タグ別アーカイブ: シマンテック

年金機構は氷山の一角、少なくとも300カ所に侵入済み、報道機関にもクラウド事業者にも -INTERNET Watch

Blue Termiteは、「CloudyOmega(クラウディオメガ)」と呼ばれる攻撃者グループが展開している攻撃の1つ。その標的型攻撃メールとマルウェアが昨年秋、シマンテックやトレンドマイクロによって報告されていた。

例えば、送信元が「健康保険組合運営事務局」というメールでは、Wordの文書ファイルを装った「健康保険のお知らせ」というファイルが添付されているが、実際は自己解凍型の実行ファイル(.exe)であり、これを開いてしまうと、ダミーのWord文書が表示される裏でマルウェアの本体が実行されて感染。攻撃者の指令サーバー(C&Cサーバー)との通信を開始し、情報窃取などの活動を行う。

カスペルスキーの観測によれば、このC&Cサーバーへの通信は昨年9月18日から発生し、10~12月には1日あたり100件を超える時期もあったが、その後、沈静化。しかし今年4月以降、再び活発になり、多い時では140件を超える日も出てきたという。

また、通信元のIPアドレスを分類したところ、そのうち27%はマルウェア解析を行っているようなウイルス対策ベンダーや自動解析用の仮想環境だったが、73%が日本の組織で占められていることが分かった。カスペルスキーでは観測データの半分程度しか解析していないというが、それでも日本の組織300カ所以上が、このマルウェアに侵入されていることになるとしている。

なお、この数字はユニークIPアドレス数に基づいたものであり、同一組織で複数IPアドレスを使用している場合も考えられるとしている。また、そのすべてで情報窃取などの活動に発展しているとは限らない(分からない)というが、少なくとも、マルウェアが侵入に成功し、C&Cサーバーとの通信が発生している組織がかなりの数あるということになる。

引用元: 年金機構は氷山の一角、少なくとも300カ所に侵入済み、報道機関にもクラウド事業者にも -INTERNET Watch.

犯行予告に使われたマルウェア、国内メディアは「遠隔操作ウイルス」と命名 | Symantec Connect Community

犯行予告に使われたマルウェア、国内メディアは「遠隔操作ウイルス」と命名 | Symantec Connect Community: 特定された各種の機能から、作成者はマルウェアに命令して上記のような犯行予告を作成できることがわかりました。また、作成者との暗号化通信の処理に使われる文字列が日本語で書かれており、コードは日本語の Web サイトから取られていることも判明しました。以上のことから、作成者は日本語に精通した人物である可能性が高いとシマンテックは考えています。