POS(販売時点情報管理)システムへの攻撃について、調査分析を行っています。POSマルウェアを感染させ、メモリ中の情報を窃取する手口が中心となっています。弊社では、POSシステムへの攻撃について継続した調査を行っています。POSマルウェアを調査していたところ、興味深い検体を確認しました。Prevention(DLP)」です。この圧縮ファイル内の不正プログラムは、それぞれ「TSPY_POCARDL.AI」および「SPYW_CCVIEW」として検出されます。DLP製品を利用しているように見えます。非正規版は、2011年の情報を保存していました。このソフトウェアの詳細は、以下のとおりです。2つの圧縮ファイルを確認しました。クレジットカード情報を収集する不正プログラムのファイルと、キー入力操作情報を収集する不正プログラムのファイルです。DLP製品を利用することにそれほどの驚きはありませんが、なぜ情報を検証したのか、その理由を考えさせられました。情報を収集するために利用した正規表現が不十分だったのでしょうか。サイバー犯罪者は、収集した情報を確認し、その有効性を検証する必要があったと思われます。彼らは、アンダーグラウンドでクレジットカード情報を販売します。間違いのある情報を販売することは、評価を下げるだけではなく、単に信用を失うこと以上の悪い結果を招く可能性があります。最初に、デビットカードやクレジットカードなどの支払カード番号についての詳細を理解する必要があるでしょう。7812」で規定されています。16桁の番号の形式は、以下のとおりです。identifier、MII)」となっています。それぞれ持っています。Luhnアルゴリズムで算出されるチェックディジットとなっています。Luhnアルゴリズムは、ISO規格で定義された単純なチェックサム方式で、15桁目までの間違いを検出するように設計されています。トラック2)に保存されています。7813」で定義されています。Memory(RAM)上のこれらの情報を探すことができます。以下は、トラック1の情報を検索するための正規表現の例です。不要なデータも誤って収集してしまう可能性があります。良く定義された正規表現であれば、きれいな結果を返しますが、そうでない正規表現に比べて計算的に高くつくことがあります。短時間に情報を収集することが目的であれば、特に収集した情報をオフライン上で検証する際には、質よりも効率性が重要になります。珍しいことですが、きれいなコード書くことを信奉する純粋主義の不正プログラム作成者もいます。Luhnアルゴリズムを実装しています。情報を収集するために正規表現を利用し、その後情報を検証するために関数「Luhn」を使います。無効な情報は廃棄され、不正プログラムは有効な結果のみを収集します。このコードの実行中は、大容量の情報収集は特に適していません。非常に高い計算力を必要とします。DLP製品をオフラインで利用することは理想的です。2013年から米国大手小売業で大量の情報漏えいがありましたが、700万件の支払いカード情報の検証を行うのは、侵入したネットワーク外で行うのが最適です。DLPツールを確認しました。有効となりますが、どの特定のカード会社にも当てはまらないものです。DLPツールを使用して、有効なクレジットカード番号をドライブ内でスキャンしました。すべての情報は検証しません。検証で正しいとして、テスト用のクレジットカード番号と誤って認識しました。これは、正規表現が失敗し、不要な情報を収集すると前述した内容を支持します。CVC/CVV1コードなど、すべての情報があることがクレジットカード情報収集を画策する者には極めて重要となります。カード番号情報だけの場合に比べて、すべての情報がそろった場合、アンダーグラウンドでは高値がつきます。データを収集するために正規表現を利用しますが、収集したカード番号を検証することは、理論的には残りのデータも同様に有効であることを意味します。検出されたファイル(クリックすると拡大します)アンダーグラウンド市場で、どのクレジットカード情報も同じ価値があるのかという質問があるかもしれません。驚くべきことに答えは「いいえ」です。それは、需要と供給に関係があります。弊社が最近ロシアのアンダーグラウンドを再訪したところ、アンダーグラウンド市場でのクレジットカード情報の価格は数年間で下落していることがわかりました。クレジット会社ごとの価格は、いまだに違いがあります。Webサイトを調べると、「有効な」米国のクレジットカードの一般的な価格がわかりました(表1参照)。2点に注目して下さい。1点目は、クレジットカード情報を大量に購入すると、1枚当りの価格が下がるということです。まで値引きされる場合もありました。比べて入手しにくいためです。希少な情報であれば、価格は上がります。高く売れるかのもっともな理由を見つけることができませんでした。不正なカードは検出されにくいのでしょうか。それとも信用限度額が高いのでしょうか。それとも信頼性が高いのでしょうか。したことはわかりません。これまでの調査による弊社の結論を以下にまとめます。情報を収集するために不正プログラムが利用した正規表現は、計算的に軽いことが確認されています。そのため、大量のデータを処理することができ、なおかつ気づかれずに実行できます。Luhn検証を実装しません。ような簡単に入手できるツールか、もしくは自作のツールを利用して通常オフラインで行います。クレジットカード情報を収集するサイバー犯罪者は、検証を行うほか、カード会社ごとの区別もします。アンダーグラウンド市場では、入手しやすさや需要によって、カード会社ごとに異なる単価が設定されています。posts:ロシアのアンダーグラウンドで活動するブラジル系サイバー犯罪者を確認。