日本のネットワークに関係あるサーバです。ANLYSIS)については【こちらへ】ご覧下さい。このマルウェアは「sqlupdate.exe」と呼びましょう。このマルウェアは実行の為に他の”実行ファイル”が必要です、本件では「SqlStarter.exe」となりますね。検知が直ぐに出来ないようにALzipのEXEアーカイブの中に「sqlupdate.exe」と「SqlStarter.exe」が隠されております。そのアーカイブファイル(itun.exe)は日本のサーバに発見されました。ANLYSISの情報は「sqlupdate.exe」の調査情報です。追加リファレンスですがThreatExpertよりSqlStarter.exeのリファレンスがこちらとなります。Shared\MSInfo\sqlupdate.exe"⇒それでsqlupdate.exeの保存場所のDIRを作られます。本件のマルウェアをダウンロードしたらこのアイコンとなります↓アイコンで見られた様に「exe」ファイルですけれども実はアーカイブファイルですね。「sqlupdate.exe」マルウェアがシステム環境の上で実行されると確認しました、一つのポイントは「TMP」の中にマルウェアごみが出ます。↑上記書いたMicrosoftの情報は全て嘘ですね。↑このマルウェアが自動で起動が出来ているように、ですね。↑この原因で本件のマルウェアの検知出来た対策ソフトが少ないかと思われます。⇒本件のケースがトロイ木馬です。皆様のパソコンに見つかったら実行せずに削除して下さい。⇒本件のマルウェアが未だアップされている状況ですので、危険ですよ!専門じゃないと再現は禁止です。2011追加情報ですが、本件の感染されたサーバに別のマルウェアも発見されました↓マルウェアのURL:hxxp://enffl.net/sqlservt.exeスキャン結果URLとスナップショットは↓http://virusscan.jotti.org/en/scanresult/2fcd2bc665ad00a1ba14544166a7f2da7a284331↑本マルウェアのウイルストータル(VT)スキャン結果はこちらとなります↓ed3b6da1ba596a634c51c54aa0df7af4f60f153f29757224b9f8b10664afc4f9この追加情報に書いたマルウェアが前回も発見した事がありますが、レポートはこちらとなります。現状ではマルウェアが未だ感染されたサーバにアップされている状況です。みように本マルウェアのファイル(itun.exe)のスキャン検知率が弱いままです。今回Linuxのハッキング事件のレポートを書かせて頂きます。x86」、「ELFバイナリリバーシング」と「シェルコード」の絡みとなります。time」リバースエンジニアリングゼロデイが出るといつも大忙し。リバースエンジニアリングの僕らの手が回らない状態です。その↑2件を先に読んで頂ければ以下の情報をもっと理解が出来ると考えています。されているマルウェアデータが何とかPythonで...ElasticsearchのCVE-2015-1427脆弱性を狙っているマルウェアの調査をしました、書いたレポートは下記のURLに確認が出来ます。