Locky:明らかによろしくない振る舞いトップページエフセキュアブログについてエフセキュア株式会社Locky:明らかによろしくない振る舞い2016年02月22日00:00fsecure_corporationヘルシンキ発ここ1週間、「Locky」と呼んでいる新たなる暗号化ランサムウェアの脅威が大きなニュースになっている。これまでのところ、Locky感染の媒介としてもっとも一般的なのはメールである。Wordファイルを添付した、請求書だというメールが送付される。このファイルを開くと暗号化されているように見え、表示するためにマクロを有効にするように促される。ここでマクロを有効にすると、実行ファイル(ladybi.exe)がドロップされる。その後、実行ファイルは128ビットAES暗号によるデータファイルの暗号化を開始する。今回のキャンペーンでは、世界中広く展開するために多数のローカライズがなされており、非常に組織立っているように見える。それをサポートする大規模で堅牢なインフラが整えられている。報告で示唆されているのは、現在Lockyを拡散しているスパムキャンペーンの背後にいるのは、バンキング型トロイの木馬Dridexを拡散したのと同一の集団ではないかということだ。Lockyは、C&Cに用いるドメイン名を自動生成する。ドメイン生成アルゴリズムについては、Forcepoint社が詳細を掲載している。当社のソフトウェアDeepGuardを実行している場合、ビヘイビア検知エンジンが、Lockyの用いる攻撃の媒介メールと、マルウェアの振る舞いの双方を阻止する。長い間、双方とも検知している。以下に述べるような当社で十分に試験された阻止戦略により、DeepGuardはコンテンツをダウンロードしたり、ファイルをドロップしたり、コードを実行したりするOfficeドキュメントのような、悪意のある振る舞いを検知する。DeepGuardでは、こうした類の脅威があなたのマシンを感染させるようなメカニズムをその場で阻止する。Lockyおよびそのバリアントに関連する悪意ある振る舞いは、以下の3つの検知によりブロックする。Trojan-Dropper:W32/Agent.D!DeepGuardTrojan:W32/Pietso.A!DeepGuardTrojan:W32/TeslaCrypt.PE!DeepGuardこの3つの検知により、Pony、Vawtrakおよび最新版のTeslaCryptからも顧客を保護する。週末の間に、Lockyの感染を媒介するものが他に表面化した。JavaScriptのファイルを含むzipの添付ファイルだ。このJavaScriptを実行すると、Lockyの実行ファイルをダウンロードし実行する。このバリアントはTrojan-Downloader:JS/Dridex.Wとして検知する。2009年03月Ustream生中継アーカイブエフセキュアブログ開設1周年を記念して6月8日に開催したパネルディスカッションの模様をご覧いただけます。横浜発オフィシャルコメントつぶやき「最新トラックバック」は提供を終了しました。掲載して毎月一回配信します。アドレスのみの登録で購読無料。