韓国の銀行、メディアに対するサイバー攻撃事件について韓国の銀行、メディアに対するサイバー攻撃事件についてTweetPocket脅威情報2013.3.21今週水曜、マルウェアの攻撃により、韓国の2つの銀行とメディアのコンピューターが大々的にシャットダウンしました。このマルウェアは、感染したコンピューターのハードドライブにあるマスターブートレコード(MBR)を、以下のストリングで上書きして消去します。感染後のMBRスナップショットさらに、このマルウェアはファイルシステムの一部を同じストリングによってランダムに上書きし、いくつかのファイルを再現不可能にしています。よって、MBRが復元しても、ディスク上のファイルは感染したままになります。0MBRが感染しているため、コンピューターはこのアクションでスタートできません。Labsでは、このマルウェアに関して外部のホストと通信できるような特徴を確認していません。システム内にファイルを落としたり、レジストリキーを変更したりということもしていません。攻撃の目的は、ターゲットとしたコンピューターを使用不可能にすることのみに限っているように見受けられます。ドロッパーが見つかっていますが、この攻撃のためのオリジナルであるようです。418KBのファイルはUPX形式でパックされており、ハッシュ値は以下です:9263E40D9823AECF9388B64DE34EAE54このドロッパーは、AgentBase.exeという名前でMBRを不能にするモジュールを%TEMP%フォルダに落とし、スタートします。/tmp/cups;/tmp/cups”次に、マルウェアは%TEMP%フォルダに“pr1.tmp”という名前のファイルを落とします。これはLinux、HP-UX、SunOSという3種類のUnixにおいてパーティションにダメージを与えようとするBASHシェルスクリプトです。Linuxへの攻撃で使用されたシェルスクリプトの一部このスクリプトは、システムをチェックし、それぞれのOSに対して具体的な機能を呼びだし、ディスクのパーティションを上書きしようとします。このオペレーションが実行できない場合、以下のフォルダを削除しようとします。Labsでは、この攻撃に関して、以下のハッシュ値を特定しています。jar_cache1221312510715123682.tmpこれらのサンプルは2012年10月に見つかっています。MBRを破壊するマルウェアと同じスタブを持っていますが、単純なダウンローダーであり、アンチウイルスのプロセスを破壊するようなコマンドを持ちません。MS-DOSコマンドにより、実行後に自らを削除するのみです。Labsでは、こういったマルウェアサンプルは今回の攻撃には関連していないものの、攻撃者がMBRを破壊するコードを作成するために使用したものと同じマルウェアスタブであると分析しています。トロイの木馬のテンプレートを多少調整することによって、どんな機能でも実行できるようにするようなものです。以下の画像では、ペイロードの違いを見ることができます。新しいサンプルのペイロード見ていただくとわかるように、実行されたコマンドは違うものの、データの構造は同じです。Dropper-FDHとして検知しています。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。責任をもって共有するために。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。