1億4千万件以上の脅威から保護したことを報告しています。その脅威の中で注意すべき脅威として「ZACCESS」があげられます。「ZACCESS」は、別名「ZEROACCESS」や「SIREFEF」とも呼ばれる不正プログラムで、ルートキット機能を備えているのが特徴です。ZACCESSは、コンピュータへ侵入した後、このルートキット機能を駆使して自身の不正活動を隠ぺいすることでセキュリティソフトなどからの検出を回避して、他の不正プログラムや、偽アプリケーションなどを侵入させます。あるように、「BKDR_ZACCESS」は、第3四半期においてアメリカに次いで日本で多くの感染が確認されています。国内ユーザからのお問い合わせも非常に多いことから、リージョナルトレンドラボではより詳細な調査を行いました。コマンド&コントロール(C&C)サーバへ接続することで、通信のセッションが確立します。いった逆方向のセッションは確立しません。今回、日本のリージョナルトレンドラボにより解析した「BKDR_ZACCESS」は、P2P機能を用いて双方向の通信を実現しています。C&Cサーバが閉鎖される事態が起きたとしても耐えうるネットワークを実現しています。同士(つまり、ゾンビPC)でコマンドなどを送受信することが可能となります。P2P機能により、クライアントあるいはサーバ両方の役割を果すことができます。コマンドや不正プログラムを送信することになります。IPアドレスに接続し、この設定ファイルを更新します。その後、コマンドや不正プログラムを受信します。感染を拡大することになります。いう設定ファイルを以下のように作成します。この設定ファイルは、「BKDR_ZACCESS」が「クライアント」として「サーバ」へ接続する際に利用されます。IPアドレスおよびタイムスタンプで構成されており、ファイルのフォーマットは、以下のとおりとなります。IPアドレスが記載されていました。接続して、コマンド受信を試みます。1対多の通信に向いている「UDP通信」を利用しているものと考えられます。UDPによる通信においては、データが正しく送信されたか確認する仕組みがないため、送信データ内にハッシュ値を挿入し、受信したデータのハッシュ値を確認することで、UDP通信の弱点を補っていると推測します。「BKDR_ZACCESS」は、Windowsが32ビットか64ビットか、利用できる管理者権限などの諸条件により、異なる不正プログラムを作成します。キャビネットファイル(拡張子CAB)を利用しています。バイナリデータが圧縮されています。そのため、解凍しない限りはファイルの中身をチェックして実行データ部分を確認することは困難です。「BKDR_ZACCESS」は、キャビネットファイルをハードドライブに保存せずメモリに展開をします。「BKDR_ZACCESS」は、この手法を自身を隠ぺいする目的で利用していると考えられます。「BKDR_ZACCESS」は、動的かつ継続的にコードを作成し、このコードは未知のパッカーを利用して新たに割り当てられたメモリに挿入され、その後実行されることになります。機能を頻繁に利用していることを確認しています。以下の図にあるように、不正なコードを複数の正規のシステムプロセスにインジェクトします。利用、3)複数回のコードをインジェクションすることで、各セキュリティ関係者による解析が困難にさせ、感染拡大を意図していると考えられます。組み込まれる各コードごとに、その用途が異なるため、全体像を把握するためには、各コードを解析する必要性があり、その結果、解析に時間がかかることとなります。正規プロセスにコードをインジェクトします。インジェクトされた不正なコードにより、「セキュリティセンター」などのセキュリティソフトに関連するプロセスが正常に起動しなくなります。コマンドや不正プログラムを送受信し、感染を拡大します。同様の不正なコードが組み込まれます。この際、利用されるフォルダは、以下のとおりとなります。コードがインジェクトされ、戻り値などにより攻撃者の意図に沿って制御されます。それにより、「BKDR_ZACCESS」が実行するプロセスを停止され、「BKDR_ZACCESS」自身を削除し、不正行為の一部痕跡を隠ぺいします。■「BKDR_ZACCESS」の特徴5:この数字は、何のため?リージョナルトレンドラボによるこの「BKDR_ZACCESS」の解析過程で、以下のような数値を抽出することができました。この数値は、C&Cサーバへの接続回数を示しています。これはリージョナルトレンドラボが確認した時点で、サーバと「BKDR_ZACCESS」に感染したPC(ボット)の間で累計約3,500万回もの接続が発生していることになります。攻撃者は、なぜ接続数を確認するこのような機能を搭載する必要があったのでしょうか。利用してスパムメールを送信する事例も確認されています。この数字は、サイバー犯罪を行うアンダーグラウンド市場に何らかの関係があると思われます。加えて、攻撃者は、この数字を利用してどの手法が感染を行うのに成功しているのかを確認する意図で利用することができます。■「BKDR_ZACCESS」からどのようにして身を守ることができますか「BKDR_ZACCESS」といった「ZACCESS」は、ルートキットコンポーネントを駆使して自身を隠ぺいさせながら巧みに検知を回避することから、この不正プログラムの削除に際して予想以上の困難に直面することになります。各セキュリティ関係者による解析も困難であることから、このファミリによる感染を防ぐことが最大の防御となります。「BKDR_ZACCESS」を含め、「ZACCESS」に感染しないためにも、以下のような注意事項を心がける必要があります。P2Pネットワークから海賊版等の動画をダウンロードするような行為は慎むこと信用のおけるWebサイトのみ閲覧すること管理者権限の付与を最小限にしておくことコンピュータを常に最新にしておくことまた、トレンドマイクロは「ZACCESS」のような不正プログラムに関しては複数のソリューションをお客様に提供しています。Network(SPN)」の「ファイルレピュテーション」技術により、「ZACCESS」に関するすべての亜種を検出し、それらが実行されるのを防ぎます。C&Cサーバ等へのアクセスをブロックします。Security」では、変更監視により、「BKDR_ZACCESS」が作成、ダウンロードするファイルを検知します。Discovery」では、「ZACCESS」が侵入する段階、また感染PCによるC&Cサーバへの通信を可視化することが可能です。