OSを対象とするマルウェアの増加を予測しています。RATは、REALbasicで書かれており、発見されたのは昨年の12月です。現時点では、まだそれ程拡散していませんが、海賊版ソフトウェアとともにばらまかれている可能性があります。アプリケーションそのものは、決して完成度の高いものではなく、極めて稚拙なアプリケーションであることから、作者のマルウェア開発経験は浅いと思われます。ユーザーシステムにダメージを与えたり、機密情報を盗んだり、他のマルウェアの入口になったりする可能性もあるため、注意が必要です。X向けバックドア型トロイの木馬ではありません。RATは、古典的なクライアントサーバーアーキテクチャーを備えています。Windows上でも作動します。被害者のPCにトロイの木馬を仕込むためには、通常はソーシャルエンジニアリングが必要です。RATの作者は、サーバーアプリケーションのアイコンを変更するよう勧めるインストールマニュアルを作りました。サーバーへのインストールが済んだ時点で、攻撃者はそのクライアントを使用して被害者のPCにポート7777で接続し、さまざまなアクションを実行できるようになります。このサーバーは、10005、10004、10001、10000、9999、7781、7782、7780、7779といったポートも開きます。被害者がPCを再起動すると、攻撃者はコントロールできなくなります。作者によれば、「システム環境設定で項目を起動するには、サーバーを手動で追加する必要がある」とのことです。これは、複雑な作業ではありません。AppleScriptを使って簡単に自動化できます。Macクライアントを見てみましょう。ルック&フィールはWindowsクライアントと変わらず、オプションも同じです。攻撃者が実行ファイルを実行すると、パスワードの入力を求めるプロンプトが表示されます。クライアントがポート7778を開き、外部からの接続を許可します。分析を進めると、クライアントもトロイの木馬であることが判明するかもしれません。攻撃者が正しいパスワードを入力するとすぐに、新しい画面が開き、以下の免責事項が表示されます。注意:これは、遠隔管理ツールです。このツールを利用して、さまざまなことを行えます。本プログラム作成者は、本プログラムに起因する損害や不法行為の責任を負いません。このプログラムを、違法な目的のために使用しないでください。Accept(同意する)」ボタンをクリックすると、メイン画面が表示されます。これで、攻撃者がユーザーのPCに接続できるようになりました。ここで注意すべきは、「ユーザーのIP」がトロイの木馬サーバーに送信されることです。ユーザーのIPが送信されると、トロイの木馬がクライアントに再接続して、データを送信します。攻撃者は、トロイの木馬サーバーに接続した時点で、次のようなさまざまなアクションを実行できます。現在ログインしているユーザー権限で、シェルを使用するデフォルトのブラウザでWebページを開くユーザーPCの画面に表示されるメッセージを送信するユーザーPCのデスクトップにテキストファイルを作成するシャットダウン、再起動、スリープを実行する管理者としてのログインをリクエストする(ここで表示されるのは、偽の管理者権限リクエストです。入力された名前とパスワードが攻撃者に送信されます。)最も興味深いアクションの1つは、攻撃者が、偽のFinderプロンプトを使って管理者の認証情報をリクエストできるということです。Macユーザーは、このようなリクエストに慣れています。ユーザーは、気に留めることなく認証情報を入力するでしょう。その結果、ユーザーのシステムでセキュリティ侵害が起こります。Administrator...」というスペルミスがある、「Cancel(中止)」ではなく「Abort(中断)」と表示されているといった、リクエストが偽物である手がかりに気付くことでしょう。ユーザーが名前とパスワードを入力すると、それらがクライアントに送信されます。RATの最新バージョンBlackHoleの作者は、新しいトロイの木馬を作りました。XとPowerPCマシンです。Configurator(ウイルスコンフィギュレーター)」と呼ぶアプリケーションが含まれています。このアプリケーションにより、ユーザーPCのスクリーンショット撮影、シャットダウン、メッセージ表示、管理者のユーザー名とパスワードの要求、コマンド実行などが可能になります。Xを対象とするコンフィギュレーターもあります。以下は、Windowsのコンフィギュレーターアプリケーションのスクリーンショットです。Macクライアントにはハードディスク消去機能が搭載されているため、新型BlackHoleの危険度は従来バージョンよりも高いといえるでしょう。攻撃者は、ユーザーPCにファイルをアップロードしたり、ランダムファイルでディスクをいっぱいにすることも可能です。以下は、この新バージョンのスクリーンショットです。aux」コマンドを出してください。–an」を実行して、先述のポートを探してみてください。–I」を実行して、7780、10004、10005などのポートを検索することもできます。1列目にこれらのポートを使っているアプリケーション名が表示されます。プロセステーブルで、このアプリケーション名を調べてみてください。アプリケーションを強制終了すると、ハードディスクからも削除されます。疑わしいエントリがないか、システム環境設定やアカウント、ログイン項目など、スタートアップ項目をチェックしてください。Finder(Finderに表示)」を選択し、削除してください。立ち上げたFinderウィンドウを使うと、ハードディスクからも削除されます。最後に、PCを再起動します。受信箱のファイルには常に注意してください。知らない場所からアプリケーションをインストールする場合も同様です。海賊版ソフトのインストールや不正なWebサイトへアクセスは、必ず避けましょう。マカフィー製品では、OSX/BlackRATとBlackRAT(Windows対象)を既に検出しています。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。