マルウェア

パンプキン スパイスの効いた Locky

これまで登場した暗号化ファイルの拡張子には、.locky、.odin、そして .zepto がありましたが、最悪なことに .shit を暗号化ファイル拡張子として使用する Locky が登場しました。

続きを読む

MBRFilter で、もう触れさせない!

MBRFilter は、感染の過程でマルウェアによって簡単に無効化されたり、削除されたりしないように、簡単に削除できない構造になっています。

続きを読む

LockyDump – 君たちの構成は全ていただいた

Locky は 2016 年 2 月の出現以来、進化し続けており、拡散方法やさまざまなマルウェア自体の特性の変化によって、追跡が困難になっています。

続きを読む

マクロを介した侵害：Office の防御を回避

このブログは、Matthew Molyett が Martin Lee と共同で執筆しました。

続きを読む

SWIFT スパム キャンペーンに swift（迅速）な対応を！

執筆者：Warren Mercer 概要 Talos は Zepto ランサムウェアの増加を確認し、その拡散方法がスパム メールであることを特定しました。Locky/Zepto は依然としてよく知られたランサムウェア タイプであるため、Talos はスパム メール キャンペーンを注視しています。直近の 4 日間で、137,731…

続きを読む

注目の調査：Qbot の復活

この投稿の執筆者：Ben Baker Qbot（Qakbot とも呼ばれます）は、少なくとも 2008 年には出回っていましたが、最近になって開発や使用が急増しています。現在の Qbot の主なターゲットは、銀行取引のクレデンシャルのような機密情報になりつつあります。このブログでは、一般にはまだ知られていないこのマルウェアの最近の変化について報告します。 Qbot の主な感染手段は、ブラウザのエクスプロイト キット内のペイロードの形を取ることです。Web サイトの管理者は自分のサーバへのアクセスに FTP を使用する場合が多く、Qbot は FTP のクレデンシャルを盗み、これらのサーバにマルウェアをホスティングするインフラストラクチャを追加しようと試みます。Qbot は SMB を使用して拡散する場合もあります。このため、保護されていないネットワークから…

続きを読む

注目の調査：わずかな小銭で不正が可能

執筆者：Tazz 概要 2 月末に、チームの調査員の 1 人が、ドメイン再販業者から 1 通の勧誘電子メールを受信しました。調査員はその電子メールを 3 月の第 1 週に閲覧しています。この電子メールは Namecheap から送信されたもので、88 セントという破格の値段でドメインを販売していました。電子メールは、これ以上ない皮肉なタイミングで届きました。というのも、マルウェア/フィッシング/スパムに関係のあるドメインの集団とその価格との間に何らかの関係があるかを究明する調査をしていた時期とちょうど重なったのです。この記事では、格安のドメインと不正な活動との関係について説明していきます。この記事中に出てくる「悪意のある」という言葉には、マルウェア/フィッシング/スパムに関する活動が含まれています。

続きを読む

TeslaCrypt 3.0.1 – 暗号化の仕組み

執筆者：Andrea Allievi、Holger Unterbrink 概要 ランサムウェアとは、ユーザのファイル（写真、ドキュメント、音楽など）を身代金目的で暗号化し、その復号のために金銭を要求する、悪意のあるソフトウェアです。ユーザは一般的に、電子メールのフィッシング キャンペーンやエクスプロイト キットを通じてランサムウェアの被害を受けます。TeslaCrypt…

続きを読む

SamSam：治療は身代金を支払った後で

Cisco Talos は、Samas/Samsam/MSIL.B/C ランサムウェアの亜種を利用して広まっている攻撃活動について現在調べています。ほとんどのランサムウェアとは異なり、SamSam はフィッシング攻撃やエクスプロイト キットが利用するような、ユーザを意識した攻撃ベクトルからは起動されません。この特別なファミリは、侵害されたサーバを介して拡散しているようです。そしてそのサーバを足場としてネットワーク中を移動し、別のマシンを侵害します。侵害されたマシンは身代金のために拘束されることになります。なお、医療業界が重点的に攻撃されているようです。 攻撃者は JexBoss（JBoss アプリケーション サーバの開発/テスト用オープンソース ツール）を利用してネットワークに足場を築いていると思われます。一旦ネットワークにアクセスできれば、攻撃者は SamSam を使用して複数の Windows システムの暗号化を始めます。 技術詳細 システムに侵入すると、サンプルは…

続きを読む

ウクライナにおける制御系システムへのサイバー攻撃

2015 年 12 月 23 日、ウクライナ西部で、電力供給会社数社が同時にサイバー攻撃を受け、およそ 80 万世帯で 3 時間から最長 6 時間程度の停電が発生しました。攻撃手法は、マルウェアを含む添付ファイル（Microsoft の Excel ファイル）をメールで送信するスピアフィッシング攻撃で、攻撃者はウクライナ議会の議員に偽装してメール配信をしていたと見られています。 この事件については、すでに様々なセキュリティベンダーや研究機関から状況分析の情報が流れていますが、最新の分析情報によると、マルウェアの感染が停電の直接的な原因ではなく、攻撃者による遠隔から何らかの作用によって停電が発生したと考えられています。ただし、マルウェアの感染によって SCADA（監視制御システム）のサーバ ファイルが削除されたと見られることから、停電に至る一歩手前の状況をマルウェアが引き起こしたのは間違いないようです。SCADA からの制御信号を受け取るフィールドの開閉機は、フェイルセーフ機能が具備されているはずですから、ひょっとしたらマルウェアがファイルを削除したことで制御信号は途絶えたが、開閉機側が（信号断の状態であっても）通電を保持するように制御したために、それ自体では停電しなかったのかもしれません。 実はこのとき、同時に電力会社のコールセンターに対して

続きを読む