Pacag02015年6月、ステガノグラフィを利用する「Stegoloader」と呼ばれる不正プログラムの感染が、北米の医療関連企業を中心に確認されたことが報告されました。PNG)にコンポーネントを隠ぺいします。「ステガノグラフィ」とは、検出や解析を回避するために、ある情報を他の情報の中に埋め込んで存在を隠ぺいする手法です。トレンドマイクロでは、今年5月にステガノグラフィに関する記事を公開しています(1、2、3)。大半は米国(66.82%)で、チリ(9.10%)、マレーシア(3.32%)、ノルウェー(2.09%)、フランス(1.71%)と続きます。3カ月に「TROJ_GATAK」の影響を受けた産業別割合この不正プログラムの影響を受けた医療関連企業が、すべて北米地域にあることは特筆すべきでしょう。弊社では現在、サイバー犯罪者がこの不正プログラムを利用してどのように企業を攻撃したかを調査していますが、具体的な証拠は確認されていません。Cross」といった米国の医療関連企業で、何百万という顧客ファイルが流出する事例が起きています。ステガノグラフィはこうした攻撃ではまだ確認されていませんが、将来的に、医療産業への攻撃を画策するサイバー犯罪者が、診療記録を流出させるためにステガノグラフィを新しい手法にする可能性が考えられます。■ステガノグラフィを利用して不正なファイルを画像に隠ぺいステガノグラフィと不正プログラムに関する記事で、弊社は、検出回避のために画像ファイルに不正なコードを隠ぺいする手法が、特に不正プログラムの研究に熱心なサイバー犯罪者グループの間でさらに活用されるようになるだろうと述べました。今回、「TROJ_GATAK」が再び利用され、特定の地域と産業を明確に狙っていたことは、サイバー犯罪者が、脅威を拡散するために、創意工夫を凝らしてステガノグラフィを実験的に利用し続けていることを示します。侵入し、最終的な不正活動を実行する不正プログラムは「FAKEAV」でした。最近確認された検体の最終的な不正活動を実行する不正プログラムは、現在解析中です(「TROJ_GATAK.SMJV」、「TROJ_GATAK.SMN」、「TROJ_GATAK.SMP」)。「TROJ_GATAK」の亜種の不正活動は以前と同様です。関連する正規のファイルを装います。最後に、不正プログラムは不正活動の大部分を埋め込んだ画像をダウンロードします。この不正プログラムが不正なコンポーネントを埋め込むために利用した画像の例です。図2:「TROJ_GATAK」がダウンロードする画像の例この不正プログラムは、仮想マシンやエミュレータを回避する機能を備えており、解析を回避することができます。ステガノグラフィを利用したこれまでの攻撃では、ネットバンキングの口座を狙って、夕日や猫といった魅力的であるものの被害を及ぼすと考えられる画像が利用されました。画像の利用はかなり古い手法ですが、検出回避に有効です。それがサイバー犯罪者に利用され続ける強い動機となっています。SHA1ハッシュ値は以下のとおりです。TROJ_GATAK.SMJVbce6a9368f7b90caae295f1a3f4d3b55198be2e2b8db99cf9c646bad027b34a66bb74b8b0bee295ad5d0a9ecf1601e9e50eef6b2ad25c57b56419cd1TROJ_GATAK.SMN2d979739fbf4253c601aed4c92f6872885f73f7711f25bee63a5493f5364e9578fa8db9ed4c4b9c9ステガノグラフィの詳細は、以下の記事をご参照下さい。