Panel(操作画面)」を開く。PINコードを何度か間違って入力すると以下のメッセージが表示され、「Alice」は自身を削除します。メッセージには「PINコード入力限度数を超えました!プログラムは実行できません!」と英語で記されています。Panel(操作画面)」を開きます。ATM端末内の各種カセットが表示されます。攻撃者は、ここからいつでも現金を窃取することができます(今回の検体はテスト環境で実行されたため、カセットは表示されていません)。API」を介して周辺機器「CurrencyDispenser1」に送信され、カセット内に保管された現金が引き出されます。40枚が限度であるため、出し子は、同じ操作を何度も繰り返して、カセット内の現金がなくなるまで続けます。各カセット内に保管された現金の数量は、画面にも表示されるため、出し子は、どれだけ繰り返せば現金を完全に取り出せるかも確認できます。ファイル名で確認されます。Manager」を「Alice」に手動で置き換えようとしていると考えられます。Manager」へのコマンドを「Alice」へのものに置き換えることが可能になります。「Alice」で注目すべき特徴は次のとおりとなります。機能が最少限に絞られた点です。ATMマルウェアファミリは、ATM端末内の現金を無難に引き出せる機能のみに限定されています。PINパッドを用いることもありません。介して感染させ、ATM端末のメインボードにキーボードを接続させ、そこから(PINパッドを用いずに)操作することを意図しているからと考えられます。ネットワークを介してメニューを操作する目的の可能性も考えられます。この手法は、タイで発生したハッキング事例やその他の最近の事例と類似しています。現時点で「Alice」がこの手法で利用された事例は確認されていません。PINコード入力が求められる点は、「Alice」が対面操作による攻撃のみを想定しているからだと考えられます。インストールやアンインストールに際して複雑な手順はなく、適正環境での実行ファイル機能だけに限定されています。ATMマルウェアファミリと似ています。PINコードを受けとり、これによりユーザ認証を行ないます。出し子が最初に入力すべきコマンドは削除用スクリプトです。PINコードを入力し、現金引き出し用操作画面へアクセスします。PINコードは検体ごとに異なっています。PINコードを誰かと共有して依頼元の犯罪集団に無許可で利用することを回避するためか、出し子の行動を追跡するためか、もしくは両方の目的のためのようです。4桁で、簡単に変更できるようになっていました。PINコードを入力しようとすると、入力限度回数により、このマルウェアは自身を削除してしまいます。「Alice」は、XFS環境であるかどうを確認するだけで、その他のハードウェア関連の確認作業は行ないません。XSF環境である限り、あらゆるベンダのハードウェア設定下で実行できる」という目的で設計されているからだと考えられます。1つの特徴はパッカーの利用です。「Alice」は、市販パッカー・難読化ツール「VMProtect」を利用します。これは「Alice」だけの特徴ではありません。Protector」などを利用します。パッカーで圧縮されることで、解析やリバースエンジニアリングがより困難になります。この手法は、一般的なマルウェアにも長らく利用され、現在は、マルウェア用にカスタマイズされたパッカーまで出回っています。した中、ATMマルウェア作成者は、なぜ今さらこのような圧縮や難読化の手法を用いているのでしょうか。ATMマルウェアは、少数の犯罪者集団が特別な目的で利用したニッチな領域でした。今日、ATMマルウェアは、一般に広く知られ始め、主要なマルウェアに分類されるようになってきました。ATMマルウェアについて分析や議論を展開し始めました。した中、犯罪者側は、セキュリティ業界で不用意に検知されるのを避けるため、改めて隠ぺい手法の必要性を感じ始めたのでしょう。現在、ATMマルウェアは、市販のパッカーを利用していますが、今後、よりカスタマイズ化されたパッカーや難読化の手法が用いられると予想されます。Compromise、IOC)については、こちらを参照ください。