仁美0これまで、日本を標的とするオンライン銀行詐欺ツールとしては、「ZBOT」、「AIBATOOK」、「VAWTRAK」が確認されていました。これらに加えネットバンキングを狙う新たな脅威として、2014年12月に「WERDLOD」が登場しています。2014年12月10日の記事で報じていましたが、今回の記事ではネットバンキングを狙うその巧妙な攻撃手口について解説します。この不正プログラムは、発見当時「TROJ_ARTIEF」、「TROJ_VB」として検出対応されていましたが、その後すぐに検出名を「TROJ_WERDLOD」と改称されました。2015年に入ってからも継続して検出されており、一過性の存在ではないことを証明しています。Network」の統計によると、2015年1月~3月の間で約400件の検出が日本国内から確認されています。2つの設定変更を行うことによってネットバンキングで使用する認証情報の窃取を実現するものであり、感染した後は不正プログラムの起動や常駐を必要としません。SSLサーバ証明書の検証エラーを出させないことです。2014年7月以降にエメンタル作戦として発表した内容の一部と類似しており、海外で確認された手口が日本に上陸した形であるともみられます。2015年3月に「Tsukuba」という名称でこの日本を標的としたオンライン銀行詐欺ツールの攻撃をレポートしています。RTF形式のファイルが添付されたスパムメールを受け取ります。RTFファイルには画像のアイコンをダブルクリックするよう書かれており、これをダブルクリックしたユーザは「WERDLOD」に感染します。図1:スパムメールを起点とする「WERDLOD」の感染経路このメールでは受信者を騙すための巧妙な手口が複数施されています。メールの送信アドレスは大手通販サービスのメールアドレスが偽装されており、受信者に本物のメールと誤解させます。RTFファイルの文言「画像をダブルクリックして領収証をお受け取りください。」は、日本語で記載されており、明確に日本のユーザを狙ったものと言えます。■設定変更1:不正なproxy.pacファイルを設定する感染すると、攻撃者が用意した不正な「proxy.pac」ファイルを参照するよう、レジストリ(AutoConfigURL値)が変更されます。これにより、インターネット接続を行う際にこのファイルに記載されている設定が適用されるようになります。行うことができるものです。設定ファイル(pref.js)に対して同様の設定変更が行われることを確認しています。これは列挙されているドメイン名へのアクセスが不正なプロキシサーバへ転送されることを示しています。10行など複数のネットバンキング関連ドメインが含まれています。このことからも、明確に日本を標的としていることが見て取れます。アクセスした際の入力情報を自在に読み取れるようになりました。SSL/TLS)でアクセスするため、単に不正なプロキシサーバを経由させるだけではブラウザで「SSLサーバ証明書の検証エラー」が発生し、ユーザは異常に気付くことができます。「WERDLOD」は、この「SSLサーバ証明書の検証エラー」を発生させないようにするため、自前の自己署名証明書をユーザのパソコンやブラウザの「信頼するルート証明書リスト」へ追加する機能を持っていました。名称を偽装していますが、当然ながら本物と異なる拇印を持っています。ような警告ダイアログが表示されますが、「WERDLOD」はこの警告ダイアログが描画された瞬間に「はい」ボタンを自動的に押下し、ユーザに気付かれないようサイレントでインストールを完了させる機能を持っていました。MitM攻撃を受けます。SSLサーバ証明書の検証に成功してしまい、正常なHTTPS通信が確立されます。この時、当然ながらブラウザの「SSLサーバ証明書エラー」は表示されません。ID・パスワードなどの認証情報を入力してしまい、それらを攻撃者に窃取されるというシナリオが成り立ちます。他のオンライン銀行詐欺ツールの振る舞いでよく見られる偽の入力画面を表示させ、攻撃者が欲する任意の認証情報を入力させるシナリオも考えられます。MitM攻撃の回避策となるはずですが、不正なルート証明書を信頼してしまうことにより、それがかなわなくなるのです。このとき救われる点として、EV証明書を利用しているときのようにブラウザのアドレスバーは緑色にならないことが挙げられます。この点は、ユーザが異常に気付くきっかけにはなり得るでしょう。図5:「WERDLOD」の攻撃シナリオ■「WERDLOD」に対する防御策ユーザ側の防御策としては、メールの添付ファイルを安易に実行しないことや、普段からアドレスバーが緑になるかどうかに気を配っておき、普段は緑色のサイトがそうなっていない時は異常を疑うといったことが挙げられます。Validation)証明書を導入しています。厳格な審査とは、発行先の組織が登記されているか、実際に存在しており連絡が取れるか、などの確認が挙げられます。このため、EV証明書は、ドメインの所有権だけを所持していれば発行されるドメインバリデーション証明書よりも信頼性が高いものになります。サーバがEV証明書を使用しており、正常な状態であれば、ブラウザのアドレスバーは緑色に表示されます。Forum」という認証局とブラウザベンダなどで構成される業界団体によって取り決められ、運用されています。SSLクライアント認証が有効です。EV証明書を使用することが望ましいです。■感染後の駆除について「WERDLOD」が他のオンライン銀行詐欺ツールと異なる最大の特徴は、「WERDLOD」自体は情報窃取の活動は行わないことです。MitM攻撃を可能にするための設定変更を行うだけです。「WERDLOD」の本体ファイルが検出され削除されたとしても「WERDLOD」が行った設定変更が残っていればネットバンキング利用者は被害を受け続けます。2つの設定変更を元に戻す必要があります。MitM攻撃を行う手口において、弊社がエメンタル作戦として発表した作戦行動との類似が見られます。SMSメッセージを窃取する偽モバイルアプリの存在が確認されています。SMSメッセージによる認証は使用されていませんが、今後なんらかの偽モバイルアプリが確認されても不思議ではありません。Network」により様々な脅威から利用者を保護します。今回の攻撃に関連する不正プログラムについて、「ファイルレピュテーション」技術により「TROJ_WERDLOD」などの検出名で順次検出対応を行っています。今回の攻撃に関連する不審な送信者からのメールや危険性の高いメールは、「E-mailレピュテーション」技術で受信をブロックします。Suite」などのメールセキュリティゲートウェイ製品では、コンテンツフィルタリング機能の活用により、添付ファイルに実行可能形式ファイルが含まれるなどの条件で危険性の高いメールをフィルタリングすることが可能です。サイトへのアクセスをブロックします。