PR

 このところ、2009年に国内で多く見られたマルウエア「Conficker」によく似た動作のマルウエア「Murofet」が広まっている。米ウェブセンスがブログ(Murofet: Domain Generation ala Conficker)で解説している。

 Confickerの特徴は、毎日大量のドメイン名を生成すること。Murofetも1日に数千個のドメイン名を作り、コードのアップデートを行おうとするという(関連記事:「W32.Downadup.C」ワームの疑似乱数を使ったドメイン名生成機能/Confickerに新たな亜種「WORM_DOWNAD.E」,PtoP通信でアップデート )。

 Murofetは、起動すると最初にアップデートのダウンロードを試みる。そのために、まず実行された日付と(時刻の)分という情報から疑似乱数でドメイン名を生成する。この過程で、分データの値によって組み合わせるトップレベルドメイン(TLD)を「.biz」「.info」「.org」「.net」「.com」から選ぶ。こうして1日当たり1020個のドメイン名を作る。

 ドメイン名の生成処理が終わると、Murofetはその中からアップデートをダウンロードできるところを探し出す。そして、新たに作ったダウンロード用プロセスでアップデートを入手し、新たなバージョンのマルウエアで仕事を始めるのだという。

 ウェブセンスはWebサイトでセキュリティ研究者向けにMurofetのドメインリストを提供している。

パスワードを守る方法をグーグルが伝授

 米グーグルが同社のブログ上で、各種オンラインサービスで使うアカウント「Google Account」の保護強化策を解説している(Protecting your data in the cloud)。米国の「National Cyber Security Awareness Month(国家サイバーセキュリティ意識向上月間)」の一環だとしている。

 Google Accountは、写真や文書、ブログ、カレンダーなど多くの個人情報と結び付けられている。そのため、Google Accountはその持ち主だけでなく、スパム送信者(スパマー)や詐欺師にとっても極めて価値の高い情報である。

 アカウントの不正取得を図る連中は、平均的なインターネットユーザーがついやってしまう行為を利用する。悪人たちの手口を知り、優れたセキュリティ習慣を取り入れれば、被害に遭うことを避けられる。悪人は、以下に示したような方法でGoogle Account用パスワードを狙う。

  • パスワードの流用:ほかのWebサイトから盗んだユーザー名とパスワードでGoogle Accountにログインを試みる
  • マルウエア:パソコンにマルウエアを感染させ、入力時にパスワードを盗んだり、Webブラウザーのキャッシュデータからパスワードを取り出したりする
  • フィッシング:悪事と無関係な組織を装ったWebサイトやメール、電話に対応させて、ユーザー名とパスワードをだまし取る
  • ブルートフォース:名前と誕生日の組み合わせなど、簡単に推測できるパスワードを総当たり攻撃で当てる

 複数サイト間でのパスワード使い回しを止めてそれぞれ異なるパスワードを設定しても、あらゆる攻撃からアカウントを守れるわけではない。そこでグーグルでは、パソコンやWebブラウザー、「Gmail」、Google Accountの保護に役立つ、簡単なチェックリストを作った。要点は以下の通りである。

  • オンラインバンキングやメール、SNS、オンライン通販などで使う大切なアカウントのパスワードは使い回さない
  • 定期的にパスワードを変える。重要なアカウントの一つが盗まれた疑いがある場合は、必ず変更する
  • Google Accountのユーザー名やパスワードを問い合わせるメッセージや電話、グーグル以外のWebサイトには返答しない。答えてしまった場合は、グーグルに報告し、該当アカウントにはアクセスせず復旧ページを利用する

     なおグーグルは、オプションでGoogle Accountで2段階の認証手順を使えるようにし、セキュリティを強化している(関連記事:Twitterで広がるJavaScriptの「onMouseOver」を使った攻撃)。

    仮想マシンを使ったマルウエアの難読化

     最後に、米マクロソフトのMicrosoft Malware Protection Centerのブログで取り上げられている、マルウエアの難読化についてのブログ(Prehistoric Virtual Machines)を紹介しておこう。

     マルウエアのコードを難読化するための仮想マシンというと、「VMProtect」や「Themida」がよく知られている。いずれも2004年ころ登場したもので、まだ6年程度の歴史しかない。それ以前は、難読化とは別の目的で仮想マシンを使ったところ、意図せず難読化できてしまった時代である。

     例えば、一つの同じコードを多種多様なプラットフォームで使えるようにするため、元のコードを擬似コード(Pコード)に変換して仮想マシンで動かすとしよう。このPコードは、人間にとって元のコードより解釈しにくい。つまり、本来の目的は移植性の確保だが、難読化の効果も得られるのだ。Pコードを解釈するインタプリターのなかには、仮想マシンで実現できない機能を提供するために、対象プラットフォームのネイティブコードを実行するものがある。このような仕組みも、一種の意図しない難読化といえる。

     「nibble」フォーマットで保存したフロッピーディスクのイメージも同様の意図しない難読化だという。Apple IIのフロッピーから作ったディスクイメージファイルををApple IIエミュレータに読み込ませると、本来必要なハードウエアなしでイメージ内のプログラムを動かしたりデータを参照したりできる。

     ブログでは例として、米エレクトリックアーツが1983年にリリースしたゲーム「The Last Gladiator」で採用したコピープロテクト機構を紹介している。これは意図的なコード難読化である。このゲームは仮想マシンを2個使っており、それぞれ実行可能な命令が限られているのでコードの解析/実行を2段階で処理するなど複雑な仕組みを備えているのだという。VMProtectとThemidaはこれと全く同じ手法で難読化している。