URLZone_Vawtrak_JP

Transcription

1 Threat Insight Blog 及 び UrlZone バンキングトロージャンが 日 本 を 狙 う 概 要 Proofpoint の 研 究 者 は 日 本 をはじめとする 国 々を 狙 ったバンキングトロージャンが 今 年 1 月 から 2 月 にかけてかつて 無 い 規 模 で 拡 散 しているのを 観 測 しました 日 常 的 に 狙 われているイギリスやアメリ カなどでは 企 業 の 対 策 も 進 んでいますが これらの 国 々はこれまで 狙 われてこなかったため 被 害 の 拡 散 が 懸 念 されています 特 に 日 本 ( 及 びスペイン) では 2015 年 10 月 に 最 初 に 観 測 された Shifu 以 降 継 続 して 大 規 模 な 攻 撃 に 晒 されています 今 回 の 観 測 から 得 られた 主 な 発 見 は 以 下 の 通 りです: UrlZone バンキングトロージャンが 日 本 とスペインの 銀 行 を 狙 ったメールスパムによって 拡 散 しています トロージャンは Angler エクスプロイトキットを 介 して 広 がっており 日 本 の 銀 行 を 狙 っています どちらのトロージャンも 金 融 機 関 の Web サイトのコンテンツを 操 作 するためのダイナミックイ ンジェクトシステムを 使 っています (リソースを 共 有 しているか 同 じサードパーティからツー ルを 調 達 していると 考 えられます) このインジェクトシステムはロシア 人 によって 開 発 されました UrlZone バンキングトロージャン 今 年 1 月 21 日 Proofpoint の 研 究 者 は 日 本 のメールアカウントを 狙 った 数 万 通 ものメールを 含 む 大 きなスパム 攻 撃 を 観 測 しました 他 の 研 究 者 も 日 本 での UrlZone の 急 増 を 観 測 しました しかし それよりも 重 要 なことが 背 後 で 起 こっていました 複 数 の Gmail アカウントから 送 信 された 攻 撃 メールの 件 名 は copy 3 メール 本 文 は 空 白 で ZIP 圧 縮 された 実 行 形 式 ファイルが 添 付 されています Proofpoint はこれまで Dridex の 拡 散 を 数 多 く 観 測 し てきましたが 2015 年 を 通 じて このようなシンプルなテクニックが 使 われるようになってきています シンプルなため 作 るのが 簡 単 で 偽 装 のための 特 別 なアイデアも 必 要 無 く 翻 訳 も 必 要 ありません そして 恐 らくはそれでも 十 分 な 効 果 を 上 げているのです 図 1: 攻 撃 メール 1

2 この 攻 撃 で 使 われていた 添 付 ファイルが Andromeda です Andromeda はマルチパーパスのボットで すが このケースでは UrlZone をダウンロードするために 使 われています また マルウェアのエコシ ステムでは 良 くあることですが Andromeda が 他 のマルウェアを 大 量 にロードすることも 観 測 されてい ます UrlZone: マンインザブラウザータイプのバンキングトロージャンで ここ 数 年 観 測 されていま す Pushdo Downloader: 感 染 したコンピュータをスパムボットネットに 追 加 するのに 加 え このロ ーダーは NeutrinoBot をダウンロードします : パスワードの 窃 盗 DDoS 他 のペイロードのロードなどの 機 能 を 持 つマルチパ ーパスボットで 今 回 は 追 加 の 窃 盗 のために Pony をダウンロードします Pony: 追 加 のマルウェアのロード パスワードの 窃 盗 ビットコインのサイフとして 使 われます 今 回 は 窃 盗 の 機 能 が 使 われました Proofpoint が 1 月 27 日 に Cryptowall の 大 がかりな 攻 撃 を 観 測 したことを 附 記 しておくことには 意 味 があるでしょう Cryptowall は UrlZone 攻 撃 でも 使 われた をダウンロードします そし て 2015 年 12 月 11 日 には 同 じく UrlZone 攻 撃 の 中 で 使 われた Andromeda ボットネットが 使 われ た 攻 撃 を 観 測 しています このときはしかし Pushdo のダウンロードのみに 使 われていました これら の 観 測 結 果 は これらの 攻 撃 を 行 った 攻 撃 者 の 間 になんらかの 関 係 があったことを 示 唆 しています 図 2: UrlZone と 関 連 する 攻 撃 以 下 の 表 は UrlZone によって 狙 われた 銀 行 ( 及 び 顧 客 ) です 銀 行 名 国 狙 われたドメイン Bankiter Spain empresas.bankinter.com Banco Sabadell Spain ww1.sabadellcam.com ww1.sabadellurquijo.com Banca Multicanal Spain 2

3 Sumitomo Mitsui Banking Japan directd?.smbc.co.jp Corporation The Musashino Bank Japan ib1.musashinobank.co.jp The Yamagata Bank Japan ib1.yamagatabank.co.jp Juroku Bank Japan bk.juroku.co.jp Chugoku Bank Japan direct.chugin.co.jp Bank of The Ryukyus Japan direct.ryugin.co.jp Hachijuni Bank Japan direct1.82bank.co.jp The Daishi Bank Japan ib.daishi-bank.co.jp Hokkoku Bank Japan ib.hokkokubank.co.jp Shinkin Bank Japan www11.ib.shinkin-ib.jp The Norinchukin Bank Japan *direct.jabank.jp The Tajima Bank Japan *parasol.anser.ne.jp Resona Bank Japan *ib.resonabank.co.jp The Japan Net Bank Japan *login.japannetbank.co.jp Tsukuba Bank Japan ib.tsukubabank.co.jp The Awa Bank Japan ib1.awabank.co.jp MIYAZAKIBANK Japan mib.miyagin.co.jp The Hiroshima Bank Japan direct.ib.hirogin.co.jp 図 3: UrlZone のインスタンスによって 狙 われた 日 本 とスペインの 銀 行 サイト バンキングトロージャン Sophos と Trend Micro の 研 究 者 が 2014 年 以 前 に が 日 本 を 狙 っていることを 書 いていま すが 2015 年 から 2016 年 にかけて 日 本 を 狙 っているアップデートされた 攻 撃 について 記 述 されたものはありません 2016 年 2 月 2 日 私 達 は Angler EK が ID 28 を 日 本 に 向 けて 配 信 しているのを 観 測 しました 図 4: 日 本 を 狙 って ペイロードを 配 信 する Angler EK 以 下 の 表 は 最 近 の 攻 撃 で に 狙 われた 銀 行 です: 銀 行 名 国 狙 われたドメイン Sumitomo Mitsui Banking Japan directd?.smbc.co.jp Corporation The Musashino Bank Japan ib1.musashinobank.co.jp The Yamagata Bank Japan ib1.yamagatabank.co.jp Juroku Bank Japan bk.juroku.co.jp Chugoku Bank Japan direct.chugin.co.jp Bank of The Ryukyus Japan direct.ryugin.co.jp The Daishi Bank Japan ib.daishi-bank.co.jp Hokkoku Bank Japan ib.hokkokubank.co.jp Hachijuni Bank Japan direct1.82bank.co.jp Tsukuba Bank Japan ib.tsukubabank.co.jp The Awa Bank Japan ib1.awabank.co.jp MIYAZAKIBANK Japan ib.miyagin.co.jp The Hiroshima Bank Japan direct.ib.hirogin.co.jp Shinkin Bank Japan www11.ib.shinkin-ib.jp The Norinchukin Bank Japan direct.jabank.jp 3

4 Resona Bank Japan ib.resonabank.co.jp The Japan Net Bank Japan login.japannetbank.co.jp The Tajima Bank Japan parasol.anser.ne.jp SBI Sumishin Net Bank Japan netbk.co.jp 図 5: ID 28 に 狙 われた 日 本 の 銀 行 サイト と UrlZone で 共 有 されているダイナミックインジェクトシステム 両 方 のトロージャンからインジェクトコードを 抜 き 出 してみたところ 標 的 となっている 銀 行 が 重 複 してい ることを 発 見 しました どちらのバンキングトロージャンも 金 融 機 関 の Web サイトのコンテンツを 操 作 するために 同 じダイナミックインジェクトシステムを 使 っていたのです これは 双 方 の 攻 撃 者 は 何 らか の 形 でリソースを 共 有 しているか 同 じサードパーティからツールを 調 達 していることを 意 味 しています そして インジェクトの JavaScript コードに Startuem nash interval na proverku statusa という 記 載 があることから これはロシア 人 の 開 発 者 によって 開 発 されたことがわかります これは ステータスを チェックするためのインターバルを 開 始 という 意 味 です 図 6: インジェクトコードの 一 部 結 論 他 所 でも 書 かれているように 日 本 とスペインでのバンキングトロージャンの 急 増 は 大 きな 問 題 を 孕 ん でいます イギリスやアメリカの 組 織 は これまでも Dridex や Dyre (そしてその 他 のバンキ ングトロージャン) の 激 しい 攻 撃 を 受 けてきており 防 御 システムにもそれなりの 投 資 を 行 っていますが これまでそういった 経 験 が 乏 しかった 地 域 では これらの 脅 威 と 戦 っていく 過 程 で 自 らの 脆 弱 性 に 気 が ついて 行 くでしょう 残 念 ながら 多 くの 地 域 で 標 的 が 無 くなってきているため 攻 撃 が 新 しい 地 域 に 向 かうのは 時 間 の 問 題 であり そういった 地 域 がこれまで Dridex や 他 のマルウェアで 見 られたような 膨 大 な 規 模 の 攻 撃 を 経 験 することは 確 実 なのです 追 補 A : UrlZone を 含 む 攻 撃 の IOC 値 1a86cf4fb4dcb0e4e3aad41bc039d8302e0fd6f9fabe203efc77e3aec35e2f C9479E1DF26545D469D3D54A0E268F01AD8AA061F C3B1 594A0C 757F2C CBC8C7B9F5F63ED4AB00F34485F516A66B2A81B4EDF B CE08A35831F6F5777DB6E8FEA9BAC FEC019338BA FB E90050D963D376C1F75416EBF9BC6FFA F8ADD1DDE6D d6d7ea0eeec99da1add9e83f672533eeee900dc817018ee6edbf635bb08cf0 a f3b9815ea4a6c603eafadb26efebec21565deec315ee007d59e92f0f656a90bb 15896a44319d18f b078146c30a0ce1cd7e6038f6d614324a39dfc6c2 8 タイプ Andromeda hash Pushdo hash hash Pony hash 4

5 hxxp://huremoke[.]net/get.php hxxp://votehad[.]su/paris.php hxxp://shardsound[.]net/images.php hxxp://kernsmee[.]ru/news.php hxxp://masabodhi[.]com/andoluse.php hxxps://hwnbv5woeedjffn[.]com hxxp:// [.]179/ajax.php hxxp:// [.]179/p/ajax.php hxxp:// hxxp:// hxxp:// hxxp:// hxxps://ifree-online[.]com UrlZone C2 C2 Pony C2 Andromeda UrlZone Andromeda Pushdo loader Pushdo loader Pony UrlZone Injects C2 追 補 B: を 含 む 攻 撃 の IOC 値 タイプ 9f1de72234dcf77ddf25b69df98058a7f9e633f803ddc bb315ef3a04c hash hxxp://begiekee[.]com/rss/feed/stream hxxp://searalihid[.]com/rss/feed/stream hxxp://zofienie[.]com/rss/feed/stream hxxp://deehiesei[.]com/rss/feed/stream hxxp://keanees[.]com/rss/feed/stream hxxp://peazor[.]com/rss/feed/stream hxxp://xeaberal[.]com/rss/feed/stream hxxp://dietoog[.]com/rss/feed/stream hxxp://mafoovoo[.]com/rss/feed/stream hxxp://geeseazei[.]net/rss/feed/stream [.]74:8080 hxxp:// [.]19//272a5ad4a1b97a2ac874d6d3e5fff01d hxxp:// [.]19//2f6421d9a99d75c5d153edda3f1fe5e3 hxxp:// [.]19//9079dae8e107342d8f3747fa74ab8a57 hxxp:// [.]19//7afb9776a27d97b2f43f8de

6 hxxp:// [.]19/upd/28 update Contact us; 日 本 プルーフポイント 株 式 会 社 東 京 都 中 央 区 日 本 橋 日 本 橋 通 り 二 丁 目 ビル 9F 6