コメントを受け付けていません。itトレンドマイクロは、ファイルレスで拡散する新しいボット型マルウェアを確認し、「Novter(ノブター)」と名付けた。)」の活動の下で2019年3月頃より拡散されてきた。トレンドマイクロは、Novterの登場以来、積極的にその監視を続ける中で、頻繁な更新を確認しているという。2011年以降活発に活動してきた「KovCoreG」のキャンペーンは、「Kovter(コブター)」というボット型マルウェアを利用した長期的な活動で知られ、主に不正広告(マルバタイジング)と脆弱性攻撃ツール(エクスプロイトキット)を利用して拡散されていた。月8日のレートで約31億円)以上の被害を企業に与えたという。ボットネットは、2018年末、法執行機関やトレンドマイクロほかサイバーセキュリティ専門家の連携を通して、ついに解体に至った。残念ながら、このことは、KovCoreGの活動停止にはつながらなかった。Kovterはすでにその機能を失いましたが、KovCoreGは代わりに別のボットネットを開発した。トレンドマイクロは、セキュリティ企業「ProofPoint」のリサーチャKafeine氏と協力し、KovCoreGによって拡散される、ファイルレスとモジュール型を採用したボット型マルウェアNovterについて明らかにした。Novterが確認された当初、不正広告キャンペーンは米国を拠点とするユーザを対象に行われていたが、今夏からヨーロッパのいくつかの国にその狙いを広げ始めた。トレンドマイクロの遠隔測定調査から、この不正広告攻撃が、米国のトップ100位圏内のいくつかのWebサイトを介して実行されていたのが判明した。これらのWebサイトは、以前のKovterを利用した活動でも悪用されていたという。Playerが古くなっているため、アプリケーションの更新に必要なソフトウェアパッケージをユーザがダウンロードするように仕向けます。.hta」をダウンロードさせます。」を参考に作成されたとみられるPowerShellスクリプトを実行します。このスクリプトを読み込む際のトラフィックは、共通鍵暗号方式の一つ「RC4」で暗号化されます。Update」のプロセスを無効にします。Control、UAC)を回避します。反射型インジェクションの技術を利用して、ファイルレスで実行されます。■ボット型マルウェア「Novter」について解説Novterは、実行可能ファイル形式のバックドア機能を持つマルウェアです。実行直後に、以下のような検出や解析回避のためのチェックを実行します。CRC32アルゴリズムの名称とハードコーディングされたCRC32のリストを比較して、ブラックリストに登録されたプロセスとモジュールを検索するコアの数が少なすぎるかどうかを確認するプロセスがデバッグされているかどうかを確認するスリープ機能が操作されているかどうかを確認する上述のいずれかが見つかった場合、コマンド&コントロール(C&C)サーバに報告されますが、このとき、目的に応じて異なるC&Cサーバセットが使用されます。一例として、1つのセットは解析回避のための報告を専ら担当します。感染コンピュータの環境を入念に確認してC&Cサーバに報告した後、マルウェアは長時間スリープ状態に入ります。Novterが備えるバックドアコマンドは以下の通りです。killall:プロセスを終了し、ファイルを削除する。このコマンドは、すべてのモジュールに適用可能。kill:プロセスを終了し、ファイルを削除する。このコマンドは、特定のモジュールにのみ適用可能。stop:特定のモジュールにおいて、ファイルを削除せずにプロセスを終了する。resume:特定のモジュールにおけるプロセスを開始する。modules:追加のモジュールをダウンロードして実行する。update:新しいバージョンをダウンロードし、アップデートをインストールする。update_interval:連続した2回のアップデート試行の間隔を設定する。Novterは、C&Cサーバと通信し、目的に応じて異なる複数のJavaScriptのモジュールをダウンロードします。以下の3つのNovterのモジュールが特定されました。Scam」(テクサポ詐欺、サポート詐欺)」のページを表示するモジュール。(WinDivert)」を悪用して、ウイルス対策ソフトウェアなどのプロセスからの通信をブロックするモジュール。WinDivertは、Windowsのネットワーク・スタックとの間で送受信されるネットワークパケットをキャプチャ、変更、またはドロップを可能にするツール。代わりのサーバを使用して通信(プロキシ)を行うために、「NodeJS」および「io」で記述されたモジュール「Nodster(ノドスター)」。クリック詐欺を利用した戦略を補助するために必要な、プロキシネットワークの構築を担当するモジュールと考えられる。■Novterのモジュール「Nodster」について解説Novterの解析中、ダウンロードされる3つのモジュールが確認されましたが、そのうちの1つがネットワークプロキシモジュール「Nodster」でした。このモジュールは、感染コンピュータに「NodeJS」をインストールし、バックグラウンドでNodeJSスクリプト「app.js」を実行します。app.jsは、埋め込みのC&Cサーバアドレスに接続し、2番目のC&Cサーバアドレスを受け取ります。このスクリプトはsocket.ioプロトコルを使用して、2つ目のC&Cサーバへの逆接続を確立します。2つ目のC&Cサーバは、TCP接続の確立およびTCPのペイロード(送信先情報など通信に必要なヘッダを除いたパケット部分)の送信、そしてサーバからの応答を返すようにモジュールに指示するコマンドを返します。して、Novterに感染したコンピュータは、攻撃者の活動に利用される代理サーバ(プロキシ)と化します。モジュール「Nodster」のプロキシとC&Cサーバ間におけるトラフィックの流れ■Nodsterのトラフィック調査では「Nodster」モジュールを介してプロキシ化された多くの暗号化トラフィックを確認しましたが、Web広告に使用されるスクリプトの一部の復号に成功しました。それによれば、C&Cサーバは感染コンピュータに、広告を表示する「JavaScript」コードが埋め込まれたWebサイトを開くように指示していました。プロキシを介して転送されたHTTP(S)リクエストにはAndroidデバイスからの「HTTPリクエストでのUser-Agentヘッダ」が含まれていたため、広告トラフィックはAndroidデバイスから送信されたと考えられていました。この要求には、多くのAndroidアプリ名が含まれる「X-Requested-Withヘッダ」が追加されます。Playストア上で公開されるこれらのアプリを調査しました。ストアで確認されたアプリからは、そのようなトラフィックを生成する不審なコードは確認されず、アプリ間で共有される類似のコードも見つかりませんでした。図5:Androidデバイスからの送信を偽装するHTTPSリクエストヘッダこのことから、この広告トラフィックは、モバイル機器からではなく攻撃者が生成したものと推測されました。モジュールを介して、Androidデバイスや携帯アプリから送信したかのようにトラフィックを偽装していたと考えられます。結局のところ、KovCoreGの戦略には以前のKovterボットネットの時のようにクリック詐欺の技法が利用されていました。■被害に遭わないためには広告は、マーケティングに必要不可欠なもので、通常ユーザに害を与えるようなものではありません。KovCoreGの不正広告キャンペーンの例は、オンライン広告が煩わしいものとなるばかりか、攻撃者によってユーザのコンピュータが利用されるなどの実際の脅威につながる可能性があることを示しています。KovCoreGがクリック詐欺によって企業に与えた損失を見れば、企業に多大な影響を与えることが明らかです。月8日のレートで約10億円)の損失を被りました。Novterは、ファイルレスな感染手法を用いて、C&Cサーバへの接続と広告詐欺関連のトラフィックを難読化します。このことから、攻撃者が高度で巧妙な技術を保持していることが伺えます。ユーザは、特に不正広告のようなソーシャルエンジニアリングの脅威を防ぐために、ベストプラクティスを採用する必要があります。Compromise、IoCs)はこちらを参照してください。トレンドマイクロによるNovterの調査に関する詳細はこちらをご覧ください。Xu本記事は、トレンドマイクロ様の許諾により「トレンドマイクロ・セキュリティブログ」の内容を元に作成しております。常に新しい用語が生まれてくる情報システム部門は、全ての用語を正しく理解するのも一苦労。常に新しい用語が生まれてくる情報システム部門は、全ての用語を正しく理解するのも一苦労。経済の新たな原動力として注目されるAPI。情シス三段用語辞典99「デジタルツイン」プレスリリース登録されているプレスリリースはございません。関連サービスおすすめ記事2019/9/9いまさら聞けない【情シス知識】プライバシー保護の基礎、OECD8原則とは個人情報の取り扱いには要注意。10に切り替わるこの時期、アプリケーションや端末利用...2019/3/11いまさら聞けない【情シス知識】Javaの種類と有償化の関係オラクル(Oracle)による無償サポート終了で今やホットなキーワードである「Java」。