Remorin0米連邦捜査局(FBI)は、2014年6月2日(米国時間)、国際的な取り組みにより、オンライン銀行詐欺ツール「ZBOT」の亜種で、ピアツーピア(P2P)通信を利用する「Gameover」のネットワークを閉鎖したと発表しました。1つとして、このボットネットの活動の閉鎖に協力しました。2011年5月に流出しています。この流出したソースコードを元に、「Gameover」をはじめ、「IceIX」や「Citadel」、「KINS」といった複数の亜種ファミリが作成されました。トレンドマイクロでは、これらの「ZBOT」の亜種を一括して「ZBOT」の検出名で検出対応しています。同じソースコードを元にしていながら、「Gameover」と他の「ZBOT」の亜種ファミリの間には、決定的な違いがあります。P2P通信の利用です。C&Cサーバのみに接続します。含む動的な環境設定ファイルをダウンロードすることができません。P2P通信を利用するため、ネットワークの完全な閉鎖が困難であるとされていました。機能を搭載した「ZBOT」、つまり「Gameover」の最初の亜種(「TSPY_ZBOT.SMQH」として検出)は、2011年9月末に初めて確認されました。Kit(BHEK)」がダウンロードされます。さまざまなソフトウェアの脆弱性を利用し、その当時に最もよく利用されたエクスプロイトキットでした。最近になっても、「Gameover」は、スパムメールを介して拡散し続けており、侵入時には「UPATRE」のような他の不正プログラムの助けを借りています。Eメールの添付ファイルとして侵入し、感染PC上に他の不正プログラムをダウンロードします。この際、ファイアウォールのフィルタを回避するために、暗号化された実行ファイルをダウンロードします。「UPATRE」ファミリによりダウンロードされる、これらの新しい亜種の一部は、「TSPY_ZBOT.ABTE」として検出されます。トレンドマイクロの調査によると、「Gameover」の作成ツールは、個人に販売されておらず、非公開で運用されています。1つのボットネットで運用されていることになります。「Gameover」は、確認された当初から、同じストリーム暗号「RC4」を利用し、ダウンロードされた環境設定ファイルを復号しています。このことも、「Gameover」の閉鎖を困難にさせました。新しい環境設定ファイルと更新されたバージョンをボットネット全体で素早く共有できるからです。「Gameover」は、まず初めに、静的な環境設定ファイルを復号します。RC4鍵が含まれています。IPアドレスが列挙されています。ボットが、ボットネットに接続しているかを問い合わせます。IPアドレスのリストをダウンロードできます。すべてのボットがボットネットに接続していなかった場合、この「Gameover」は、C&Cサーバに接続を試みます。Algorithm(DGA)」を利用してドメインを生成します。そのため、このボットネットを完全に閉鎖することがますます難しくなります。■「ZBOT」と「CryptoLocker」のつながり「Gameover」ボットネットの閉鎖は、「CryptoLocker」にも影響を与えました。弊社は、2013年10月、「ZBOT」と「CryptoLocker」のつながりを示す、スパムメール送信活動を確認しました。このスパムメールに添付された「UPATRE」の亜種が「ZBOT」の亜種をダウンロードし、この「ZBOT」が感染PC上に「CryptoLocker」をダウンロードします。「CryptoLocker」が、この感染連鎖の最終目的ということになります。プログラム(ランサムウェア)」として知られています。感染すると、ユーザは、暗号化されたファイルを元に戻すために「身代金」を払うように要求されます。以下は、「身代金」の支払方法の一例です。Bitcoin(ビットコイン)ashUMoneyPakUkash最新の「Gameover」の更新では、悪名高いルートキットの「NECURS」ファミリも含まれています。「NECURS」をインストールをする目的は、ファイルやレジストリ、また「Gameover」に関するプロセスの存在を隠ぺいし、削除をさらに困難にさせるためです。Network」によって守られています。メールをブロックします。サイトへのアクセスをブロックします。「ファイルレピュテーション」技術により、上述の不正プログラムを検出し、削除します。