Doctor Web ニュース

2016年8月8日

株式会社Doctor Web Pacific

Doctor Webアナリストは、感染させたコンピューター上で仮想通貨のマイニングプログラムを起動させる新たなLinux向けトロイの木馬を発見し、その分析を行いました。このトロイの木馬の主な特徴は、Googleによって開発されたGo言語で書かれているという点にあります。

Linux.Lady.1 と名付けられたこのトロイの木馬は限られた動作のみを実行します。それらは、感染させたコンピューターの外部IPアドレスを特定する、他のコンピューターに対する攻撃を行う、仮想通貨マイニングソフトウェアをダウンロード・起動させるというものです。 Linux.Lady.1 はGoogleによって開発されたプログラミング言語であるGo言語で書かれています。同言語で書かれた悪意のあるプログラムは、これまでにもDoctor Webセキュリティ・リサーチャーによって発見されていますが、その数はさほど多くありません。 Linux.Lady.1 の構造には、非常に人気の高い共有アプリケーション開発サービスであるGitHub上で公開されている複数のライブラリが使用されています。

起動されると、 Linux.Lady.1 は現在のLinuxバージョンとそのOSファミリー名、CPU数、動作中のプロセス名および数、などの情報をC&Cサーバーへ送信します。応答として、トロイの木馬は仮想通貨のマイニングプログラムをダウンロード・起動させるために必要な設定ファイルを受け取ります。こうして取得した通貨はサイバー犯罪者のイーウォレットへと転送されます。

また、Linux.Lady.1 は設定ファイル内で指定された特別なWebサイトを使用することで感染したコンピューターの外部IPアドレスを特定し、ネットワーク内にある他のコンピューターに対して攻撃を行うことができます。このトロイの木馬は、システムが誤って設定されている場合を考慮し、Redis（remote dictionary server）データ構造ストアによって使用されるポートを経由して、パスワードを入力せずにリモートサーバーへの接続を試みます。接続が確立されると、 Linux.DownLoader.196 と名付けられたダウンローダスクリプトをcronスケジューラに追加します。次に、このスクリプトが Linux.Lady.1 のコピーをダウンロードし、それを感染したホスト上にインストールします。続けてトロイの木馬は、SSHプロトコル経由でコンピューターに接続するためのキーを、認証されたキーの一覧に加えます。

Dr.Web for Linuxは Linux.Lady.1 および Linux.DownLoader.196 を検出・削除します。したがって、Dr.Webユーザーに危害が及ぶことはありません。

2016年8月8日

株式会社Doctor Web Pacific

Doctor Webは、iOSデバイスユーザーに対し、Apple iTunes Store上で2つの偽のDr.Webアプリケーションが配信されていることについて警告いたします。いずれのアプリケーションもDr.Webの国際登録商標およびロゴを違法に使用しており、両開発者とDoctor Web社との間には何らの関係もありません。

問題となっているアプリケーションはSYStem Monitor Dr.Web Light ProおよびSystem Services Anti-virus Dr.Web Lightです。開発者はそれぞれDunkin assassin nguyen、BUI MAIとなっています。

いずれのアプリケーションもDr.Webの製品ラインには含まれていません。iOS向けのDr.Web製品はDr.Web Mobile Control CenterとDr.Web CureNet!のみになります。iTunes Store上で入手可能なDr.Web製品の一覧はこちらでご確認いただけます：https://itunes.apple.com/jp/developer/doctor-web-ltd/id471859441

したがって、当該アプリケーションをダウンロード・インストールしたことによって生じるいかなる結果についてもDoctor Webは責任を負うものではありません。

Doctor Web では2016年8月8日付でApple社のテクニカルサポートへ報告を行いましたが、モスクワ時間午後8時の時点で未だ返答を受け取っていません。

Doctor WebはDr.Web商標の独占的権利を所有しています。アプリケーションを購入する前には、それがDoctor Webによって開発されたものであるかどうか、開発者情報を確認するようお願いいたします。iTunes Store上では"この開発者による他の App を見る"をクリックすることで、会社名のほか、同じ開発者から提供されているその他のアプリケーションに関する情報を確認することができます。

2016年8月4日

株式会社Doctor Web Pacific

Doctor Webは修復ユーティリティDr.Web CureIt!をアップデートしました。今回のアップデートにより、本ユーティリティに含まれるアンチルートキットモジュールDr.Web Anti-rootkit API (11.1.5.201607180)、スキャンサービスDr.Web Scanning Engine (11.1.2.201608020)、及びウイルスデータベースがアップデートされました。

他のユーザー名で起動するオプションを利用した場合、スキャンがフリーズしてしまう問題が修正されました。

Dr.Web CureIt!のダウンロード

2016年8月4日

株式会社Doctor Web Pacific

今日拡散されている悪意のあるAndroidアプリケーションの中で最も犯罪者に人気のあるのが、迷惑な広告を表示させるトロイの木馬です。これらトロイの木馬には、プログラムをダウンロード・インストールしたり、ユーザーの個人情報を盗んだりする追加の機能を備えたものも存在します。この度Doctor Webスペシャリストによって発見されたそのようなトロイの木馬の1つは、特定の状況下でGoogle Playアプリを購入し、インストールする機能を備えていました。

Android.Slicer.1.origin と名付けられたこのトロイの木馬は、通常、他のマルウェアによってデバイス上にインストールされ、人気のあるサービスのユーティリティやSEOソフトウェアに特有の機能を実行します。中でも特に、 Android.Slicer.1.origin はRAMの使用量情報を表示させ、動作中のアプリケーションを終了させることができます。また、BluetoothやWi-Fiモジュールを有効化・無効化することが可能です。このトロイの木馬は画面上にショートカットを作成しないため、ユーザーは該当するアプリケーションを個別に起動させることができません。

Android.Slicer.1.origin は一見したところ無害なアプリケーションのように見えますが、典型的なアドウェアの動作を実行します。すなわち、 Android.Slicer.1.origin が起動されると、またはホーム画面がオン／オフされるかWi-Fiモジュールが無効化されると、トロイの木馬によって、感染したデバイスのIMEI番号、Wi-FiアダプターのMACアドレス、デバイスメーカー名、OSバージョンに関する情報がC&Cサーバーへ送信されます。その応答として、C&Cサーバーから以下の指示が返されます：

• ショートカットをホーム画面に作成する
• 広告を表示させる
• ブラウザまたはGoogle Playアプリケーション内で広告Webページを開く

そのうえ、 Android.Slicer.1.origin は有料のものを含む特定のアプリケーションをインストールする機能を備えています。その際、 Android.Slicer.1.origin は管理者権限を取得するために使用されるSUユーティリティに類似した Android.Rootkit.40 と呼ばれる別のトロイの木馬を使用します。 Android.Rootkit.40 が/system/bin内に存在する場合、 Android.Slicer.1.origin は自動的にGoogle Playアプリを購入し、インストールすることが可能です。

そのために、 Android.Slicer.1.origin は指定されたアプリケーションのセクションを開き、 Android.Rootkit.40 の管理者権限を使用して標準的なuiautomatorユーティリティを起動させます。その結果、トロイの木馬はその時点で画面上に表示されている全てのウィンドウとインターフェースの項目に関する情報を取得することができるようになります。次に、 Android.Slicer.1.origin はcom.android.vending:id/buy_button（「購入」および「インストール」ボタン）およびcom.android.vending:id/continue_button（「次へ」ボタン）の識別子を持つボタンに関する情報を検索し、それらボタンとボタンの中間の位置を割り出します。そしてボタンのタップを開始し、それらが画面上から消えるまでタップし続けます。このように、 Android.Slicer.1.origin は犯罪者のコマンドに従って、ユーザーに気付かれることなく、アプリケーションのほぼ全ての有料バージョンを自動的に購入し、無料バージョンをダウンロードすることが可能です。

ただし、密かにアプリケーションを購入・インストールする Android.Slicer.1.origin の機能は限られています。第一に、 Android.Slicer.1.origin の使用するボタンの識別子はAndroid 4.3以降のものである必要があります。第二に、 Android.Rootkit.40 はSELinuxが有効になっているデバイス上、すなわちAndroid 4.4以降では動作することができません。したがって、 Android.Slicer.1.origin がアプリケーションを購入・インストールすることができるのは、感染したデバイスがAndroid 4.3を搭載している場合に限られます。

Dr.Web for Androidは Android.Slicer.1.origin を検出・削除することができます。したがって、Dr.Webユーザーに危害が及ぶことはありません。

2016年8月4日

株式会社Doctor Web Pacific

Doctor Webは、8月2日にリリースされたWindows 10 Anniversary UpdateがDr.Web製品の動作に影響を及ぼすことがなかったことをお知らせします。Dr.Web製品は、これまでどおり高水準のセキュリティを提供し続けます。

ご承知のとおり、Doctor WebではWindows 10 Anniversary Updateに先立ち、それに関連するアップデートをDr.Web Security Space、Dr.Web Anti-virus 11.0、Dr.Web Anti-virus 11.0 for Windows Servers、Dr.Web 10.0 for MS Exchange、Dr.Web 11.0 for IBM Lotus Dominoで行っています。

Doctor Webでは、最新の情報セキュリティ要件を満たし、Microsoft社などのオペレーティングシステム開発会社によって導入されるあらゆる変更や革新に対して迅速に対応するよう常に努めています。

この困難な目標を達成するため、Doctor Webでは、アップデートされるWindows 10との互換性を確実なものにするようDr.Webコンポーネントの動作を調整しています。実際に行われる変更が、Microsoft社によって事前に発表されていた調整やアップグレードの内容と異なる場合がしばしばあるという現実が、Doctor Webの挑戦をより困難なものにしていました。

今夏にリリースされる全てのDr.Webアップデート（システムの再起動を必要とするものを含む）によって、Windowsの大型アップデート後もDr.Web製品は引き続きユーザーのコンピューターを確実に保護します。

上記全てのDr.Web 11.0 for Windows製品ならびにDr.Web Anti-virusバージョン11はMicrosoft社によるAnniversary Updateで導入される全ての機能と完全な互換性を有しています。

2016年8月3日

株式会社Doctor Web Pacific

Doctor WebはDr.Web Anti-virus 11.0.1 for Linux 及びDr.Web Anti-virus 11.0.1 for UNIX File Serversをアップデートしました。同製品の性能面、及び動作の速度向上につながる変更点が加えられたほか、新しい機能が追加されました。また、Dr.Web Anti-virus for Linuxでは、発見されたエラーが修正されました。

今回のアップデートにより、Dr.Web Anti-virus for UNIX File Serversには、アンチウイルスのインストールが不可能なシステムをSSH経由でスキャンできる新しい機能が搭載されたほか、Samba 4.2、4.3 及び 4.4.がサポートされるようになりました。スキャンのためにclamd を用いるProftpdなどのサービスと統合できるために、API ClamDのエミュレーションが可能となりました。アンチウイルス操作のWebインターフェイスが改良され、ESサーバーに接続できるようになりました。アップデート時にエラーが発生した際に、以前の状態へウイルスデータベースをロールバックできるオプションが追加されました。デフォルト設定では、そのオプションが無効になっていることにご注意ください。また、アーカイブのスキャン速度も向上しました。

Dr.Web Anti-virus for Linuxには、ホワイト/ブラックリストの表示問題が修正され、ファイルスキャンにかかる時間が縮小しました。また、Dr.Web LinkCheckerにアーカイブをスキャンする機能が搭載されました。

Dr.Web for Linuxユーザーは、アップデートされたディストリビューションをダウンロードし、プログラムをインストールしてください。

リポジトリを使用してインストールされたDr.Web Anti-virus for UNIX File Serversをアップデートする際は、パッケージマネージャーを使用する必要があります。ユニバーサルパッケージを使用してインストールを行っていた場合は、アップデートされたディストリビューションをダウンロードし、アプリケーションを再インストールしてください。

2016年8月2日

株式会社Doctor Web Pacific

カード決済に使用されるPOS（Point-of-Sale）端末は常にサイバー犯罪者の標的となっており、これらの端末から横取りしたデータを犯罪者に送信する多くのトロイの木馬の存在がITセキュリティスペシャリストによって明らかになっています。先頃、それらトロイの木馬のうちの1つに亜種が登場し、Doctor Webセキュリティリサーチャーによる分析が行われました。

Trojan.Kasidet.1 と名付けられたこのトロイの木馬は Trojan.MWZLesson の改変されたバージョンです。 Trojan.MWZLesson に関する詳細については2015年9月に公開されたこちらの記事をご覧ください。このトロイの木馬も Trojan.Kasidet.1 同様、Mozilla Firefox、Google Chrome、Internet Explorer、Maxthonブラウザから送信されたGETおよびPOSTリクエストを盗み取る機能を備えています。

Trojan.Kasidet.1 は自己展開型SFX-RARアーカイブであるSCRファイルを含んだZIPアーカイブとして拡散されています。このファイルによって主要な悪意のあるペイロードが抽出され、実行されます。

まず初めに、 Trojan.Kasidet.1 は感染させたシステム上で自身のコピー、仮想マシン、エミュレータ、デバッガの存在を確認します。自身の動作を妨げるようなプログラムが検出された場合、 Trojan.Kasidet.1 は動作を終了しますが、検出されなかった場合は管理者権限を取得して動作を続けます。画面にはユーザーアカウント制御（UAC）による警告が表示されますが、動作中のアプリケーション（wmic.exe）はMicrosoft社のものを装っており、このことがユーザーの油断を招いていると考えられます：

次に、wmic.exeユーティリティが Trojan.Kasidet.1 の実行ファイルを起動させます。 Trojan.MWZLesson と同様、このトロイの木馬はPOS端末から取得したクレジットカード情報を探してコンピューターのメモリをスキャンし、それらの情報を窃取してC&Cサーバーへ送信します。また、メールアプリケーションであるOutlook、Foxmail、Thunderbirdからパスワードを盗み、GETおよびPOSTリクエストを横取りする目的でMozilla Firefox、Google Chrome、Internet Explorer、Maxthonブラウザのプロセス内に侵入する機能を備えています。そのほか、感染したコンピューター上に別のアプリケーションや悪意のあるライブラリをダウンロードしてそれらを実行し、ディスク上で特定のファイルを検出し、動作中のプロセス一覧を作成してC&Cサーバーへ送信することができます。

Trojan.MWZLesson とは異なる点として、 Trojan.Kasidet.1 ではC&Cサーバーアドレスが管理者のいないドメイン「.bit（Namecoin）」に置かれているということが挙げられます。これはBitcoinテクノロジーを基にした代替DNSルートサーバーのシステムで、一般的なブラウザではこのようなネットワークリソースにアクセスすることはできません。一方、 Trojan.Kasidet.1 は独自のアルゴリズムを用いることでC&CサーバーのIPを取得しています。このNamecoinテクノロジーを使用する悪意のあるプログラムの存在は2013年より知られていますが、その他のトロイの木馬と異なり、それほど多くは拡散されていません。

Dr.Web Anti-virusは Trojan.Kasidet.1 を検出・削除することができます。したがって、Dr.Webユーザーに危害が及ぶことはありません。

2016年8月1日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web Anti-virusサービスの構成要素となるDr.Web Agent for Windowsをアップデートしました。本サービスのユーザーは、Dr.Web for Windows 製品バージョン11.0の様々な新しい機能を利用いただけます。また、ゼロデイ脆弱性を悪用する攻撃に対する防御対策が一層強化されたほか、アンチウイルス動作の速度も大幅 に向上しました。

Dr.Web Agent 11.0 for Windows の新しい機能：

• OSの動作環境の掌握を狙う悪意を持ったオブジェクトがアプリケーション内の脆弱性を悪用しようと試みるのに対し、防御対策を施しています。予防的保護の設定をカスタマイズできるようになったため、オブジェクトに対する信頼できるアプリケーションのアクセスを制御し、システム内の競合を防ぐことが可能になりました。予防的保護の設定でプロファイルを作成できるオプションが追加されました。
• Dr.Web Scanning Engineモジュールの最適化によりオブジェクトのスキャン速度が向上しました。
• Dr.Web Scanner SEコンポーネントのユーザーインターフェースを見直しました。スキャナー設定をアンチウイルスの一般設定へ移動したことで操作が容易になりました。
• アンチウイルス動作についてのデータを収集・保管するシステムが導入されました。ユーザーはフィルターを使って、選択されたコンポーネントのイベントログ、又はアクセスの試みがあったペアレンタルコントロールによりブロックされたウェブサイト一覧をいつでもご覧になれます。
• ペアレンタルコントロールの新しい機能：
• 子供がコンピュータを使う時間を制限できるオプションが追加されました。夜間時間を手動で設定すると、コンピュータが自動的にロックされます。
• ファイル及びフォルダへのアクセスを制御できる機能がさらに改善されました。アクセスを制御する、または閲覧のみを許可することが可能になりました。
• 時間を制限できるオプションのためのプロファイル作成が可能になりました。
• 設定を別のユーザーアカウントにコピーすることが可能になりました。
• 特定のアカウントのためにペアレンタルコントロールを無効にする機能が追加されました。
• ファイル及びフォルダへのアクセス制限を無効にする機能が追加されました。その際に、ブロックされるオブジェクトのリストをクリアしたり、ペアレンタルコントロールを完全に無効にしたりする必要がありません。
• アクセスを制限できるウェブサイトの新しいカテゴリ：オンラインゲーム が追加されました。
• 隔離マネージャーの新しい操作機能が導入されました。オブジェクトの再スキャン、バックアップコピーの表示が可能になりました。これにより、ユーザーはアンチウイルスにより削除/修復されたオブジェクトの復元ができるようになりました。
• 新しいコンポーネントであるDr.Web HyperVisorが導入された結果、脅威の検出/修復がさらに改善されるほか、セルフプロテクションも強化されることとなりました。このコンポーネン トはOSより低いシステム領域で起動・動作するため、マルウェア（未知のマルウェアを含む）がDr.Webに保護されるシステムに進入し、それを掌握するリスク、またはアンチウイルス動作を停止させるリスクを完全に防止します。
• ブロックされるデバイスのホワイトリスト管理が改善されました。特定のユーザーやグループ向けに許可の設定が可能になりました。ファイルシステム・デバイスである場合、「すべて許可」あるいは「読み取り専用」の設定を指定できます。
• Dr.Web Control Service、及びそのコンポーネントであるSpIDer Agent for Windowsを更新するための再起動が不要となりました。
• 脅威の駆除が実行された後で再起動の必要を通知するメッセージが表示されます。この通知は、再起動をしないと駆除できない複雑なタイプの脅威が修復される場合にのみ、ポップアップされます。指定されたデバイスの使用をブロックするというオプションの設定に、デバイスロックについての通知が追加されました。
• アンチスパムの設定がSpIDer Mailコンポーネントの設定へ移動されました。
• BadUSB脆弱性から守るために、キーボードを模倣するデバイス向けの防御策を実装しました。
• モバイルモードを使って、ユーザーはデータベースの更新を手動で実行することができるようになりました。

2016年8月1日

株式会社Doctor Web Pacific

Doctor Webは、Dr.Web Anti-virusサービス加入を可能にするインターネットサービスであるDr.Web AV-Deskの構成要素となるControl Centerをアップデートしました。中でも特に、Dr.Web Agent 11.0 for Windows へのサポートが加えられたほか、クライアントデバイスのためのファイル作成が簡易化され、Control Centerのオプションが最適化されよりユーザーフレンドリーとなり、発見されたエラーが修正されました。

Dr.Web AV-Desk Control Centerの新しい機能：

• Dr.Web Agent 11.0 for Windowsがサポートされるようになりました。
• Android OS対応デバイスのコンフィグレーションファイルは有効期間に制限がありません。
• Dr.Web Agent for Windowsの個人的なインストールパッケージを作成する際に、Agentのサーバーへの接続設定が考慮されます。
• 決済レポートがより早く作成されるようになりました。
• 検出されたエラーが修正されました。

2016年8月1日

株式会社Doctor Web Pacific

当社は、2016年7月25日付にて、代表取締役の異動(交代)を行ないましたのでご案内いたします。

2016年8月１日

株式会社Doctor Web Pacific

Doctor WebはDr.Web KATANA バージョン 1.0のコンポーネントをアップデートしました。発見されたエラーが修正されたほか、内部的変更が行われました。

以下のモジュールがアップデートされました。

• コントロールサービス Dr.Web Control Service (11.1.2.07180);
• アンチルートキットモジュール Dr.Web Anti-rootkit API (11.1.5.201607180);
• Dr.Web KATANA Agent (11.0.3.201606300);
• Dr.Web Thunderstorm Cloud Client SDK (11.0.0.201604290);
• Dr.Web KATANA setup (1.0.1.07280);
• セルフプロテクションモジュール Dr.Web Protection for Windows (11.01.03.07140);
• エクスプロイトからの保護モジュール Shellguard (11.01.00.07070);
• 設定スクリプト Lua-script for dwprot (11.0.0.07250).

コントロールサービスに変更が加えられたことにより、Bitdefender IS 2016がインストールされているシステム上にDr.Web KATANAをインストールする際に発生する、デモキーの取得問題が解決されたほか、特定の条件下においてシステムへのアクセスが、ユーザープロファイルのサービスに妨げられるエラーへと繋がっていた問題も解消されました。

登録ウイザードにて、発生する可能性のあるエラーの説明がさらに詳しくなりました。 アップデートは自動的に行われますが、システムの再起動が必要です。

2016年7月29日

株式会社Doctor Web Pacific

Doctor Webは、2016年7月におけるモバイルデバイスを狙った脅威についての総括をここに報告します。7月には、広告を表示させ個人情報を盗むよう設計されたトロイの木馬がGoogle Play上で発見されたほか、人気のゲーム「Pokémon GO」の改変されたバージョンに組み込まれたスパイウェア型トロイの木馬が登場しました。

2016年7月29日

株式会社Doctor Web Pacific

Doctor Webは2016年7月のウイルスレビューをここに報告します。夏に入って2番目の月は極めて動きの少ない月となりました。その多くが良く知られたトロイの木馬の亜種である少数の脅威が発見されたにとどまっています。ウイルスデータベースに追加された新たな脅威には、既知のバックドアをインストールするドロッパー型トロイの木馬や実際には学生の研究プロジェクトであったLinux向けランサムウェアプログラムが含まれています。