Tool(RAT)」で、産業制御システムを狙った攻撃で重要な役目を担っていることが確認されてから、セキュリティ業界で注目されるようになりました。Yeti」としても知られています。トレンドマイクロがこの不正プログラムを監視していたところ、興味深い発見がありました。「Dragonfly」と呼ばれるサイバー攻撃は、32ビット版のみに互換性があると考えられていました。使用しているためです。サポートは終了しています。2つの注目すべき感染を確認しました。呼ばれるファイル(「BKDR64_HAVEX.A」として検出)は、ファイルシステム上に複数のファイルを作成します。「HAVEX」が感染したことを示す痕跡であり、コマンド&コントロール(C&C)サーバと通信し、ダウンロードの実行、関連する実行コマンドの受信を行うこの不正プログラムのコンポーネントです。図1は、「HAVEX」のファイルの感染連鎖です。「BKDR_HAVEX.SM」として検出される。インストールされた弊社のセキュリティ対策製品に何度も検出され、削除されていた。どのような働きをするかをよく理解するために、弊社はこの感染連鎖に関係するその他のファイルを特定する必要がありました。2つのファイルを確認しました。「BKDR_HAVEX.C」として検出されます。このファイルは、レジストリキーおよびレジストリ値の作成し、主となる「HAVEX」のファイルが問い合わせます。以降)と異なり、このバージョンは別のローダを必要とします(図3)。こちらも「BKDR_HAVEX.C」として検出されます。下位互換性があるかどうかです。以下のファイルシステムを削除します。改良されたかが分かります。4つのファイルを確認しました。3つのファイルよりも以前の日付です。32ビット版ファイルよりも以前から存在していることになります。要求が端末で確認されました。C&Cサーバのクエリ文字列は、以下のような形式となっています。異なった形式となっています。2つの組み合わせ(<3桁の数字>-<9つの数字>)はこの文字列で必ず確認されます。3桁の数字の組み合わせは、大抵の場合、この不正プログラムのバージョンです。9つの数字は攻撃の識別番号である可能性があります。この攻撃の識別番号はランダムに作成され、以下のレジストリ値で書かれます。C&Cサーバを利用していました。間では、共有のインフラストラクチャを利用していることを示しています。C&Cサーバと通信していることを確認しています。C&Cサーバのモジュールのバージョンを更新する不正活動を行っています。<APPDATA>に作成され、デジタル署名を持つ「BKDR_HAVEX.SM」を感染させます。不正プログラムのコードの署名はここ数年増加しており、不正プログラムの作成者は、不正なファイルを正規のソフトウェアに見せるために、ファイル署名を可能にする鍵を求めることが多々あります。4つのファイルが含まれていました。このデジタル証明書は、不正プログラムの作成者自らが署名したものであることは明らかです。適切に署名されたファイルには信頼された認証局が記載され、発行されたデジタル証明書を認証しますが、これらのファイルにはありません。3つ確認されたことは注目すべき点です。これらのファイルはすべて「BKDR_HAVEX.SM」として検出されます。2013-06-11*最近の感染で確認されたファイル■不正プログラムの再利用RAT「HAVEX」は、産業制御システムや製薬業界など、これまでに何度も攻撃で利用されてきており、今後も繰り返し攻撃を受けることは免れません。不正プログラムで見られるものと類似していることにご注意ください。64ビット版への感染も確認しています。トラフィックを頻繁に監視することが重要です。Network」によって守られています。サイトへのアクセスをブロックします。「ファイルレピュテーション」技術により、上述の不正プログラムを検出し、削除します。産業制御システムを狙っているのは誰か?」も合わせてご参照ください。以下は、今回の攻撃に関する不正プログラムのハッシュです。