情報窃取型のウイルスパンダバンカー

2018年の7～8月に国内のクレジットカード会社11社の利用者のパソコンに「パンダバンカー」と呼ばれる情報窃取型のウイルスを感染させることを狙ったメールがばらまかれたのだそうです。

現時点での被害はまだ確認されていないようですが、銀行系のカード会社も標的に含まれているようで、どうやら多くの顧客を抱えた企業が狙われたのではないかと言われています。

名前だけを見れば可愛い「パンダバンカー」というウイルスは2年前に登場したのだそうで、」欧米を中心に、オンラインバンキングの情報を狙うサイバー攻撃などに使われてきたのだそうで、どうやらこの夏、日本の11のクレジットカード会社も標的になったことが新たに判明したのだとか。

このウイルスは、請求書の送付などを装ったメール経由でパソコンに送り込まれたウイルスが、外部のサーバーと通信することで感染するようで、インターネットの閲覧ソフトが細工され、標的の企業のサイトへの接続を検知すると、正規サイト上に、カード情報の再登録などを求める偽画面が表示され、そこに入力した内容が盗まれてしまうというもの。

パソコンを扱った仕事をしているような人であれば、URLなどを確認して危険を察知することができるでしょうが、一般的なPCユーザであれば、大手サイトと同じような見栄えのものであれば、ついつい大切な情報を入力してしまいますよね。

いつも思うのですが、わからないままなにかを利用するのではなく、利用するのであれば、自分でしっかりと扱い方などを勉強して、利用すべきですね。

もっとも、悪用するような輩が1番悪いのですが、そのような人から自分を守る術を見出さなければなりません。

知らない、わからないでは誰も助けてくれませんよ。

URLZone

トロイの木馬型マルウェアの「URLZone]（別名：Bebloh、Shiotobなど）による日本企業を標的にしたサイバー攻撃が2～4月に実行されたのですが、この攻撃活動では「プロセスホローイング」と呼ばれる手法を用いられたようです。

この木馬型マルウェアであるURLZoneは、10年近くにわたってさまざまなサイバー攻撃に使われ、最終的にインターネットバンキングサービスを悪用するマルウェアなどに感染させることを狙ったケースが多いとされているのですが、今回の活動によって約34社の日本企業で攻撃が検知されたのだそうです。

この攻撃では、不正なマクロを埋め込んだOfficeファイルを添付するフィッシングメールが企業に送り付けられ、このメールを受信した者がこのマクロを実行してしまうと、PowerShellを通じ、URLZoneのダウンロードと実行が始まるのだそうです。

やっかいなことにURLZoneは、Dropboxなどの正規アプリケーションに偽装されていて、実行後は動作している環境がサンドボックスなどの仮想化環境か、実際のコンピュータ環境かを確認するのだとか。

仮想化環境を検知した場合、URLZoneの動作が停止するのですが、実際のコンピュータ環境と判断した場合、プロセスホローイング手法が実行されるそうで、具体的には「explorer.exe（エクスプローラー）」もしくは「iexplorer.exe（Internet Explorer）」のプロセスを起動して不正なコードを挿入し、悪意ある動作を隠ぺいします。

こうして攻撃者が設置したコマンド＆コントロールサーバに接続し、最終的にボットネットマルウェアの「Cutwail」やオンラインバンキングマルウェアの「Ursnif（別名：DreamBot、Goziなど）」をユーザーのコンピュータに送り込むようで、企業側では、今後不正な添付ファイルを開かないようにするよう従業員へのセキュリティ教育と技術的な対策が重要になってきます。

ファイルを一切作らない新型ウイルス

一般的なウイルスは、ファイルの形でパソコンに侵入し、ユーザーがファイルを開くことによってメモリーに読み込まれて動き出し、悪質な動作をするのですが、どうやら感染パソコンに痕跡を残さない新型の「ファイルレス」ウイルスが確認されたのだそうですよ。

このファイルレスウイルスは、ハードディスクにファイルを作成することなく、ウイルスのプログラムをメモリーに直接読み込ませて動作するのだそうで、ファイル単位で検索する通常のウイルス対策ソフトでは検知できないのだとか。

この、ファイルレスウイルスの典型的な動きは、まず、感染のトリガーとなるファイルが、メールに添付されて送られてきて、ユーザーがそのファイルをクリックすると暗号化されたウイルスがレジストリファイルに書き込まれるのだそうで、つまり、ウイルス単体ではファイルとして存在しないことになります。

また、これと同時に、暗号化されたウイルスを復号するプログラムが作成され、その後、トリガーとなるファイルは自分自身を消去し、パソコンが起動されるたびに実行され、暗号化されたウイルス本体を復号し、メモリーに読み込ませて実行させるのだとか。

なかなか恐ろしいウィルスです。
くれぐれもメールに添付されているファイルをうかつにクリックしないようにしましょうね。

広島大で個人情報流出

広島大の発表によると、大学院社会科学研究科の60代男性教員のコンピューターがウイルスに感染、卒業生など437人分の個人情報が流出した可能性があるのだそうです。

該当者には文書やメールを送り謝罪したのだそうで、情報が悪用されたとの報告はないということらしいですが、そんなにすぐに悪用されるわけがありませんよね。

なぜ、このような無駄に安心させるようなことを発表するのでしょうね。

経緯は、この男性教員が6月末、オンラインショッピングの物品購入の決済を装ったメールに添付されたファイルを開いたことによって感染したようで、、文部科学省が大学側に「教員のパソコンから特定のIPアドレスに対して大量の通信が行われている」と連絡が入ったことにより、このリュ出が発覚したのだそうです。

やはり教員とはいえ、コンピュータを扱うのであれば、それなりの知識とセキュリティには充分に注意してほしいものですね。