15年前（5479日前）の7月19日、Code Redが感染拡大のピークを迎えた。悪名高いコンピューターワームCode Redは、Microsoft Internet Information Server（IIS）の脆弱性を悪用して感染を拡げた 。
感染したサーバには、以下のメッセージが表示された。
検出ロジックは、最新のエンドポイント保護ソフトウェアにおけるさまざまなメカニズムによって使用されている。また、サイバーセキュリティ業界では、多くの別の名前でも知られている。セキュリティ業界で「マルウェア」と呼んでいるものが、一般には、「ウイルス」という言葉で呼ばれている（技術的に言えば、「ウイルス」とは、別のプログラム、データファイル、またはブートセクタに自身のコピーを作成することによって拡散するプログラムを指す）のと同様に、検出ロジックは、「シグネチャ」から「フィンガープリント」、「パターン」、「IOC」まで、さまざまな呼び方をされてきた。誰かがウイルスの話をしていると思ったら、本当はマルウェアについての話だったということがよくある。そして、誰かがシグニチャの話をしていると思ったら、実は検出ロジックについての話だったということもたびたびある。もっとも、80年代や90年代に用いられたシンプルな検出ロジックが話題になっていたのだとしたら、話は別なのだが。
当社、エフセキュアでは、「detection logic（検出ロジック）」のことを、単に「detections（検出）」と言うこともよくある。
ドライブバイダウンロード（より正確には、ドライブバイインストレーション）は、最も恐ろしい部類のインターネット上の脅威である。そうした振る舞いの基となるメカニズムを提供するのがエクスプロイトキットだ。ブラウザの種類とそのバージョン、インストールされているプラグインとそのバージョンといった、ブラウザの環境を調べることで,、ソフトウェアの脆弱な部分を探すのである。
エクスプロイトキットは、脆弱性を見つけると、それらすべてを利用して、システム上で直接コードを実行しようとする。ほとんどの場合、ユーザが気付かないうちに、マルウェアがマシンにインストールされて実行されることになる。最悪のケースでは、今さっき暗号化されたばかりのファイルを、たった数分後には、元の状態に戻すべく、身代金を支払う手順についての説明をじっと眺めているという状況に至る。
エフセキュアラボでは、「拡散状況」という言葉をよく使う。だが、拡散状況とは何なのか？
実行可能ファイルの拡散状況は、当社の顧客ベース全体でそのファイルが見つかった回数として定義される。悪意のある実行可能ファイルは、時間とともに希少な存在になっていく傾向があり、ほとんどが生まれてはすぐに消えていく。したがって、バイナリを目にした回数は、そのバイナリが怪しいものであるかどうかの目安となり得る。当社の保護技術はクラウドに接続しており、機能する仕組みの一部としてクラウドを利用しているため、拡散状況を数量的に把握しやすい。
悪意のある実行可能ファイルがなぜ希少なのかを理解するために、遠い過去へと旅してみよう。
受信ボックスに次のようなメールがあった（一部改変）。
当社CSSのOPSECの専門家からの休暇の挨拶
近いうちに休暇を取り、オフィスを離れられることになる皆さま 、さぞかし心待ちにされていることと思われます。待ちに待った休暇なのですから。ただ、その前にひとつ、確認していただきたいことがあります。不在通知に、次のようなことについて触れていたりはしていないでしょうか。休暇中どこへ出掛けるのか。誰と行くのか。なぜ休暇を取るのか。病気療養の場合は何の病気なのか。さらには、病気 ということ自体。
全文はBusiness Security Insider 日本語版で。
全文はBusiness Security Insider 日本語版で。
「スレットインテリジェンス（脅威対策の知見）」という言葉が、最近の流行りになっている。多くの人にとって、スレットインテリジェンスとは、疑わしい、または悪意のある活動の識別のためにセキュリティインフラに組み込まれるIOC (英文) フィードについて説明する際に用いられる言葉である。
我々にとっては、その言葉が表すことは遥かに多い。当社は25年以上に渡って、精力的にスレットインテリジェンスを収集し、吸収してきた。当社の多くのスタッフは、日常的にスレットインテリジェンスを扱っている。そして、我々の日常業務はスレットインテリジェンスに牽引されている。
当社の考えとしては、あらゆるものがスレットインテリジェンスと言える。マルウェアサンプルのリバースエンジニアリングから収集された細かな事柄をはじめ、当社のシステムが収集したデータに見られるトレンドやパターン、攻撃者と防御者が使う戦術、さらには高所から見たグローバルな脅威のランドスケープにまで及ぶ。
最近、スイスで米国ビザを申請しようとした米国渡航希望者が、QRATというマルウェアに関わるサイバー犯罪者によって標的にされたようだ。@hkashfi （英文)というTwitterユーザーが投稿したツイートによると、友人のもとへ米国ビザ申請サイト（USTRAVELDOCS.COM）の職員を名乗る人物から「US Travel Docs Information.jar」というファイルが送られてきたのだという。その人物のSkypeアカウントはustravelidocs-switzerlandだったということだが、ここで「travel」と「docs」との間に「i」が入っていることに注目してほしい。
本物と偽物の違いを見分ける
本物と偽物の違いを見分ける
FirefoxのFlashサポート縮小について記事を投稿したところ、Edgeブラウザに関する4月のMicrosoftの発表について指摘するコメントがいくつか寄せられた。これは、Edgeブラウザも「Click To Flash（クリックしてFlashを再生）」方式に変更されるというものだ。発表によれば、ウェブページの中心に配置されていないFlashプラグインは自動的に一時停止されるようになり、ゲームや動画などのコンテンツはこれまで通りに実行されるという。そうしたEdgeの変更はWindows 10のアニバーサリーアップデートで提供される。
もちろん、4月の時点でこのニュースには注目していたし、MicrosoftおよびEdgeチームの英断に対しては賛辞を送りたいと思っていた。
Microsoft Edgeのロゴ（画像の出典元： microsoft.com）
全文はBusiness Security Insider 日本語版で。
今年初め、当社の「脅威レポート 2015年」でショーン・サリバンが、Chrome、Firefox、およびMicrosoftは、2017年までにブラウザでのFlashのサポートを段階的に縮小していくことを発表するだろうと予言した。当ブログではGoogleによるその発表について取り上げた。
そして7月20日、予言の通りに、Firefox開発者のブログでも同様の発表があった。
Mozilla Firefoxのロゴ。画像の出典元： https://www.mozilla.org/
全文はBusiness Security Insider 日本語版で。
Mozilla Firefoxのロゴ。画像の出典元： https://www.mozilla.org/
全文はBusiness Security Insider 日本語版で。
「UltraDeCrypter」と呼ばれる、新種の暗号化ランサムウェアがネット上に出現している。
これは、AnglerエクスプロイトキットがドロップしているCryptXXXの進化形である。当社のテストで、UltraDeCrypterの暗号化解除サービスポータルに、以前にCryptXXXで使った「識別コード」を入力してみたところ、以前のCryptXXXポータルにリダイレクトされた。バックエンドがつながっている証拠だ。
支払いサポートページについて言えば、対応しようとした言語の数の多さが、UltraDeCrypterの野心の大きさを物語っている。
何か月か前のCryptoWallの支払いページがこちら。
全文はBusiness Security Insider 日本語版で。
6月初めに投下(英文)が確認された後、暗号化ランサムウェアLocky(英文)をばらまくスパムキャンペーンが、かつてのような活発さを取り戻したようだ。通常、当社では、スパムキャンペーンの際、1日当たり約4,000〜10,000件のスパム攻撃を確認している。
先週の水曜日から金曜日にかけて、当社では、Lockyをばらまくスパムの数が著しく増加するのを観察した。最大で、1時間当たり30,000件の攻撃が確認され、日計で120,000件への増加だ。
また、昨日、火曜日には、新たな2つのキャンペーンが確認された。その規模は、1時間で120,000件を超える、桁違いのものである。これは、通常時の200倍以上で、先週のキャンペーンと比べても4倍の件数である。
全文はBusiness Security Insider 日本語版で。
