IC3（the Internet Crime Complaint Center、米国インターネット犯罪苦情センター）の「2015 Internet Crime Report」を通読するのに、1日のある時間を費やしたが…、数値に目を見張る。2015年にIC3が受理した苦情は288,012件で、10億ドル超の損失があったと報告されている。
ホットな話題は？BEC（Business Email Compromise）、EAC（Email Account Compromise）、ランサムウェアだ。
明るい話題（もしあるとすれば）としては、人口統計によればインターネット上の犯罪では格段の性差別や年齢差別があるようには見えないことだ。
誰の金であろうと構わないのだ。
今年のアドビ関連のCVEセキュリティ脆弱性は、2015年のレベルを上回り着実に増加している。cvedetailsのデータを調べると、今までのところ、2016年は2015年の51%の件数がある。今はまだ5月なのに。
2015年はコード実行の脆弱性が大豊作の年だった（335件）。
この傾向は2016年も繰り返されている。
そして脆弱性の宝庫となる原因になった製品はなんだ？Flash Playerだ。もちろん。
アドビは、我々と同様、早く2017年になることを切望しているに違いない。
今月初め、 Avira社の研究者が暗号化ランサムウェアLockyの配布ネットワークを発見した。あるグレーハットのハッカーによりハッキングされていたものだ。あたかもLockyを邪魔するための行動のように、そのハッカーはペイロードを12バイトのテキストファイルに置き換えた。テキストの中身は「Stupid Locky」というメッセージだった。
当社スレットインテリジェンスチームの研究員Paiviが本日、同様のグレーハットによるハッキングの証拠を発見したが…、メッセージが新しくなっていた。
PaiviがテストしたJScript（.js）の添付ファイルは、公共広告を試みる、このようなものを出現させた。
Emails attachment？このグレーハットは、英語を第2言語として用いているような感じがする。しかしこれはいい。公共広告における、初のまともな試みだ。ただ、これの関係者の方へ一言アドバイスを…。
できたらバイオハザード記号をピースサインのような別のものへと置き換えられないだろうか。パニックは、長期的に人々を啓蒙する助けとはならない。バイオハザード記号を目にすると、ただ単に対象者の注意を引くというよりは、むしろパニックを誘発しそうだ。
そして、いかに多くの人が「malicious file（悪意のあるファイル）」とは何かということを理解していないことに、あなた（訳注：前述の関係者）は驚くかもしれない。できれば次のような内容で検討してほしい。
コンピュータウィルスをクリックしたために、あなたはこのメッセージを読むことになりました。しかし私（あるいは私たち？）がハッキングしたため、あなたがハッキングされることはありません。次回はこのように幸運ではないかもしれません。 今後はもっとお気を付けください。
先週の報道のとおり、GoogleのChromeブラウザの背後にいる開発チームは、2016年第4四半期中にHTML5をデフォルトとする計画を立てている。
GoogleのテクニカルプログラムマネージャーであるAnthony LaForgeは次のように述べている。
「Chromiumでは今年中に、Navigator.pluginsとNavigator.mimeTypesのデフォルトの応答を変えることにより、Flash Playerの存在をWebサイトに通知する方法の変更を予定しています。もしWebサイトがHTML5のエクスペリエンスを提供しているのなら、この変更によってHTML5が第一のエクスペリエンスになるでしょう。当社は引き続きChromeと共にFlash Playerを提供していきます。もしWebサイトで本当にFlashが必要な場合、ユーザが最初に当該サイトを訪れたときにページの最上部にプロンプトが現れ、そのサイトでFlashを許可するかどうかユーザに選択肢が与えられます」
Google ChromeがほどなくAdobe Flashの廃止へと向かうであろうことを、今年すでに私は当社の2015年の脅威レポート上で予言していた。
そして、MozillaとMicrosoftもこれに続くだろう。これでワンアウト、あと2つだ…。
脅威レポートから該当の記事を再掲する。
マルウェアによるエクスプロイトがコモディティ化して10年は経つ。2006年の間は特に顕著だったので、情報セキュリティのアナリスト達の間で、マイクロソフトの月例パッチ公開日「Patch Tuesday」の翌日を「Exploit Wednesday」と冗談めかして呼ぶようになった。迅速に対応することが、成功の鍵だ。火曜日にマイクロソフトが更新をリリースすると、その根底にある脆弱性を発見するべく、即座にリバースエンジニアリングが行われる。そして脆弱性が判明するとすぐにマルウェア攻撃で使用するためのエクスプロイトが作り上げられる。これはまだ更新していないユーザを攻撃することを目的としている。
マルウェアキットの出現により、2006年遅くにマルウェアのコモディティ化はさらに進んだ。MPackのような初期のキットは、ますます増加する要求を満たすほど迅速に拡張ができず、それら自身の成功の餌食となった。しかしそのような成長の痛みは、マルウェアサービスによって間もなく解消され、今日では闇市場に多数のエクスプロイトキットがある。
Exploit Wednesdayはもう終わった。マイクロソフトのソフトウェア[1]は10年前と比べ物にならないくらいセキュアになり、パッチもはるかに迅速に公表される。エクスプロイトキットは、マイクロソフトからアドビへと移行した。Acrobat Readerは（Flashも）一時期は最大の標的であった。しかしブラウザがネイティブにPDFをサポートし始めて、Acrobat Readerはほぼ不要になりつつあった。アドビ社は強力な更新サイクルを適用し、同社ソフトウェアは一時的に危険な状況から脱した。その次は、Javaのブラウザプラグインが標的として好まれるようになり始めた。群れの中の一番弱い者だからだ。ブラウザの開発者たちは、程度に差はあれ、極めて制限のある場所へとJavaプラグインを押し込めた。
そして現時点では…、今でもエクスプロイトキットの標的となっているプラグインでは、アドビ社のFlashが最後で「最良」だ。しかし、どれだけ長い間、そうなのだろうか？
2010年4月29日、スティーブ・ジョブスは「Thoughts on Flash（Flashについての考察）」という公開書簡を示した。ここでは、なぜアップル社がiOS機器上でFlashを許容しないのかについて説明がなされている。少なくともモバイル端末上では、その時がFlash Player終焉の始まりだと数多くの技術アナリストが指摘している。この指摘は真実だと証明された。2012年6月28日のアドビ社のアナウンスでは、Android 4.1向けの公式なFlash Playerの実装は提供せず、また2012年8月15日以降はGoogle Play経由でのインストールが制限されることになるだろうとのことだった。[2]
それ以来Flashはデスクトップ市場にしがみついているが、見渡す限り非推奨になっている。2015年8月にはアマゾンが「2015年9月1日以降、Flash広告を受け付けない」と発表した。グーグルは2016年2月にアマゾンの先例に従った。グーグルの広告ネットワークであるAdWordsとDoubleClickも、2016年6月30日以降、Flashベースの表示広告の受け付けを停止する。また2017年1月2日には、Flashベースの広告を無効にする。
この時点で、私は2017年前半のことを次のように予測をたてることができる。Flashベースの広告のサポートがもはや必要でなくなれば、Google Chromeブラウザは積極的にユーザが任意の種類のFlashを要求するサイトをホワイトリスト化するように求める。MozillaのFirefoxやMicrosoft Edgeでも同様になるだろう。そして2017年の春までには、エクスプロイトキットが憂慮される限りFlashは効率的に馘首されることになる。
目に見える新たな果実がろくに無いという、破壊的な未来にエクスプロイトキットは直面している。コモディティ化されたマルウェアサービスは、現在流行中のマクロベースのマルウェアのような、添付ファイルのマルウェアの使用へとさらに転換するだろう。
人々がダイアログを消すために「OK」をクリックするのを防ぐことができさえすればいいのだが。
[1] Silverlightは全面的に例外で、現在キットとして悪用されている。だが、NetflixはSilverlightをお払い箱にしており、願わくば同技術もすぐに絶滅するだろう。
[2] 皮肉なことに、Androidマルウェアの多くのやり取りは、Flashの更新が必要だと主張する、虚偽の広告経由でプッシュされる。Flashが存在しない場合でも、その遺産がソーシャルエンジニアリング上の脆弱性をもたらすことになる。グーグルの検索エンジニアたちは、そのような広告を表示するサイトについてChromeが警告を行うように設計し始めている。
幾多のスパムキャンペーンで、添付されたzipファイルを経由でさまざまな暗号化ランサムウェアファミリー（とバックドア）が送り込まれている。そして典型的には、このようなzipファイルにはあるJScriptファイル（jsまたはjse）が含まれている。もしこれをクリックすると、Windows Script Host経由で実行される。
よろしいだろうか。Windowsのレポジトリを編集して、Windows Script Hostを無効にしよう。
レポジトリキー（フォルダ）は以下だ。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings
「Enabled」という名前で新たなDWORDの値を作成し、値のデータを「0」にセットする。
その後jsファイルをクリックすると、以下を目にすることになる。
脅迫文を見るよりもマシだ。
2016年4月20日更新：代わりにHKEY_CURRENT_USERを使うのでも良い。
上級研究員のヤルコ・ツルクレイネンが、暗号化ランサムウェアPetyaに関する彼の分析を継続している。今回は、2本の動画という形だ。
Debugging Petya bootloader with IDA – 「この動画では、x86リアルモードのような珍しいプラットフォームをデバッグする強力な技術を示している。」
（訳注：動画は原文の記事へ）
Petya ECDH key exchange – 「今度は滑らかなボサノバに乗せて、楕円曲線暗号を楽しく体験できる！」
（訳注：動画は原文の記事へ）
2015年12月、ロン・ワイデン米国上院議員はFBIに対し、暗号化ランサムウェアに関する情報を求める書簡を送った。これについては、この記事で書いた。その後、何週間か前に私は検索したのだが、FBIの回答内容を見つけ出せたのは、politico.comのペイウォール（paywall、支払いの壁）の向こう側だけだった。
そんなわけで私は、このことをワイデン上院議員のTwitterアカウントにつぶやいた…。すると同氏の広報担当者が、FBIの書簡へのリンクと共に返答をくれた！（Twitterはこのようなことに長けている）
ワイデン上院議員の質問のうちもっとも重要なものの1つは、FBIは「ただ身代金を支払うように（just to pay the ransom）」と人々にアドバイスしているか、というものだ。
公式回答は、FBIは支払うべきか否かをアドバイスしていない、だ。しかし被害者が予防措置を取っていなかったら…、ファイルを復旧するために残された選択肢は支払いをすることだけだ。
以下に全6ページの回答がある。
ワイデン上院議員宛てのFBIの書簡 [PDF]
「Maktub Locker」と自称する、新たな暗号化ランサムウェアファミリーが出現した。Maktubとは「書いてある」という意味のアラビア語だ。
セキュリティ研究者のYonathan Klijnsmaが、本日これまでに当該ランサムウェアについてツイートした。
（訳注：「『MAKTUB LOCKER』という新手のランサムウェアが、現在メール経由で拡散されている。暗号化する際にC&Cと通信しない」という意味）
私はMaktubの支払い用の入り口のグラフィックデザインをちょっと見たのだが…、残りも見ずにはいられなかった。
以下はステップ4で表示されるものだ。
普通じゃない。
不満を持ったグラフィックデザイナーなのか？
残りの画像を以下に挙げる。
当社の顧客のアップストリーム検知レポートに基づくと…、どうやら3月13日にLenovo関連のWebサイトが侵害されたようだ。ある期間（比較的短期間）、ポータルサイト「startpage.lenovo.com」を訪れた人が、悪名高いAnglerエクスプロイトキットにリダイレクトされていた。少なくない量の暗号化ランサムウェアの発生源だ。
そのため侵害が一定期間内に限られていたとしても、その影響は重大だろう。日曜の夜に、このサイトへのトラフィックが多くなかったのであればいいのだが。
今回の注目すべきアップストリームレポートで検知されたのは、Exploit:JS/AnglerEK.Dだ。Anglerの最近のペイロードはTeslaCryptである。そして当社ではこれをTrojan:W32/Rimecud.A!DeepGuardおよびTrojan:W32/TeslaCrypt.X!DeepGuardとして検知する。
個人的には、私は「スタートページ」にポータルは使わない。私の場合、about:blankが好みだ。
ある思考実験をしてみる。
現在進行形のあの問題…。
アップル社 vs FBI
米司法省は全令状法（All Writs Act）を行使し、アップル社に対し「FBiOS」、つまり特定のセキュリティ制御を省いたiOSの修正版を開発すべく命じるよう、連邦裁判所判事に求めた。アップルはFBiOSにデジタル署名するように求められている。この件は現在議論されている。
その次には？
FBiOSの機能の拡張
司法省は全令状法を用いて、使用中のスマートフォンの盗聴機能を含めるべくFBiOSの開発を拡大しようとするだろう。同様に、FBiOSのAndroid版（別名GovtOS）を作成する令状も追加する。
盗聴権限を拡大するための法律を制定
連邦議会はスマートフォンの盗聴を支援する法律を通過させることもあり得る。スマートフォンの製造企業にアップデートチャネルを通じてFBiOS盗聴エディションをプッシュするように要求するのだ（正当な捜査として）。
未来へようこそ。
この時点で…。
全面的に侵害可能になったクライアント側のプラットフォームでは、もはや「隠されたもの」など無い。
エンドツーエンドの暗号化アプリでは？問題無い。この盗聴機能は、UIやキーボードなどから内容を取得するだろう。
つまり、伝送中のデータは完全に暗号化されたままだが、この時点ですべてのスマートフォンに盗聴される可能性があることになる。OSを自分でコンパイルして（または信頼のおけるソースからインストールする）、アップデートチャネルの制御を維持する場合を除けば、だ。FBiOSの盗聴機能を複数の国の政府があまりにも簡単に悪用することは、歴史が示している。
結論としては…アップル社 vs FBIの一件は、ただ1台のiPhone 5Cからはるかに超えた事態を引き起こす。
思考実験終わり。
ティム・クック、あなたを称賛する。
あなたのデバイスのOSに最新のセキュリティアップデートを適用することは、セキュリティの基礎となるベストプラクティスだ。最新バージョンのOSを実行しているのでなければ、自身のデバイスを潜在的なエクスプロイトにさらけ出していることになる。
以下は、Apple社のiOS 9の適用率をグラフにしたものだ。
逆転している。iOS 9は2015年9月16日にリリースされてから、極めて速やかにiOS 8に取って代わり、全装置中で大多数を占めるようになった。
以下のグラフは、Google社のAndroid OSの適用率である。
影も形もない。Android 6.0である「Marshmallow」は2015年10月5日にリリースされたのに、いまだ「Other」に分類されている。Google自身の数字によれば、Androidの最新版は分布の1.2%を占めるのみだという。Android機のおおよそ7割は、いまだにKit-KatまたはLollipopを実行している（両者とも、既知のセキュリティ上の問題や脆弱性がある）。
Marshmallowのリリース後も、Lollipopは市場シェアを伸ばしてさえいるのだ。
これは残念なことだ。なぜなら、Android 6.0 Marshmallowは流行りのAndroidマルウェアに対し防御力が高いからだ。
crashsafari.comへのショートリンクが急速に広まってから、1週間がたった。そしてついにGoogleは、もっとも広まったリンク（goo.gl/78uQHK）を無効にした。
Googleの利用規約を違反したとしてこのショートリンクが無効にされるまで、75万回以上のクリックがあった。
ただし…、他のショートリンクは引き続き機能している。とはいえ、クリックは確実に減っている。
依然アクティブなものがあるのはなぜだろうか？これらの口コミで広まったリンクを無効にするのを遅らせているのは、何なのか？参照元（Referrer）を詳細に見てみよう。
おおよそ8割のクリックは「未知（unknown）」のソースからとなっており、大半のクリックでは参照元の情報が取り去られている。今回のケースで未知のソースとは、高い確率でiMessageやWhatsAppといったプライベートメッセージングアプリのことだろう。両アプリはエンドツーエンドで会話を暗号化する。
このことは、悪質なリンクをフィルタするような、中間者が存在しないということを意味している。
iMessageのクライアントサイドにはフィルタがなく、そのため、不正なリンクを適切なショートリンクサービス対し自動的にレポートしようがない。また一見したところ、Appleでは手作業が約1週間かかったようだ。幸いなことに、crashsafari.comはいたずらで共有されていただけだった。
削除は？FacebookやTwitterのようなサービスからはリンクを確認でき、そのため脅威を取り除く可能性もあるが、一方でプライベートメッセージングアプリは弱点となる。友達は注意を払って選ぶとよい。
次もいたずらのように見えるものが、虎視眈々と待っているワームではないことを祈ろう。
1月25日、crashsafari.comというWebサイトへのGoogleのショートリンクが、何者かにより作成された。当該サイトはiOSのSafariをクラッシュさせるループを作り、一部のデバイスではリブートを引き起こす。
（訳注：「私のiPod touchがクラッシュしたところ」という意味）
このサイトはまた、他のいくつかのブラウザを停止させたり、クラッシュを引き起こす。詳細についてはWired誌を参照のこと。
しかし、私は奇妙な点を発見したのだ…。
以下は、Googleのショートリンク「/78uQHK」を用いたツイートの例だ。
私には「クロスプラットフォーム」に見える。決して、AndroidオーナーよりiPhoneオーナーのほうを数多くそそのかしているわけではない。また同一のgoo.gleリンクを使っているFacebookの投稿を見つけたが、これらの大半についても、同じことが当てはまる。
つまり、（これまでに）50万回近くリンクがクリックされたが、Androidデバイスに由来するのはその中のわずか12.5%のみというのは、何だかおかしい。
おそらくAndroidの「スマート」フォン市場におけるシェアは、言われているほど席巻してはいないのでは？（私の家族には、フィーチャーフォンのように使っている者がいる）
あなたはどう見る？
分析および投稿：Mikko Suominen
2年前、Tinbaはマルウェアのシーンに参入した。目下のところ、もっとも一般的なバンキング型トロイの木馬の1つとしてシーンに存在している。Tinbaの機能の中でも、あらかじめ設定が組み込まれている点と高度な暗号化方式を実装している点は注目に値する。これにより運用中の効率が高まり、分析される可能性が抑えられる。
この記事では設定データについて、特に処理メモリから設定データを展開する方法に焦点を合わせる。当社（と読者のみなさんの一部）が設定データに関心を持つ理由は、Tinbaがどのように動作するか、また標的にしているのは誰か、ということを理解する一助となるためだ。
XOR暗号化のクラック
Tinbaは、フォームグラビングやWebインジェクションといった機能で知られる。この機能は、侵害されたサイトに知らずに訪れたユーザから、銀行の認証情報を盗むために使われる。システムへ侵入する経路は、大半がスパムメールかエクスプロイトキットだ。
ダウンロードされた時点でフォームグラビングやWebインジェクションの設定がディスク上に格納され、4バイトのキーによるXOR、続いてRC4、最後にApLibでの圧縮により保護される。XORのキーはTinbaのファイル群があるフォルダ名で、文字列から整数に変換したものだ。設定ファイルが一切ダウンロードされなかった場合、Tinbaは自身のバイナリにある、あらかじめ作成された設定データを使用するという手段に出る。このデータは、XORの暗号化を除き設定ファイルと同じ暗号化が用いられている。
XORの暗号化は、設定ファイルを特定のマシンと紐づけるためのものだ。マシンとボットネットの特定データとの組み合わせをXORキーとして使用することで、感染したマシンへのアクセス権限を持たない人が設定ファイルの復号を試みると、難題に直面することになる。
設定ファイルの復号
しかしながら、設定ファイルの復号は不要かもしれない。Tinbaが設定データを隠ぺいする方法が、現在の標準に比べると著しくお粗末だからだ。フォームグラビングのデータおよびWebインジェクションのデータの両方は、完全に復号された状態でWebブラウザのメモリに恒久的に格納される。これは非常にうかつである。他のバンキング型トロイの木馬は設定データを用心しながら保護する傾向にあり、必要なときにのみデータを復号し、もはや不要となれば直ちに復号されたデータをメモリから一掃する。
メモリ割り当てにおけるうっかりミス？
Tinbaの作者は、物事をさらに簡単にするため、非常に怠惰な方法で設定データのメモリ割り当てをコーディングした。データに必要な量だけメモリを割り当てるのではなく、どんな設定データでも確実に格納できるほど十分に大きなメモリ容量をハードコーディングで割り当てることにしたのだ。その結果、0x1400000バイトという巨大なメモリブロックが、Webブラウザのメモリ空間の中でひどく目立っている。フォームグラビングの設定データはこの領域の先頭に保持されるが、Webインジェクションのデータはオフセットが0xa00000の位置に配置される。両方のデータ塊は設定データのサイズから始まる。
一例に、サンプル「9c81cc2206c3fe742522bee0009a7864529652dd」が受け取ったWebインジェクションのデータの1エントリを挙げる。
Zeusのフォーマットとの類似性
Tinbaの設定データが不気味なほどZeusにそっくりに見えるのだとすれば、それはZeusや他の多数のマルウェアファミリーが使用しているのと同一のフォーマットをTinbaが採用しているからだ。このフォーマットは、どうもクライムウェア業界のちょっとした標準となりつつあるようだ。同一の悪意あるWebインジェクションを異なるボットネットで使用することが可能になるためだ。
別々のマルウェアの作者が、自分のマルウェアの設定データに同一のフォーマットを使用するようになった経緯を解明するのは興味がそそられる。Webインジェクションのデータはボットネットの保有者が開発したのではなく、サードパーティーから購入したものだと仮定する。もしそうなら、特定の設定のフォーマットが一致するには、Webインジェクションの開発者らと、マルウェアの開発者らの間で連携することが求められる。数年前、Zeusは大きな市場シェアを握っていたので、おそらくこれは単に組織的に行われたのだ。顧客がWebインジェクションをより簡単に達成することを目的に、他の作者たちが同一のフォーマットを使用することは道理にかなっていた。
Mikko Suominenは当社のレメディエーションチームのシニアアナリストである。
詳細はJean-Ian Boutinによる論文「The Evolution Of Webinjects」（VB2014）を参照のこと。
Apple iOSには、強力な「ペアレンタルコントロール」のオプションがある。しかし実際には、OSの機能制限は両親に限定するべきではない。制限ありのユーザとして自分のコンピュータを利用しているのであれば、モバイル機器上でも同様にすべきだ。そこで今回、当社のCyber Security ServicesによるiOSのヒントを述べる。Tomi Tuominenが最近、私に情報共有したものだ。
機能制限（Restrictions）を用いるのだ。「設定 ＞ 一般 ＞機能制限（Settings > General > Restrictions）」と辿る。「機能制限を設定」を選択し、パスコードを設定する。
そして、まず手始めにアカウントを「変更を許可しない（Don’t Allow Changes）」に設定するのだ。
また「Appのバックグラウンド更新（Background App Refresh）」による変更を制限するのが私の好みだ。こうすると、自分で明示的に許可しない限り、新たにインストールしたアプリがバックグラウンドで実行しないようにできる。
あなたにとってハッピーな設定を！
ヘルシンキにとうとう冬がやってきた…。
当地に来て自身でこれを体験してほしい。
どうやって？
1月13日の、当社のAPT（Advanced Persistent Threat）オフ会にご参加を！
Frode Hommedalやアーチュリ・リーティオらが講演する。
そしてここであなたにチャンスがある。エフセキュアが2〜3人分の参加費用を受け持つ。世界中のどこからでもだ。しかし時間は限られている。このイベントは次週の水曜日だ。先延ばしせずに、今すぐ行動に移すのだ。Sami Lappetelainenに連絡を取って、なぜあなたが参加者に選ばれるべきなのかを伝えてほしい。
エフセキュアのGitHub上でSEEを公開した。
はじめに
SEE（Sandboxed Execution Environment、サンドボックス化実行環境）とは、保護された環境でテストの自動化を実現するためのフレームワークである。
このサンドボックスはlibvirtを介して提供され、カスタマイズ可能で高度な柔軟性がある。異なる種類のハイパーバイザ（Qemu、VirtualBox、LXC）を採用してテスト環境を実行できる。
また、インタラクションのためのイベント機構の同期を行うプラグインをテスト環境に追加可能だ。ユーザは、JSON形式の設定ファイルによりプラグインの有効化や設定を行える。
12月15日、ロン・ワイデン米国上院議員はジェームズ・コミーFBI長官に対し、暗号化ランサムウェアに関する書簡を送った。報告があったコストは、非常に驚くべきものだ。
1万ドルだって？私の推測では、これは全部で1台ではなく複数台のコンピュータが攻撃されたためだ。
以下はワイデン議員の質問だ。
FBIがすぐにでも詳細な回答を行うことを望む。
