Mirai IoT Botnet に手を加えたと推測されるマルウェアが話題に挙っています。
攻撃を受けた際のログやマルウェアの検体解析などから、Miraiのソースコードを改造し、Metasploit moduleを組み込んだものとみられています。
すぐに根本的な対応ができるわけではありませんが、IoT機器を悪用した攻撃が本格化してきたなぁ、といった印象がありますね。

　（参考）

• Port 7547 SOAP Remote Code Execution Attack Against DSL Modems
• New Mirai attack vector – bot exploits a recently discovered router vulnerability
• Mirai Tracker （おまけ）

また、これらの動きに拍車を掛けそうなのが、ダークウェブでのレンタルBotnetサービス動きです。以前からこれらのサービスは確認はされていましたが、今回の一件でより人気（？）がでるかもしれません。そうなりますと、一般的なところではDDoS攻撃による脅迫行為の増加などが容易に想像ができますので、新たなサイバーギャングらが新たに登場するのでしょう。サイバー空間内の脅威が次代へ移り変わっていることをヒシヒシと感じられますね。

しばらく目が離せない脅威であるとともに、攻撃を受けた際の対応を改めて考えさせられる一件であるように思います。

ではでは。

リオ五輪ですが開会式を明日に控え、熱を帯びてきていますね。
ブラジル（というより南米）といったら、サイバー犯罪が多いこともあるせいか、サイバー空間での盛り上がりも個人的には注目しています。
＃今のところ、被害報告などは特に何もありませんが・・・

こぢんまりとは、動きが出てきているようです。


攻撃としては、こちらのDDoSツールの使用を呼びかけていました。（現在、削除済み）
標的は五輪公式ページではなく、政府系のサイトのようです。



ハクティビズムによるものが殆どではないかと思いますが、動向が気になるところです。
＃日本は内閣改造による影響が、9.18でどの程度でるかが焦点かもしれませんね。。。

中国のハクティビストがベトナム空港のウェブサイトを改竄したとの報道がありました。併せて、ホーチミン市とハノイの空港のフライト情報表示画面とサウンドシステムが侵害をうけ、41万人以上の個人情報も窃取されたといいます。窃取されたと推測されるデータは、既にウェブ上で公開されていることが確認されていることから、データの内容の精査や事態の収束に向け関係者の懸命な対応が続いていると思われます。

参考URL
http://www3.nhk.or.jp/news/html/20160730/k10010614641000.html
http://www.yomiuri.co.jp/world/20160731-OYT1T50004.html
http://www.bbc.com/news/world-asia-36927674
http://tuoitrenews.vn/society/36243/alleged-chinese-hackers-compromise-hanoi-airport-system-vietnam-airlines-website

今回攻撃したグループは1937CNであり、ハクティビストとして知られています。過去に、日本に対しても過去に9.18の関係で攻撃していますので、次のような改竄画像を目にした方もいるのではないでしょうか。




さて、本件で非常に興味深いのは、通常ウェブサイトの改竄を主な活動としていた彼らが情報窃取を行ったとされる点です。今回改竄被害があったウェブサイトは航空会社だけではありません。と、いうよりも常日頃から攻撃を受けているような状況です。
この辺を考慮しますと、今回は明らかに標的に対する攻撃を強化しています。その背景事情は知る由もありませんが、中国ハクティビストの今後の動向が気になるところです。

日本においても他人事ではないようです。彼らは日本やインドに対しても警告をしていることから、政治や国際情勢によっては攻撃が強まることが予想されます。
今回の件を踏まえますと、その対象として交通機関などの社会インフラに関係する組織への攻撃が行なわれても不思議ではない状況といえそうです。
2020年まで少し時間があるように感じますが、その前に政治的背景に伴うサイバー攻撃が激しくなってくるかもしれません。彼らの動向から目が離せませんね。


（補足）
窃取されたとされるデータは、次の内容です。サイバーに限らず、なりすまし等のリスクが想定されますので、被害に遭われた方は一応の警戒が必要と思われます。

ID_NUMBER,FIRST_NAME,MIDDLE_INITIALS,SURNAME,DOB1,GENDER,
CREATE_DATE,EMBOSSED_NAME,STATUS_CODE,PREFERRED_LANGUAGE
,NAMING_CONVENTION,TITLE,SALUTATION,ADDITIONAL_TEXT,
BUS_COMPANY_NAME,INSTRUCTION,STREET_FREE_TEXT,ADDRESS_2,
ADDRESS_3,CITY_NAME,STATE_PROVINCE_NAME,POSTAL_CODE,COUNTRY_CODE,
ENROLLMENT_DATE,TIER,TIER_START_DATE,TIER_ENDS_DATE,NATIONALITY,
LIFE_AMOUNT,POINTS_EXP_DATE,POINTS_EXP_AMOUNT,
POINTS_AMOUNT,TMBQPER_AMOUNT,TMBQPER_START_DATE,
TMBQPER_END_DATE,TMBQPER_SEGMENTS,COUNTRY,NATIONALITY_CODE,
PASSWORD,EMAIL_ADDRESS,

３月頃から埋め込みオブジェクトを悪用した攻撃メールをちらほら見かけます。
Outlookユーザを狙った攻撃と推測され、Outlook 2010より古いバージョンなどでは添付ファイルのコピーをそのまま保存することができません。ドラッグ＆ドロップでは、偽装アイコンの画像ファイルのみが保存されることになります。そのため、標的ユーザはファイルの内容を確認するためについクリックしてしまうようです。



なお、Outlook 2013からのバージョンでは埋め込まれたオブジェクトのコピーを保存することができます。取り出してみると、おなじみの（？）ドキュメントファイルを装った実行ファイルであることがわかります。



ただ、埋め込みオブジェクトであるためか若干状況が異なります。EXEファイルでは先頭にあるはずのMZシグネチャが中央付近に確認できます。その上部には埋め込んだドキュメントファイルのパスが記述されています。つまり、単純にファイルシグネチャのみでファイルの種別を判定し、解析の実行有無を決定している類のセキュリティツールでは実行ファイルであることが認識できず、該当メールを見逃してしまう可能性があります。
＃現在、そのような製品があるかは未確認です。昔あったような・・・。




埋め込みオブジェクトを利用した攻撃は以前から存在しているものですが、APTで利用されたものは久しぶりに見ましたので報告させて頂きました。社内のサイバーセキュリティ訓練・演習や啓発活動に使ってみてはいかがでしょうか。

侵入後にPowerShellを悪用する事例が多く聞かれるようになりましたが、マルウェアの配送（メール、ウェブ経由）の際にも利用されているケースが出てきています。
まだ、多くは確認できていませんが、攻撃者にとって有用であることを考慮しますと、徐々に増加するものと予想されます。
現在のところ、その特性上のせいかウイルス対策ソフトによる検知率は芳しくありません。

下図のケースでは、ワードファイルを装ったショートカットファイルに細工が施されたもので、PowerShellを利用して外部の悪性サイトからマルウェアをダウンロードする仕組みになっています。



その他では、XLSファイルにPowerShellが埋め込まれているものを確認しています。
Windows 7 から標準搭載されているPowerShellは大変便利な拡張可能なシェルです。しかし、それ故に悪用も容易である事は想像に難くありません。
その点を考慮してかはわかりませんが、スクリプト・ファイル（.ps1拡張子）の実行はWindowsの標準設定では制限されています。
しかし、安心はできません。実は、以前から既に回避策は多数報告されています。これらの現状に鑑みますと、今後を見据えての対策を検討しておきたいところです。

参考URL:
15 Ways to Bypass the PowerShell Execution Policy
https://blog.netspi.com/15-ways-to-bypass-the-powershell-execution-policy/

2020年に東京オリンピック・パラリンピック開催が決定し、日本におけるサイバー攻撃対策も注目されています。そんな中、海外のセキュリティベンダーは日本への売込みに躍起になっています。
そんな状況を知ってか知らでか闇市場でのセキュリティベンダー（？）も、日本のセキュリティ関係者へ売込みを始めているようです。
その対象はサイバー犯罪者らへの売買だけでなく、セキュリティ研究者も対象としています。攻撃者は武器が増えますし、セキュリティ研究者もしくは担当者（CSIRTなど）は対策へ活用が可能な情報を得ることになりますので、どちらも顧客対象となるのでしょう。
その代表的のものがExploitコードを扱うセキュリティ屋さんです。例えば、次のようなメールで取り引きが始まります。


紹介しているExploitコードは別として、このメールは一部のセキュリティ研究者や担当者が関心を引く内容となっています。恐らく、記載のものを売るつもりではないのだと思います。
何通かメールをやり取りし、扱っている商品やメールの内容を総合的に判断すると、どうも彼は他で扱っている商品を転売しているようです。（二次代理店とは違いそうでした。）
ちなみに、そんな彼によればオススメは Flash Player と MS Office Word （2003 - 2013）とのこと。
昨今のサイバー攻撃傾向に鑑みますと、このあたりがオススメというのも頷けます。
もっとも、どの程度信用するのかは別の問題ですが。

サイバー攻撃者と研究者の狭間で扱われる情報には、度々興味深いものがあります。しかし、その多くは信頼度の判断に苦慮することが多いことも事実です。
このような状況の中、如何に信頼度の高いものを選別し活用していけるかが今後の日本のサイバーセキュリティ対策のポイントとなりそうです。

9月といえば、18日の中国からのサイバー攻撃が毎年恒例のイベントです。しかし、今年は静かなもので、特に目立ったウェブ改竄やDDoSなどの攻撃は確認できていません。
＃私の観測ポイントで確認できていないだけかもしれませんが・・・。

なお、他国のウェブサイトは戦後70年絡みでの改竄被害が多数出ています。


国内において9.18に関係した被害が確認できなかった要因として、今年は直近に靖国参拝や尖閣諸島などの政治的要素の強い報道がなかったことが挙げられるかもしれません。
なお、この政治的背景の観点では例年9.18サイバー攻撃を行っている一部の攻撃グループが、15日に安部首相が日・ベトナム首脳会談を行ったことに対して反応しています。



攻撃趣旨としては南シナ海の警備を支援するために巡視船や巡視艇を供与する方針を決めたことの対して物申したいようです。
＃こちらも大規模改竄といったものではありません。

ここ最近の攻撃傾向をみますとイベント的なサイバー攻撃は政治的なトリガーがなければ、大規模な攻撃は行われていない印象があります。
しかし、この手のイベント前は攻撃者らがチャット上で攻撃に関する議論を行っていることから、全く攻撃が無いとは言い切れません。
特にイベント的攻撃はDDoSのような一撃必殺的なものも予想されるため、対策準備をしないわけにもいかないのが悩ましいところです。

日本国内においては来年のサミット、2019年のラグビーW杯、2020年のオリンピックなどのビックイベントが控えています。その影響がどの程度あるかは不明ですが、今後益々のサイバー攻撃の増加が予想されます。その意味では、9.18サイバー攻撃は演習としても活用できますので毎年しっかりと対応していくことが重要になると思います。
たとえ何も無くても情報共有の枠組みやエスカレーションフローの手順などの再確認ができますので、良い機会かと思います。
と、いうことで来年も大規模攻撃は無いかもしれませんが、対策準備のひとつとして対応しては如何でしょうか。

情報窃取を目的としたボット”DiamondFox”が、クレジットカード情報を狙う犯罪者らの中で話題のようです。
（いろいろな意味で・・・）


　※マニュアルより抜粋

元々、情報窃取を目的としたクライムウェアであることから、認証情報やクレジットカード番号等を窃取するための機能が非常に充実していることが特徴です。

• Browser Password Stealer
• Instant Messaging Grabber
• KEYLOGGER
• Point-Of-Sales Grabber（RAM Scraper）
• EMAIL Grabber
• FTP Password Stealer

中でも機能面で興味深いのは、

• Bitcoin Wallet Stealer

を有していることで、顧客層を金融犯罪グループにターゲットを絞っていることが窺えます。

また、DDoS機能（HTTP flood / UDP flood）もあり、脅迫用と推測されます。
＃DD4BCのケースのような利用を想定。

こういった金銭目的のクライムウェアは以前から存在していましたが、ここまで多機能なものは殆ど見かけたことはありませんでした。容易に予想される脅威は、一台の端末から認証情報の他に仮想通貨やカード情報など根刮ぎ窃取する手口が横行するかもしれない、ということです。

特にメモリに対しての機能を有している点においては、今後の行く末が恐ろしい限りです。
クライムウェアの悪用はこれからも増加するとみています。これらが日本国内のサービス等に、いつ対応してくるかが焦点になってくるのではないでしょうか。
何かUG市場に動きがありましたら続きを書きたいと思います。

ではでは。

最近、ランサムウェアに関連する報告が続いています。私の周辺でも感染者がでる始末です。
ランサムウェアといえば、少し前まで主に英語、ロシア語圏のユーザを狙ったものでした。しかし、近年は日本語対応したものが登場するなど、犯罪者グループは世界中から金銭を巻き上げている模様です。
このようなランサムウェアを悪用した犯罪の流行の背景には、いくつか理由が考えられますが、ひとつはUG市場に関連商品やサービスが流通し始めたことが挙げられます。

例１）
下図はカスタムを行うための管理者画面付きでランサムウェアを売買している例です。表示画面等をカスタマイズが可能です。価格もリーズナブルですので、すでに買い手がついているようです



例２）
ランサムウェア生成サービスが登場しています。使い方は簡単で、振り込んで貰いたい金額（米国ドル）や、恐喝相手の名前等を入力するだけでオリジナルのランサムウェアが生成することができます。（src拡張子）
マルウェア自体はCryptoLockerとよく似た動作（標的端末上のファイルの暗号化）をしますが、被害者への状況説明等が殆どありません。
その意味では、サービス品質は高いとは言えないレベルです。
＃F-Secure での検出は確認しています。




これらのマルウェアを悪用した恐喝ビジネスは、姿形を変え今後ますます増加すると考えています。スマートデバイスを狙ったものも登場しており、標的デバイスのシフトも予想されます。もしかすると、オレオレ詐欺や振り込め詐欺のスマートフォン版等が登場するかもしれません。
＃例えば、盗んだSNSアカウントにより身内になりすますなど。
その点では、広い範囲での警戒が必要になってくるものと思われます。特に現在振り込め詐欺等の標的となっている世代や若年層に対しては、十分な啓発が必要になるのではないでしょうか。

ちなみに、現在マルチ言語対応のものは、サポート窓口に日本語で連絡をしても返信はありません。
被害ユーザを見かけましたら、
・決して金銭や電子マネーを振り込まない
・誘導先のサイトに設置されている復号サービス（ちゃんと動作します）を利用しない
（機微情報を含む業務ファイル等を提供することになるため）
などなど教えてあげてくださいね。

昨年よりVBAを悪用した攻撃報告が相次いでいます。2月にSANS ISCからも報告されていますし、Dridex Banking Trojan のような攻撃も報告されています。
＃当初はVBAの悪用に対して懐かしさを感じていました。
一時代前の状況との違いのひとつは、攻撃時のソーシャルエンジニアリング的な要素を強化したことが挙げられます。例えば、マクロを有効化しなければ文章本文が閲覧できないようにするなどです。

このVBAを悪用するトレンドは、アンダーグラウンド市場においても確認できます。
現在、複数のサイバー犯罪者向けのサービスプロバイダー（？）が確認されており、ほとんどがマクロに対応しているようです。
＃もっとも、ちゃんと取引が成立するのかは不明ですが。


                   　図　攻撃コード生成サービス例

約３年前頃と記憶していますが、マルウェア開発者コミュニティ間において、VBSによるマルウェア開発の依頼が記載された時期がありました。恐らく、その頃からVBSやVBAといったエンコード可能な言語による悪性コード開発の需要が高まってきたのではないでしょうか。そして、現在は一定の市場が出来てきたのかもしれません。
この辺の状況は悪性コードにも表れており、VBAがダウンロードする関連ファイルなどは非常に酷似しているものが多く確認されています。例えば、下図の場合は一部のパラメータなどが変わっているだけのものです。
＃エンコードはいずれもbase64を利用。
つまり、同一のツールもしくはサービスを利用して作成したものと推測されます。



既に報告された悪性コードだけでも複数種類あり、全てへの対策は中々骨の折れる作業となります。
また、従来よりも攻撃手口は複雑化しているため、単一のセキュリティソフトウェアだけで検出することも難しい状況です。そういった意味では、様々な観点から検知を試みる必要があるといえます。
ちなみに、独自でIOCなどのルールを記述する場合は、次の文字列の組み合わせが使えそうです。

■ダウンロード機能をYaraなどで検出する場合（例）
    strings:
        $a = "VBA"
        $b = "Root Entry"
        $c = "workbook_open" nocase
        $d = "GET"
        $e = "XMLHTTP" nocase
        $f = "WinHttpRequest" nocase
        $g = "adodb.stream" nocase
       
    condition:
        $a and $b and $c and ($d or $e or $f or $g)

＃中途半端な形での記載で恐縮ですが、使いやすい形にしてご活用ください（笑）

なお、私見ですがVBAやVBSの悪用は暫く続くものと推察しています。と言いますのも、いずれも被害報告が減る兆しが見えないことに加え、既知の攻撃ツールの開発が継続されているためです。
いずれも悪性コードの開発において自由度が高く、従来のセキュリティ対策に対して柔軟に対応可能であることが特徴です。そういった意味では、しばらくイタチごっこの状況となるのではないでしょうか。
近い将来、これらの課題も解決する日が来ると思います。それまではIOCをはじめとした脅威情報を活かすためのフレームワークを作ることが先決かもしれません。現在、世界ではこれらの取組み（STIXなど）がはじまっています。国内においてもそろそろ動き出す頃かもしれません。
その際は是非ご協力頂き、脅威情報など共有頂けると幸いです。

以前、リーガルマルウェアに関する記事を投稿させて頂きました。
その後、様々な調査をしましたが、リーク情報以外にこれといった収穫はありませんでした。

そんな中、とある日本国内のセキュリティイベントへ参加していた際に、見覚えのあるロゴが視界に入りました。
なんと、堂々と日本の関連機関へセールスに来ているではないですか！
中々このような機会はありませんので、早速日本式の挨拶をしまして、関係資料を頂きました。



複数のツールやサービスの紹介資料が同封されていましたが、中でも「Correlation & Data Intelligence」に関する資料は、
・コミュニケーションパターン
・行動パターン
・ターゲットに関する地理情報
・隠れた関係者の検出
・共通のコンタクトポイントの洗い出し
など、なかなか興味深いサービスが提供されていました。
（残念ながら、詳細な情報は記載されていませんでした。）

現在、日本市場はサイバー軍需産業だけで無く、政府向けソリューションベンダー等からも注目されています。
サイバー関連、通信傍受等の法改正が進む日本は、海外からは魅力的な市場に映るのかもしれません。
これらのツールは一般には犯罪捜査等に利用することを想定しています。（と、信じています。）
ただし、使用方法を誤りますと、これらの類のツールやサービスの利用は、私たち国民生活に対して様々な影響を及ぼす可能性があることは想像に難くありません。（様々な意見があると思いますが・・・）
そういった意味では、これらの市場の動向は今後も注目しておく必要がありそうです。

先週末あたりから、毎年恒例の9月18日に関する攻撃を確認しています。
覚えの無いコンテンツなどがアップロードされていませんでしょうか。
＃スクリーンショットの記載内容からすると、フライングの気もしますが・・・




現在のところ、確認されている幾つかのウェブサイトにおいては、Joomla! の既知の脆弱性が悪用されているように見受けられます。
また、攻撃対象に関してですが、特定のウェブサイトというよりは手当たり次第に改竄を行っている模様です。
＃DoS攻撃に関しては未確認です。

昨年は国内外において複数のウェブサイトが改竄が確認されましたが、その多くは攻撃対象リストに掲載されたウェブサイトでは無く、不特定多数に対してでした。今年も同様の傾向ではないかと考えています。

なお、攻撃グループにより攻撃手口は異なりますので、ウェブアプリケーションの他にFTPやSSHなども注意が必要です。併せて、自社サイトの検索エンジンによる検索結果に表示されてはマズい情報が無いか、などチェックされることをお勧めします。

ではでは、また何か動きがありましたら補足させて頂こうと思います。

【追記】
18日になりまして、一部の攻撃者グループが日本国内の複数ウェブサイトを改竄したことが確認されています。
現在も攻撃継続中のようですので、引き続きご注意ください。

9/9付けのトレンドマイクロ社のブログへの投稿でApple ID詐取を目的とした「フィッシングサイト構築キット」について報告されています。ちょうど、私も類似のキットをネットサーフィン中に発見しましたので便乗させて頂きたいと思います。
キットの内容や対策等は、トレンドマイクロ社の報告にお任せするとして、ここでは設置者について触れてみたいと思います。

現在、Apple ID等を狙った類似のキットの悪用は複数サイトで確認されています。その多くは”apple.zip” といったファイル名で設置されており、利用されている言語も様々です。恐らく、世界各国で悪用されているのでしょう。
いずれのキットも、トレンドマイクロ社の報告にあったように、認証なしで上位ディレクトリの情報が閲覧可能な設定となっていたウェブサイトに設置されていました。いくつかのウェブサイトはブラックリストに登録済みのものもあり、恐らく過去にフィッシングサイト等で悪用されていたものと思われます。



そんな中、これらのフィッシングサイト構築キットで目を引いたものがありました。
下図の$bilSndの箇所なのですが、情報の送信先のメールアドレスが記載されており、そのアカウント名に違和感を覚えました。というのは、そのスペルに覚えがあったからです。



どこで目にしたかおぼろげな記憶を頼りに、調べていくと見つかりました！
それは以前に、セキュリティ関連の教育動画のコメント欄で見たものでした。このユーザはクラッキングの動画に興味があるようで、しばしばコメントを残していました。また、あるSNSでも同名のアカウントを利用しており、同様の動画がリンクされていましたので、恐らく同一人物だと思われます。
時々、サイバー攻撃者の過去の戦績等がウェブで見つかることはありますが、このようにプライベートの活動履歴が残っているケースは稀です。（ワザとかもしれませんが・・・）
さらに、関連性のあるハンドルネームによるウェブ改竄のインシデントも報告されており、私見ですがこれも同一ユーザではないかと勘ぐっています。



また、彼は英語、アラビア語を使うことができるようです。どこの国のユーザか不明ですが、興味深い点ではあります。
残念ながら、現時点では彼が構築キットの設置者であるかは断定できません。しかし、少なくともフィッシングサイトから彼のメールアドレスに第三者の機微情報が送信されていた可能性は高いと言えます。そして、恐らく彼はプロのサイバー攻撃者では無く、他の攻撃事案を模倣して構築キットを設置したのだと推測します。理由のひとつとして、ソースコードが非常に単純で他の構築キットと比較すると少々物足りなさがあったためです。
まあ、彼の素性は兎も角とし、世界はiPhone 6 および Apple Watchの発表に喜々としています。この社会的背景を踏まえますと、さらに模倣犯が増大するとの見方が自然です。そういった意味では、Appleに関連付けたサイバー攻撃はこれからが本番かもしれませんので、引き続き注意しておく必要がありそうです。

ちなみに、私はMoto 360に興味津々です。。。

最近、世界各国でHackingTeamやFinFisherなど法執行機関等の利用が噂される遠隔操作ソフトウェアの話題が絶えません。いわゆる、リーガルマルウェアのことです。
専門の開発ベンダーの存在は以前より噂されていました。ここにきて、関係資料が流出するなどし、その実態が明らかになってきました。（元々は、WikiLeaksが発端だったと記憶しています。）
例えば、FinSpy Mobileのリリースノートには下図のように記載されています。




以前から捜査目的でのマルウェア（ポリスウェアなど）の利用に関しては賛否両論でした。国民の監視利用への懸念や、そもそもマルウェアの利用に対しての倫理感など課題は現在でもつきません。
しかし、現在ではこれらの課題は残しつつも、一部の国ではハイテク化する犯罪手口への対抗策として、これらのリーガルマルウェアが用いられているようです。（フォレンジック目的のようです）
日本ではどのような状況か知りませんが、少なくともカスペルスキー社によるHackingTeamに関する報告では、C&Cサーバが設置されていたとのことですので、他人事とは言い切れなさそうです。

さて、これらのリーガルマルウェアの特徴ですが、マルウェア単体の機能面はサイバー犯罪者が悪用するRAT（Remote Access Trojan）と同様です。解析結果を見れば、その内容は把握できるでしょう。（解析結果例）
ただし、提供されるソリューションは充実しており、マルウェアだけでなくExploitや証拠を検索するためのフォレンジック機能などが提供されているようです。FinFisherのブローシャーには、ソリューションの全体像が分かり易く記載されていますので参考になるのではないでしょうか。


参考：https://netzpolitik.org/wp-upload/FF_SolutionBrosch%C3%BCre_RZ_web.pdf


ちなみに、”リーガルマルウェア”っぽいな、と感じさせる箇所は次のようなところです。

（１）録音機能
FinSpy Mobileなどは最近のバージョンで追加された機能のひとつです。
マイクロフォンで拾った音声を記録します。



（２）SNS関連アプリケーションの情報窃取機能
HackingTeamのスマートフォン版に関しては、カスペルスキー社より次のアプリケーションより情報を窃取する機能が報告されています。（参考）

    com.tencent.mm
    com.google.android.gm
    android.calendar
    com.facebook
    jp.naver.line.android
    com.google.android.talk

Tencent（中国）とLINEが含まれていることを考えますと、アジア諸国も対象になっていることが容易に想像ができます。

これらの機能は、訴訟対応の際に利用することが想定されていると推測されます。例えば、犯人の人間関係を関連付ける証拠のひとつとして利用するなどです。このような機能は他のマルウェアにもあるものですが、窃取した情報の保全方法などはリーガルマルウェアならではの工夫があるのかもしれません。
＃訴訟時にこれらの方法で収集した情報が利用できるかは、国や州などの法律によります。

今後、このようなマルウェアの利用国が増えるかは分かりませんが、証跡の収集手法を法的に問わない国であれば採用するのではないでしょうか。特にスマートフォンやタブレットへは、証拠品に変化を与えることがタブーとされていた、従来型のPCへのフォレンジックとは考え方とは異なるため、その可能性は高いかもしれません。（既にスマートフォン向けのフォレンジックツールは、Exploitを利用することで管理者権限を取得し証跡を収集しているものがあります。）
このような状況を踏まえますと、今後もテクノロジーの進歩に伴い証跡の収集方法に関しての考え方は変わっていくと予想されます。

現在のところリーガルマルウェアは、一般的にはマルウェアの扱いです。
そういった意味では、我々はこれらの存在に対して注意を払う必要があります。
もし、このようなマルウェアがスマートフォンやPCから検出されましたら、あなたの行動や人間関係に興味のある組織がある、ということなのかもしれません。それはそれで、興味深いですね（笑）
何はともあれ、しばらく目が離せないテーマであることは間違い無さそうです。

CSIRT関連のコミュニティで知られるFIRSTカンファレンスへ参加してきました。
今年のキーワードの１つは「Information Sharing」でした。
昨今のサイバー攻撃の大規模化、および巧妙化が進んでいる状況を踏まえ、改めて注目を浴び始めているように思います。
興味深かったのは「Information Sharing」を情報共有というよりは、如何に鮮度の良い情報を出していくか、といったところに主眼が置かれていた点です。まずはインシデント情報をどんどん出していこう、といった意味合いでです。
これは何故かというと、ひとつのインシデントが一組織だけで解決しなくなってきた為です。
例えば、下図のように攻撃が複数組織に跨いで行われている場合、多くはそれぞれの被害組織毎に調査が行われるのが一般的です。しかし、サイバー攻撃の全容を知る為には各々の調査結果を合わせて分析が行われなければなりません。
しかし、残念ながら全容が解明されるケースは少ないのが現状です。理由は言うまでもありませんね。



では、各々の組織がインシデント情報をシェアする際にどのような情報があれば良いのでしょうか。
例えば、すぐに思いつくものでも次のものがあります。

     (1)攻撃元
     (2)CnCサーバ（IP / Location）
     (3)悪用された脆弱性
     (4)マルウェア
     (5)悪用されたメール（表題 / 本文 / 送信元）
     (6)被害内容
     (7)被害組織（業種）
     (8)攻撃者像
     (9)侵入後に利用された不正プログラム
     (10)タイムライン
などなど。

(1)-(4)までの情報は比較的シェアされるようになってきました。(5)は一部のコミュニティ間ではシェアされています。
しかし、それ以上の情報は素のままでは難しい場合があります。そこで、現在様々な取り組みが世界中で行われています。例えば、マルウェアの検体そのものの提供が難しい場合はYaraによるシグネチャを作成し配布する。マルウェア感染後はIOC（Indicator Of Compromise）を用いるなどが代表的です。
また、(6)-(10)に関してはストーリー化することで機微情報をぼかしてシェアするなどの方法を取っているところもあるようです。但し、やはり情報が荒くなってしまいますため詳細な分析結果を得ることは難しいのが現状です。
インシデント情報のシェアはまだまだ試行段階ですが、必要性の高いジャンルだと思います。
ちなみに、カンファレンス参加者とインシデント情報を交換した際に言われましたのは、日本を狙った攻撃の一部は世界からみると特殊だとのことです。そういった意味でも国内においてもインシデント情報をシェアするためのフレームワークが必要な時期が来たように思います。
Information Sharingを必要に迫られている組織、個人が徐々にコミュニティが立ち上げつつありますので、その際は是非参加してみてください！

ここ数年で最悪の脆弱性と言われているOpenSSL Heartbleedですが、そろそろ脆弱性への対応を終え、ホッと一息いれている組織も多いのではないでしょうか。
＃Shodanで確認する限りでは対応が追いついていないところがあるようですが・・・
また、個人レベルではSNSやクラウド・ストレージなどのパスワード変更も忘れずに実施しておきたいところです。

参考：
The Heartbleed Hit List: The Passwords You Need to Change Right Now
Heartbleed Bug Health Report [追記]

さて、既に報道などでの報告の通り、今回の攻撃はサーバ上のログなどには痕跡が残りません。そこで、iptablesなどによりログを残すように設定しておくことで攻撃ログを収集しておくと何かと安心です。
一部のバーチャルプライベートサーバ（VPS）やレンタルサーバではiptablesなどでアクセス制御していることがあると思います。そのような場合においても利用できるのではないでしょうか。
＃根本的な対策ではなく、あくまで攻撃検知という意味で。

iptables log rules

iptables -t filter -A INPUT  -p tcp --dport 443  -m u32 --u32 "52=0x18030000:0x1803FFFF" -j LOG --log-prefix "BLOCKED: HEARTBEAT"

iptables block rules

iptables -t filter -A INPUT  -p tcp --dport 443  -m u32 --u32 "52=0x18030000:0x1803FFFF" -j DROP

参考URL:
http://www.securityfocus.com/archive/1/531779/30/0/threaded


snort / Suricata rules
OpenSSL ‘heartbleed’ bug live blog
Detecting OpenSSL Heartbleed with Suricata

Honeypot（おまけ）
http://remember.gtisc.gatech.edu/~brendan/honeybleed.patch
http://packetstormsecurity.com/files/download/126068/hb_honeypot.pl.txt


ご参考まで。

最近、ダークウェブ（匿名化技術などを利用したウェブサイト）の話題をチラホラ見かけます。
Silk Roadの運営者の逮捕、BitCoin事件などありましたので、法執行機関やセキュリティ研究者がダークウェブが注目するのは当然かもしれません。

FBIがダークネット界の重鎮「Silk Road」の運営者を逮捕、Bitcoinが一時暴落

以前からダークウェブは悪の温床となりつつあることが囁かれていました。しかし、実際にどの程度の隠しサービスが存在するのか、あまり気に留められていなかったように思います。
最近では、Tor上でマルウェア用リソースなど900のサービスが稼働していることが確認され、サイバー攻撃に悪用されていることが報告されました。

Number of the week: an average of 900 online resources are active on TOR daily
Tor hidden services – a safe haven for cybercriminals

この辺は予想通りであり、サイバー攻撃がさらに匿名化してる、くらい受け取られてしまうかもしれません。しかし、実際はこれだけではなく、さらに多くのサービスがダークウェブ上に移行しています。
ブラックビジネスそのものがグローバル化し、営業行為としてダークウェブを利用しているわけです。
一般にはあまり馴染みの無い世界かと思いますので、現在どのようなサービスが主に移行されているのか一部を紹介したいと思います。

（１）マネー・ロンダリング、ブラック銀行など
BitCoinの事件以降、これらのサービスは注目されていますね。




（２）ギャンブル
ギャンブルサイトも昔からあったサービス。どのくらいの金額が動いているのかは分かりません。




（３）武器売買
一部、テロ支援などもダークウェブへ移行しつつあります。
この辺は関わりたくないですね。



（４）偽造関係
SuperDollars ？？ なんでしょうか、これは？？




（５）AXXXXXXX
ノーコメントで。





ちなみに、ダークウェブがハッキング被害に合うこともあります。
この場合は、利用者のリストはどうなるんでしょうか？？法執行機関へ提供とかでしょうか？？




このようにサイバー攻撃とは離れた分野においても、ダークウェブが利用されるようになってきています。
国境を超えてのやり取りが殆どでしょうから、対策には国家間連携、情報共有などがさらに重要になってきます。
この状況下で各国がどのように対策案を出してくるのか、大変興味深いところですね。

最近、BlackPOSなどのPOSマルウェアのニュースをよく目にします。
これらのマルウェアはMemory Scrapingという手法を利用していることで知られています。
端的に説明しますと、メモリ上に記録されている情報を窃取する手口で、Zbot、CitadelなどのBanking TrojanやKeyloggerなどでもしばしば利用されているものです。

参考URL：
Point-of-Sale and memory scrappers

メモリ上には、暗号化されているような機微情報（パスワードやカード情報とか）もクリアテキストで記録されていることが多々あります。例えば、Banking Trojanなどが狙うようなオンラインバンクのログオン情報であれば、大抵はウェブブラウザのプロセスのダンプを調べれば該当の情報が得られます。



POSマルウェアの場合はクレジットカードやデビットカードの情報を窃取することが目的です。あるマルウェアの場合は、次ような正規表現を用いて情報を抜き出しています。
＃これはそのままIDS、DLPなどのルールとして使えそうですが、パフォーマンスに影響しそうな長さですので少し工夫が必要です。

(((%?[Bb`]?)[0-9]{13,19}\^[A-Za-z\s]{0,26}/[A-Za-z\s]{0,26}\^(1[2-9])(0[1-9]|1[0-2])[0-9\s]{3,50}\?)[;\s]{1,3}([0-9]{13,19}=(1[2- 9])(0[1-9]|1[0-2])[0-9]{3,50}\?))

カードに関係する文字列：
　　・[0-9]{13,19} --- クレジットカード番号
　　・[A-Za-z\s]{0,26}/[A-Za-z\s]{0,26} --- カード名義
　　・(1[2-9])(0[1-9]|1[0-2]) --- YYMM（2012年〜2019年）
　　・[0-9\s]{3,50} --- CVC / CVV

このようにメモリへアクセスするための権限さえあれば比較的容易に情報を得ることができてしまいます。その点では、組み込みOSやファイルサーバなどでAdministrator権限などで動作しているシステムは要注意というわけです。
もっとも、このような権限で動作しているシステムは、他の攻撃に対してもリスクが高いことは言うまでもありませんが。。。

メモリ上の情報を狙った攻撃は、根本的な解決策が出てくるまでは暫く続くとみています。というのも、標的のシステムの環境がある程度限定されていますし、攻撃者は無理にマルウェアを作成しなくても実現可能な攻撃ですので、見えないところで被害が発生し続けるのではないか、と思いました。
また、日本での被害情報は今のところ耳にしていませんが、ちょうど４月にWindows XPのサポート切れですし、そろそろかなぁ、と勘ぐっています。POSシステムを狙った攻撃は2010年前後からですので、そろそろ日本国内のシステムを狙ってきてもよさそうな時期ですよね。

このような攻撃は、メモリ上の情報を暗号化する仕組みが標準となるような時代がこなければ無くならないかもしれませんね。もっとも、そのような技術が普及すると、フォレンジック解析者らも攻撃者と同じ悩みを持つことになるわけです。困りましたね。

最後にPOSマルウェアに対しての対策はこちらの情報が参考になりそうですのでご紹介しておきます。

参考URL:
What retailers need to learn from the Target breach to protect against similar attacks

POSシステムに限った話でもありませんので、参考になると思います。

雑文、失礼しました。