リーダーをターゲットにするKoobfaceTweetPocket脅威情報2011.3.10更新日:2018.3.15「Facebook」や「MySpace」「Twitter」といったソーシャルネットワークサービス(SNS)を悪用するマルウェアの代表格は、何といってもKoobfaceでしょう。このKoobfaceの亜種の中には、様々な種類があります。リーダーをスパムの標的にするものもあります。リーダーのページを使用して、マルウェアをホストします。今回はこの事例を取り上げます。リーダーからリンクを選択すると、下に示すような偽のYouTubeウィンドウが表示されます。ユーザーがYouTube動画を再生しようとすると、このWebページは別のサイトにリダイレクトされます。このサイトは、Facebookヘルプセンターのページを偽装していますが、皮肉なことに、表示されるのはKoobfaceワームからの身の守り方に関する情報です。次に、ユーザーは無料ウイルス対策スキャナーと称する設定ファイルをダウンロードするよう求められます。ファイルサイズは32.39MBといいながら、実際にダウンロードされるファイルはたったの40.5KBです。ダウンロードはここで止まりません。マルウェアは、自身をサポートするコンポーネントをダウンロードし続けます。マルウェア自身の最新コピーもチェックして、必要であればダウンロードします。このKoobfaceの亜種も、ユーザーのマシンでクッキーを追跡し、リモートサーバーに送信しようとします。マルウェアが使うもう1つのトリックは、CAPTCHAを遮断して別のFacebookアカウントの登録に遮断したCAPTCHAを使用するものです。感染したマシンはCAPTCHAウィンドウを表示し、シャットダウンまでの時間を示し、ユーザーを騙します。カウントダウンタイマーが終了しても、Koobfaceがユーザーのマシンをシャットダウンすることはありません。その代わり、ユーザーのマシンは、CAPTCHAが入力されるまでロックされてしまいます。ユーザーがCAPTCHAを正しく入力すると、以下の画像のように、CAPTCHAのJPEG画像がリモートサーバーに送信されます。マルウェアは、リモートサーバーからのレスポンスを求め続け、レスポンスを受信するとすぐに新しいアカウントを作成します。このアカウントは、スパムなど攻撃者の望む活動をするために使用されることがあります。MySpace、hi5といった人気サイトを感染させるためにも、同じ手口が使用されています。この新しいアカウントは、非常に格安に作成されます。数セントで、CAPTCHA専任の管理者がこの作業を行っています。このワームは、メールやFTP、IMアプリケーションの個人情報を盗みます。暗号化された盗難データは、トロイの木馬のコマンド&コントロールサーバーに送信されます。このワームはユーザーの検索もリダイレクトも実行します。マシンのロックを外すには、下記の手順に従ってください。Ctrl+Alt+Delを押す。タスクマネージャを開く。「プロセス」タブを選択する。RUNDLL32.exeを探す。「rdr_xxxxxxxx」のような名称のプロセスを探す。これらのプロセスも終了させる。このステップを実行することで、ユーザーPCを実行するマルウェアのプロセスを排除し、PCのロックを解除することができます。未知のソースからYouTubeへのリンクは、決してクリックしないでください。未知のユーザーからのリクエストは、いかなる場合も受け入れないでください。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。