第2回TweetPocket脅威情報2012.5.17数カ月前、話題になったDarkmegiは、マイクロソフト製品の脆弱性CVE-2012-0003(MIDIのリモートでコードが実行される脆弱性)を悪用した脅威として初めて確認されたものです。Runtimeのリモートでコードが実行される脆弱性)を利用したドライブ・バイ・ダウンロード攻撃でも確認されています。Darkmegiは、カーネルルートキットコンポーネントを使って、感染したシステム内で拠点を維持します。フックのインストール一般的に、ルートキットは自身のファイルやレジストリキーの読み取りを拒否したり、アクセスを削除したりしますが、Darkmegiも例外ではありません。DarkmegiはDriversディレクトリのcom32.sysにカーネルドライバをドロップします。ユーザーモードコンポーネントであるcom32.dllもドロップします。このコンポーネントはexplorer.exe、iexplore.exeに挿入されます。ntfs.sys(IRP_MJ_CLOSE、IRP_MJ_CREATE、IRP_MJ_DEVICE_CONTROL)およびfastfat.sysのDispatchテーブルにフックし、アプリケーションがcom32.dll、com32.sysファイルを読み取れない(またはスキャンできない)ようにします。一度ルートキットがOSを乗っ取ると、保護されたファイルのコピーや読み取りは拒否されます。正規ファイルを装うマルウェアまた、Darkmegiは、もうひとつの手段として、自身のマルウェアファイルに25MBもの意味のないデータを埋め込みます。一般的なマルウェアのサイズは1MB未満であるため、それによって正規のファイルのように見せかけるのです。実際、25MBを超える既知のマルウェアは0.03%以下にとどまっています。このように、マルウェアの作成者は、ファイルを中心としたセキュリティの観点を回避するために、様々な戦略を練っているのです。マルウェア7,900万個のファイルサイズ分布ただし、Darkmegiはファイルの格納場所は隠しません。半ステルス性では、手間をかけてルートキットを作成しながら、ファイルを隠さない理由は何でしょうか。APIから返されるファイルのリストをNTFSのロースキャンで作成されるツール作成リストと比較するものがあるということが挙げられます。ここに矛盾があれば、疑いが出てしまうというわけです。7に対応していないようです。ひとつだけ感染時にカーネルドライバに保護されているユーザーモードコンポーネントを識別できるものがありましたが、修復の完了には再起動が必要でした。1回目の再起動ではシステムがハングアップし、2回目の再起動後にクリーンアップ完了のメッセージが表示されましたが、検出されなかったカーネルドライバによってユーザーモードコンポーネントが復元され、元通り挿入されてしまいました。感染後に使用するタイプの別のツールは、Darkmegiの悪質な実行ファイルを識別しましたが、ファイルを削除しようとすると、システムの問題を引き起こす可能性があるため推奨しないという表示が出ました。かまわず削除したところ、システムがブルースクリーンループに陥り、セーフモードでも抜け出すことができませんでした。XPシステムで試してみることにしました。テストの結果、読み取りではなく、ファイルのリストアップを許可する手法により、いくつかのツールが回避される可能性があることが判明しました。以上により、感染後にルートキット削除ツールを実行しても、望ましくない結果に終わることがわかります。OSが支配される前に検知することが理想的です。Defenderは、カーネルメモリーのリアルタイム監視により、悪質なイベントをブロックし、問題のルートキットをブラックリストに入れ、削除することができます。Defenderルートキットが削除または無力化されれば、ユーザーモードコンポーネントはロードされず、同様に無力化されます。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。