Excelファイルを対象とする不正プログラムは、以前から出回っていましたが、トレンドマイクロは、2014年3月、新たな不正プログラムのファミリ「CRIGENT」を確認しました。Worm」としても知られるこの不正プログラムは、いくつかの新たな手法を備えています。これらの不正プログラムは、トレンドマイクロの製品では、「W97M_CRIGENT.A」および「X97M_CRIGENT.A」として検出されます。PowerShell」を利用し、自身の不正活動を実行するというものです。現行版で利用可能な強力な相互作用を持つシェルまたはスクリプトツールです。以降のバージョンには、内蔵されています。スクリプトを介して実行します。IT管理者は、この新たな不正プログラムを見落とす可能性があります。ドキュメントファイルを経由して侵入し、こうした感染ファイルは、他の不正プログラムに作成されるかユーザによってダウンロードまたはアクセスされると考えられます。2つの追加のコンポーネントをダウンロードします。Webキャッシュおよびプロキシ「Polipo」です。2つのコンポーネントファイルの存在を偽装しました。DNSレコードの情報を隠ぺいすることでホスト先も偽装していました。これらのファイルのコピーは、正規のクラウドストレージである「Dropbox」および「OneDrive」を利用して保存されていました。DNSレコード内に隠されていました。どのようにして、行ったのでしょうか。DNSレコードに接続し、これら各ドメイン下にサブドメインを作成しました。IPアドレスに割り当てませんでした。保存し、クエリを利用し、TXTレコードを確認しました。DNS」のサーバに直接作成しました。コマンドは、以下になります。含む文字列を返します。2つの有名なクラウドサービスからダウンロードされるファイルのみです。これらは、どちらも特別疑わしいものには見えません。C&Cサーバに接続します。2つの「グローバル一意識別子(GUID)」を含んでいます(以下参照)。ような若干口汚いドイツ語のメッセージを返します。PowerShellスクリプトをダウンロードします。PowerShellスクリプトは、「VBS_CRIGENT.LK」または「VBS_CRIGENT.SM」として検出されます。C&Cサーバへ送信します。起動時にコマンドを待ち受けるサーバと通信します。関連するポートも、開かれます。Excel文書へ感染するのに必要なコードも含んでいます。これを行うため、不正プログラムは、PowerShellスクリプトを利用し、レジストリ値を変更します。セキュリティ設定を下げることができます。不正プログラムは、感染させるため、ファイル内の設定「alerts」および「macros」を無効化します。これにより、ユーザに警告を出さないようにします。すべてのファイルは、以前の「DOC」と「XLS」の形式にそれぞれ変更され、元のファイルは削除されます。すべてのファイルと一緒に保存されます。これらのいずれかを実行することで、感染の連鎖が再開されます。セキュリティを危険にさらすだけでなく、重要な情報を含む可能性のある書類に感染し、新たな形式に変更するため、書類が使用不可能な状態になる可能性があります。これにより、企業や個人のユーザが極めて重要なデータを失うことになります。■「CRIGENT」の削除ネットワーク内における「CRIGENT」の存在を確認するいくつかの方法があります。存在する場合、疑う必要があります。弊社は、以前の記事(英語情報)でTorトラフィックを検出・遮断する方法について取り上げています。利用する脅威を阻止するため、ネットワーク管理者が調査を考慮することが求められるものです。上記に加え注目されるのは、「CRIGENT」が感染ファイルを保存する際に利用するファイル拡張子が、既に規定のファイル形式ではない「DOC」および「XLS」である点です。既定で「DOCX」および「XLSX」のファイル拡張子を使用しています。以前の形式を使用する新しいファイルが大量に存在する場合、「CRIGENT」の存在を示す形跡の可能性があります。利用し自身の不正活動をさらに隠ぺいするようになるだろうと述べており、今回まさにそれが起こりました。Webサイトとの併用は、サイバー犯罪者が正規のサービスを利用し、自身の攻撃を特徴づけようとしていることを強調しています。Network」によって守られています。サイトへのアクセスをブロックします。「ファイルレピュテーション」技術により、上述の不正プログラムを検出し、削除します。以下は、この脅威に関連するファイルのハッシュ値です。