にします。Butterflyキットは、約10,000個の固有の悪意あるソフトウェアや700以上のボットネットを作成するために使われました。その被害者には、世界中で数百万の民間企業や個人だけでなく、数百の金融機関や政府機関が含まれています。 

「過去2年間で、Mariposaボットネットを作成するために使われたソフトウェアは、何百人ものサイバー犯罪者達に販売されており、世界中で最も悪名高いもののひとつになりました。」とFBIのディレクターRobert S. Mueller氏は述べています。「これらのサイバー侵入や盗難、詐欺などは、インターネットの健全性とそれに頼る企業を蝕みます。さらに、インターネットを使う全ての人のプライバシーと財布を脅かします。」

Defence Intelligence と Panda Securityは、およそ2年間Butterflyキットを監視していました。被害者には200カ国以上の金融機関や政府機関、企業が含まれています。「これらの逮捕がエキサイティングなのは、作者がターゲットにされたのが初めてだったということです。普通はボットネットの管理者が捕まりますが、ボットネットの背後にあるキットを作る作成者が捕まったのは非常に稀なことです。」とDefence Intelligence社のCEOであるChristopher Davis氏は述べています。Defence Intelligenceは、これらの逮捕が先例かつ警告になることを期待しています。Davisは付け加えます。「我々は、更に、その先にいる、コードを書く人、それを売る人、配布する人、さらには彼らが使う、盗んだクレジットカードと銀行情報をキャッシュに換金するために使うMoney mule(裏送金係)など、全員を探し出すべきです。」

「我々は、Iserdoの様なサイバー犯罪者達と戦う取り組みに関わったことを誇りに思います。しかし、これが多くのサイバー犯罪者達が引き起こしている危害のひとつに過ぎず、まだやることが多くあるということを知っています。」とPanda SecurityのCEOであるJuan Santana氏は述べています。「Panda Securityにおいて我々は、インターネット犯罪との戦いにはコンピュータセキュリティ業界と公共機関の国際的な協力による取り組みが必要であると強く信じています。また、我々は協同で脅威に対する一般認識向上のために働きかけ、犯罪者の振る舞いに対する抑止力のある制裁を可能にする適切な法的措置の適用を推し進め、、更にはMariposa Working Groupの様なワーキンググループが十分な予防及び回復技術を開発できるように適切なトレーニングを提供していきます。」

FBIのサイバー犯罪部門の副アシスタントディレクターであるJeffrey Troy氏は、「あなたの家への侵入者の逮捕と対照的に、彼にバールや地図や近辺でベストな家の情報を与えた人物を我々は逮捕しました。そしてそれはサイバー犯罪の調査において画期的なことです。」

Mariposa Working Groupは、ここ数ヶ月で5人のサイバー犯罪者の逮捕に貢献しており、世界最大のボットネットのひとつであるMariposaを解体しました。Defence Intelligenceは、現在数百のボットネットについて、それらの拡大を止め分析を容易にする取り組みにおいて、“sinkhole(排水口)”ネットワークにリダイレクトさせています。「何千万もの固有のIPアドレスが、犯罪者の代わりの我々とコンタクトを取っています。」とDefence Intelligenceの主任研究員Matt Thompson氏は語り、「我々はこれを誇りに思います。」と付け加えました。法執行機関がButterflyキットのユーザーを探し出して今後さらに多くの逮捕者が出ることが予想されます。