最新のニュースをお届けしますハッキングオフラインPC2016.1.8大規模停電を引き起こしたマルウェア「SSHBearDoor」を確認この記事をシェアウクライナの電力会社を狙ったマルウェア「Win32/SSHBearDoor.A」が確認されています。このマルウェアを使用した攻撃によって、人口140万人の地域の半分の世帯が一時停電しており、エネルギー関連会社を狙ったサイバー攻撃の被害の甚大さを物語っています。ESETはこのマルウェアにもいち早く対応しています。Security」の記事を基に、日本向けの解説を加えて編集したものです。2007年に登場し、2014年にも動きを見せていたマルウェア「BlackEnergy」を使用するサイバー犯罪グループが、2015年再び活動していました。ESETはウクライナの電力会社とニュースメディアを狙ったサイバー攻撃において、BlackEnergyと呼ばれるマルウェアがKillDisk(破壊活動を行うコンポーネント)を送り込むためのバックドアとして使われたことを明らかにしました。本記事では、ESETが昨年発見したBlackEnergyの検体仕様とともに、攻撃に使われたKillDiskコンポーネントについて詳説します。攻撃者が感染させたシステムと通信を行う際、BlackEnergyに加えてこれまで知られていなかった新しいSSHのバックドアを使っていたことが分かっています。ESETは今後も引き続きBlackEnergyの活動を監視します。Lite(軽量版)と呼ばれる亜種は、感染したコンピューターが本当に意図した攻撃対象に含まれているかどうかを評価するために、ある判定基準を調べます。感染者が意図した攻撃対象であった場合は、通常サイズのBlackEnergyのドロッパー(BlackEnergyを作成、実行するプログラム)をシステムに送り込みます。BlackEnergyはDLLペイロード(攻撃を指示するコード)のバイナリに埋め込まれたXMLの設定データを格納します。2015年に使用されたBlackEnergyの設定ファイルの例C&Cサーバーのリストとは別に、BlackEnergyはビルドIDと呼ばれる設定値を保持しています。この値は攻撃者がどの対象を感染させたかを把握するために設定しているものです。この文字列から、攻撃キャンペーンとその対象に関する情報を得られることがあります。2015年に確認されたビルドIDは下記のとおりです。2015enkhm10khelm2015telsmi2015ts2015stbkiev_obrd201511131526kbp02260517ee03150618aaa11131526trkこれらのうちのいくつかは特別な意味を持っていると推測されます。Informacii(ニュースメディアの会社)が含まれていると推測できますし、「2015en」のenはEnergyを意味すると考えられます。Kiev(ウクライナの地名)に至っては明らかでしょう。KillDiskコンポーネント2014年に登場したBlackEnergyのいくつかの亜種は感染したシステムを破壊するように設計されたdstrという名前の拡張機能を備えていました。2015年、攻撃グループは新しいBlackEnergyのコンポーネントを使いはじめました。Win32/KillDisk.NBD(トロイの木馬)として検出されます。このコンポーネントの主な目的はコンピューターに格納されたデータに被害を与えることです。具体的には、文書をランダムなデータで上書きし、かつOSを起動不可能にします。BlackKillDiskコンポーネントの使用が最初に確認されたのは2015年11月のことでした。この事例では、ちょうどウクライナの地方選挙のときに多くのニュースメディア会社が被害にあいました。報告によると、攻撃の結果多くの映像素材と文書が破壊されました。注目すべき点は、ニュースメディア会社を対象に使用されたWin32/KillDisk.NBBの亜種は、上書きあるいは削除する対象のファイル拡張子を数多く指定している点です。その総数は4000種類以上にものぼります。KillDisk.NBBによって破壊されるファイルの拡張子の一部ウクライナのエネルギー関連企業に対する攻撃に使用されたKillDiskコンポーネントは、それとはわずかに異なっていました。検体の分析結果によると、この新しいバージョンにおける主な変更点は下記のとおりです。以上のように、攻撃者は攻撃対象に合わせてマルウェアの振る舞いを変えています。バックドア化されたSSHサーバーBlackEnergyの攻撃グループによって、また別の興味深い検体が使われていたことを確認しました。攻撃を受けたサーバーを調査しているときに、DropbearSSHと呼ばれるアプリケーションを発見しました。これは一見、正規のSSHサーバーのように見えます。SSHサーバーを実行するために、攻撃者は以下の内容のVBSファイルを作成しました。falseご覧のように、SSHサーバーは6789番ポートで通信を受け付けるよう設定されます。攻撃されたネットワークにあるサーバーでSSHを実行することで、攻撃者はいつでもネットワークに侵入することが可能となっていました。実はこれだけではありません。ESETは詳細な分析の後、SSHサーバーのバイナリにバックドアを仕込まれていたことをつきとめました。上の画像から明らかなようにこのバージョンのDropbearSSHサーバーは、パスワードに「passDs5Bu9Te7」が設定されると認証されます。公開鍵認証についても同様に、サーバーがあらかじめ定義された定数の公開鍵を保持しており、特定の秘密鍵が使用されている場合のみ認証を行います。SSHサーバーに組み込まれたRSA公開鍵このマルウェアは、ESET製品にて以下の通り検出されます。対応しているウイルス定義データベースと検出名2015年12月29日(日本時間)に配信されたウイルス定義データベースにて、下記の検出名で定義されました。されているウイルスの亜種が発生する可能性があります。ウイルス定義データベースは常に最新のものをご利用いただきますようお願いいたします。常日頃からリスク軽減するための対策について各記事でご案内しているようなリスク軽減の対策をご案内いたします。下記の対策を実施してください。ESET製品プログラムのウイルス定義データベースを最新にアップデートするESET製品では、次々と発生する新たなマルウェアなどに対して逐次対応しております。最新の脅威に対応できるよう、ウイルス定義データベースを最新にアップデートしてください。OSのアップデートを行い、セキュリティパッチを適用するウイルスの多くは、OSに含まれる「脆弱性」を利用してコンピューターに感染します。Update」などのOSのアップデートを行い、脆弱性を解消してください。Readerなどのアプリケーションにも含まれています。各種アプリのアップデートを行い、脆弱性を解消してください。データのバックアップを行っておく万が一ウイルスに感染した場合、コンピューターの初期化(リカバリー)などが必要になることがあります。念のため、データのバックアップを行っておいてください。脅威が存在することを知る「知らない人」よりも「知っている人」の方がウイルスに感染するリスクは低いと考えられます。ウイルスという脅威に触れてしまう前に「疑う」ことができるからです。弊社を始め、各企業・団体からセキュリティに関する情報が発信されています。このような情報に目を向け、「あらかじめ脅威を知っておく」ことも重要です。[更新]スマホへの買い替えでデータ移行と旧端末の処分はどうすべき?スマートフォンのデータを完全に削除するにはどうしたらいいですかスマートフォンがマルウェア感染した場合の5つの兆候ブラウザーが乗っ取られ、変な検索エンジンが表示されます。削除しても表示されます。ある、キヤノンマーケティングジャパン株式会社が提供しています。