ATMマルウェアファミリ「Alice」を確認しました。ATMマルウェアファミリの中でも、機能を必要最小限に絞った点が特徴的です。Machine、ATM端末)のテンキーを介した操作もできず、情報窃取機能も備えておらず、ATM端末から現金を窃取することだけが目的のようです。ATMマルウェアファミリを「BKDR_ALICE.A」として検出対応しています。欧州サイバー犯罪センター(EC3)と弊社との共同調査中に初めて確認されました。この調査でハッシュ値のリストを収集し、さらに各ハッシュ値に対応するファイルを不審ファイル分析サービスサイト「VirusTotal」から取得しました。1つは当初、ATMマルウェアファミリ「Padpin」の新亜種と考えられていましたが、リバース解析の結果、新しいファミリの一部であることが判明し、「Alice」と命名しました。今回の新ファミリ発見は、さまざまなプラットフォームへの攻撃が増加する中、マルウェア作成者の志向が明らかになった点で注目に値します。2~3年で大きく加速し、多数のマルウェアファミリ確認に至っています。■詳細ファミリ名「Alice」は、このマルウェアのプロパティに掲載されたバージョン情報から命名されました。Alice」と記されています。2014年10月から感染報告されていたことが分かります。今回の検体は、「VMProtect」という市販のパッカー・難読化ツールに含まれている状態で確認されました。「VMProject」は、通常、組み込まれたバイナリファイルがデバッガ内で実行されているかをチェックし、実行されている場合、以下のエラーメッセージを表示します。エラーメッセージには「ファイルが破損しています。このプログラムは、操作されているか、ウイルスに感染しているか、壊れている可能性があり、正しく実行されません」という文言が英語で記されています。Services、XFS)」の環境にいるかをチェックします。この動作は、以下のレジストリキーの有無を確認することで行われます。HKLM\SOFTWARE\XFSHKLM\SOFTWARE\XFS\TRCERRこれらのレジストリキーが存在しない場合、「Alice」は、目的の環境にいないと判断して自身を削除します。DLLファイルを必要とします。access!」を表示します。Alice」を表示します。図3および4:実行後、いずれかのメッセージが表示される。ルートディレクトリに作成します。前者のファイルは、ゼロで満たされており何らかのデータが書き込まれることはありません。実行中に発生したエラーを記録するログファイルとして使用されます。APIが呼び出される際、それぞれに対応するメッセージやエラーが記録されます。このファイルはアンインストール時にも削除されません。将来的なトラブルシューティングのために保存されるのか、もしくはマルウェア作成者が削除対応を忘れただけなのかもしれません。「Alice」は、周辺機器「CurrencyDispenser1」へ接続します。XFS環境における「現金取り出し口」のシステム上の名称です。ATM端末ハードウェアに接続を試みることはありません。PINパッドを介して何らかのコマンドを指示することもできません。「Alice」は「CurrencyDispenser1」への接続が失敗しても自身を削除することはありません。代わりにエラーを記録するだけです。PINコードを入力します。3つのコマンドが用意されています。このバッチフィルは「Alice」の駆除やアンインストールに利用される。