Cisco Japan Blog > セキュリティ

セキュリティ

Scareware を科学する

冲中 恒雄
2019年2月27日

この記事は、Cisco Umbrella の Andrea Scarfo によるブログ「You Know, for Science」（2018/3/15）の抄訳です。

Cisco Umbrellaは、「Newly Seen Domains」というセキュリティ カテゴリをリリースしています。 このカテゴリは、Cisco Umbrella のユーザが初めて照会したドメインを識別します。シスコ セキュリティ リサーチ チームは、新たなこれらのドメインに悪質な有害判定を下す可能性のある類別子（classifiers）を開発しています。また、脅威へのシンプルな Threat Hunting を推進しています。

その中の 1 つの手法は、新たに見られたドメイン名のリストを、特定のキーワードの組み合わせにより検索することです。特に、フィッシングや scareware のドメイン名で頻繁に使用されるキーワード、例えば： verify, security, account, login, apple, office365, alert, virus, google, microsoft などです。

このブログ記事では、Threat Hunting の演習の1つで見つかった scareware ドメインのサブセットを紹介します。

Scarewareを科学する

Scareware は、コンピュータをマルウェアに感染させ、それを削除するための偽のウイルス対策ソフトウェアや技術サポートを販売する手法です。これらのタイプのドメインは、Microsoft など著名な企業を偽装することがよくあります。.science の gTLD から過去 2～3 日以内に、Microsoft を偽装する大量の Scareware ドメインが新たに発見されました。これらのドメインの一つを詳しく見て、投稿の最後にドメインの完全なリストを提供します。ドメイン名でURI / ow / en /を使用すると、大量の偽の Microsoft ページが表示されます。

http://security[.]microsoft[.]com[.]jfjaky[.]brightloyaltroutofenergy[.]science/ow/en/

「続行」をクリックすると、システムをスキャンするようなアニメーションが読み込まれます。 結果は、あなたのシステムが ransomware に感染していることを伝え続けます。

「Windows のダウンロードと修復」をクリックすると、ソフトウェアのインストール方法が指示されます。

これらのドメインを確認したところ、実行可能ファイルをホストするために使用していた場所ではダウンロードが行われず、400-bad request  で応答しました。

そのため、私は彼らのイメージをホストするために、彼らの html ソースを通して使用していたドメインをチェックアウトすることにしました。そして、globalsystools [.] com と実行可能ファイルをダウンロードできました。

表示された電話番号（1-855-332-0124）で Google 検索を行うだけで、「技術サポート詐欺」に関連付けられていることがわかります。

好奇心が強い方は、このソフトウェアをインストールした後、仮想マシンの CPU 使用状況を確認してください。

被害に遭わないために

これらのタイプの嘘、偽装、および scareware の戦術を使用してソフトウェアをインストールさせるような企業には、近づいてはいけません。技術サポート詐欺はこの種の偽装により巧妙に、信頼できる企業がサポートしているかのように人を欺きます。

これらのドメイン名の構造の一つを見てみましょう。

http://security.apple.com.abwxfmcxp.prehistorichelpfulmillipedeofsuccess[.]science

上記のURLにアクセスすると、prehistorichelpfulmillipedeofsuccess[.]science　というドメイン名のサブ ドメインにアクセスしています。サブ ドメインが正当なドメイン名 “security.apple.com”を形成しているように見えるかもしれませんが、それは人々を欺く手法です。トップレベル ドメイン（TLD）を確認してください。この場合 gTLD は .science です。

Cisco Umbrella では、ユーザを保護するために悪意のあるactorに対して継続的に取り組んでいます。 シスコのセキュリティ リサーチ チームは、アルゴリズム分類手法から特定の攻撃動向の脅威捜索に、多くの先進的な手法を活用しています。

Scareware .science domains:

security.apple.com.abwxfmcxp.prehistorichelpfulmillipedeofsuccess[.]science
security.apple.com.adyudcuae.fineweaselofmajorinfluence[.]science
security.apple.com.aqxqqkyn.provocativemindfulkittiwakeofteaching[.]science
security.apple.com.bkqzknz.cuterobuststallionofbrotherhood[.]science
security.apple.com.bmtqdrjbkk.elatedurbanearwigofexercise[.]science
security.apple.com.bsvclbypv.brightloyaltroutofenergy[.]science
security.apple.com.ctbuyz.outrageousmuscularoxpeckerfromvenus[.]science
security.apple.com.drevspdpjc.outrageousmuscularoxpeckerfromvenus[.]science
security.apple.com.erthx.hospitablerousingdugongofacumen[.]science
security.apple.com.etouw.hospitablerousingdugongofacumen[.]science
security.apple.com.fjeryuzbwpw.fineweaselofmajorinfluence[.]science
security.apple.com.fnizlv.fortunatescrupulouspythonofeffort[.]science
security.apple.com.fqnpfativv.fortunatescrupulouspythonofeffort[.]science
security.apple.com.gdwmqsmiie.provocativemindfulkittiwakeofteaching[.]science
security.apple.com.hbdkvpb.brightloyaltroutofenergy[.]science
security.apple.com.hjjkjb.prehistorichelpfulmillipedeofsuccess[.]science
security.apple.com.hlhoy.fineweaselofmajorinfluence[.]science
security.apple.com.hwujcl.hospitablerousingdugongofacumen[.]science
security.apple.com.ifcdpdkuu.cuterobuststallionofbrotherhood[.]science
security.apple.com.ixbdzvs.hypnoticflawlesshornetofeducation[.]science
security.apple.com.jizsindate.hypnoticflawlesshornetofeducation[.]science
security.apple.com.jlyyr.fineweaselofmajorinfluence[.]science
security.apple.com.lsujjp.cuterobuststallionofbrotherhood[.]science
security.apple.com.luzxwkkd.hypnoticflawlesshornetofeducation[.]science
security.apple.com.lxraws.hospitablerousingdugongofacumen[.]science
security.apple.com.mheltrsefo.hypnoticflawlesshornetofeducation[.]science
security.apple.com.mmlhkj.zippybananamantisofmerriment[.]science
security.apple.com.mostbknp.prehistorichelpfulmillipedeofsuccess[.]science
security.apple.com.nbrepqwp.outrageousmuscularoxpeckerfromvenus[.]science
security.apple.com.nlqavnjoh.prehistorichelpfulmillipedeofsuccess[.]science
security.apple.com.nolsesjp.fineweaselofmajorinfluence[.]science
security.apple.com.onuvfrdu.hospitablerousingdugongofacumen[.]science
security.apple.com.oqbtzqy.provocativemindfulkittiwakeofteaching[.]science
security.apple.com.otbmgbtude.hospitablerousingdugongofacumen[.]science
security.apple.com.otlwnof.hypnoticflawlesshornetofeducation[.]science
security.apple.com.pfmntiegue.zippybananamantisofmerriment[.]science
security.apple.com.pfvsatlr.cuterobuststallionofbrotherhood[.]science
security.apple.com.pryjozhhwy.hospitablerousingdugongofacumen[.]science
security.apple.com.puziy.brightloyaltroutofenergy[.]science
security.apple.com.reibkrrgiz.fineweaselofmajorinfluence[.]science
security.apple.com.sfvfkrmm.brightloyaltroutofenergy[.]science
security.apple.com.shmhvrtmsy.hospitablerousingdugongofacumen[.]science
security.apple.com.sjgkxvlgsp.prehistorichelpfulmillipedeofsuccess[.]science
security.apple.com.ssunzxztgoo.provocativemindfulkittiwakeofteaching[.]science
security.apple.com.swhuxuxf.provocativemindfulkittiwakeofteaching[.]science
security.apple.com.tbcaquciks.provocativemindfulkittiwakeofteaching[.]science
security.apple.com.uwjkbbzrg.fineweaselofmajorinfluence[.]science
security.apple.com.vpnwd.prehistorichelpfulmillipedeofsuccess[.]science
security.apple.com.wnirplrk.provocativemindfulkittiwakeofteaching[.]science
security.apple.com.wrdeymepqlu.outrageousmuscularoxpeckerfromvenus[.]science
security.apple.com.xagzsy.fortunatescrupulouspythonofeffort[.]science
security.apple.com.xbxos.importedfunkychipmunkofanger[.]science
security.apple.com.xgisckgbozs.hypnoticflawlesshornetofeducation[.]science
security.apple.com.xhbhtqtg.elatedurbanearwigofexercise[.]science
security.apple.com.xibbfw.outrageousmuscularoxpeckerfromvenus[.]science
security.apple.com.zdpazljrdta.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.anupvbmd.outrageousmuscularoxpeckerfromvenus[.]science
security.microsoft.com.bgkljlk.brightloyaltroutofenergy[.]science
security.microsoft.com.civtl.fortunatescrupulouspythonofeffort[.]science
security.microsoft.com.cnrihjfpfa.zippybananamantisofmerriment[.]science
security.microsoft.com.dwiopejz.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.ehezmg.brightloyaltroutofenergy[.]science
security.microsoft.com.eivru.cuterobuststallionofbrotherhood[.]science
security.microsoft.com.eoecxxzkwy.brightloyaltroutofenergy[.]science
security.microsoft.com.epvdser.hospitablerousingdugongofacumen[.]science
security.microsoft.com.fbximggl.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.geasgbuu.cuterobuststallionofbrotherhood[.]science
security.microsoft.com.goewrmp.hospitablerousingdugongofacumen[.]science
security.microsoft.com.gprfm.zippybananamantisofmerriment[.]science
security.microsoft.com.gqzvaa.outrageousvenomoussawflyofenthusiasm[.]science
security.microsoft.com.gzajkf.prehistorichelpfulmillipedeofsuccess[.]science
security.microsoft.com.gzqygkx.brightloyaltroutofenergy[.]science
security.microsoft.com.igaaiahtg.provocativemindfulkittiwakeofteaching[.]science
security.microsoft.com.imwyquutds.outrageousmuscularoxpeckerfromvenus[.]science
security.microsoft.com.iozqitj.brightloyaltroutofenergy[.]science
security.microsoft.com.iqptmrzhrj.zippybananamantisofmerriment[.]science
security.microsoft.com.iuvtfsup.fineweaselofmajorinfluence[.]science
security.microsoft.com.jdrrxwhqsx.zippybananamantisofmerriment[.]science
security.microsoft.com.jfjaky.brightloyaltroutofenergy[.]science
security.microsoft.com.jqvrkuhcq.provocativemindfulkittiwakeofteaching[.]science
security.microsoft.com.jubwmpg.prehistorichelpfulmillipedeofsuccess[.]science
security.microsoft.com.jzxsayc.zippybananamantisofmerriment[.]science
security.microsoft.com.kyrjzeblh.hospitablerousingdugongofacumen[.]science
security.microsoft.com.kyxpk.elatedurbanearwigofexercise[.]science
security.microsoft.com.ldnckbdh.zippybananamantisofmerriment[.]science
security.microsoft.com.lisoarx.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.lwbgk.zippybananamantisofmerriment[.]science
security.microsoft.com.lxhot.provocativemindfulkittiwakeofteaching[.]science
security.microsoft.com.mehjervjgwn.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.mjuwpxddbm.elatedurbanearwigofexercise[.]science
security.microsoft.com.mrjnb.stylishvoraciousiguanaofromance[.]science
security.microsoft.com.muwciv.hospitablerousingdugongofacumen[.]science
security.microsoft.com.mxkakvl.hospitablerousingdugongofacumen[.]science
security.microsoft.com.nclkgzsxbs.provocativemindfulkittiwakeofteaching[.]science
security.microsoft.com.oajlkumfv.fortunatescrupulouspythonofeffort[.]science
security.microsoft.com.ofimeyovg.brightloyaltroutofenergy[.]science
security.microsoft.com.ogsfrjbeoqb.zippybananamantisofmerriment[.]science
security.microsoft.com.oogjjknpjm.provocativemindfulkittiwakeofteaching[.]science
security.microsoft.com.pbwdrqlkgl.hospitablerousingdugongofacumen[.]science
security.microsoft.com.pftrsscvu.fortunatescrupulouspythonofeffort[.]science
security.microsoft.com.pioxrjnjycs.outrageousmuscularoxpeckerfromvenus[.]science
security.microsoft.com.pmdgwwjrrcj.elatedurbanearwigofexercise[.]science
security.microsoft.com.puvdcz.prehistorichelpfulmillipedeofsuccess[.]science
security.microsoft.com.pxyefct.provocativemindfulkittiwakeofteaching[.]science
security.microsoft.com.qrhqfr.fortunatescrupulouspythonofeffort[.]science
security.microsoft.com.reokwd.brightloyaltroutofenergy[.]science
security.microsoft.com.rkvsfv.outrageousmuscularoxpeckerfromvenus[.]science
security.microsoft.com.roknlrvgm.zippybananamantisofmerriment[.]science
security.microsoft.com.rtmtlngul.brightloyaltroutofenergy[.]science
security.microsoft.com.slhyn.fineweaselofmajorinfluence[.]science
security.microsoft.com.snaire.prehistorichelpfulmillipedeofsuccess[.]science
security.microsoft.com.spktyaegwts.zippybananamantisofmerriment[.]science
security.microsoft.com.tanbzwvzy.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.tmehevnn.hospitablerousingdugongofacumen[.]science
security.microsoft.com.tvhznnq.brightloyaltroutofenergy[.]science
security.microsoft.com.udgtg.fortunatescrupulouspythonofeffort[.]science
security.microsoft.com.udpeda.zippybananamantisofmerriment[.]science
security.microsoft.com.ukzilncqw.fineweaselofmajorinfluence[.]science
security.microsoft.com.umpcu.hospitablerousingdugongofacumen[.]science
security.microsoft.com.uvguuhcxobh.provocativemindfulkittiwakeofteaching[.]science
security.microsoft.com.vqnjqtnc.prehistorichelpfulmillipedeofsuccess[.]science
security.microsoft.com.vrqluu.hospitablerousingdugongofacumen[.]science
security.microsoft.com.wdwhnhw.prehistorichelpfulmillipedeofsuccess[.]science
security.microsoft.com.weplokyf.hospitablerousingdugongofacumen[.]science
security.microsoft.com.xorbcz.zippybananamantisofmerriment[.]science
security.microsoft.com.ykwrsc.outrageousmuscularoxpeckerfromvenus[.]science
security.microsoft.com.yogseycixas.fortunatescrupulouspythonofeffort[.]science
security.microsoft.com.ysfqmogqzho.fortunatescrupulouspythonofeffort[.]science
security.microsoft.com.ywfmassrron.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.zdjnc.cuterobuststallionofbrotherhood[.]science
security.microsoft.com.zfaaonnk.outrageousmuscularoxpeckerfromvenus[.]science
security.microsoft.com.zgijsg.elatedurbanearwigofexercise[.]science
security.microsoft.com.zmjajstvmid.hypnoticflawlesshornetofeducation[.]science
security.microsoft.com.znxfmr.elatedurbanearwigofexercise[.]science
security.microsoft.com.zpuszjzw.hospitablerousingdugongofacumen[.]science

The hosting IP of the domains, showing many more seen by Cisco Umbrella’s passive DNS data:

185[.]145[.]129[.]106

View of 185[.]145[.]129[.]106 in Investigate