- ソーシャルメディアの情報にはご用心
- 電話サポート詐欺の最新版とは？
- ESETのコーポレートニュース
- 5～6月に世界各地で開催されるセキュリティイベント
- マルウェアランキングトップ10
- マルウェアランキングトップ10（グラフ）
- ESET社について
- ESETが提供するその他の情報源
[本記事の初出はChainMailCheckブログでした。]
ユーザーが投稿したコンテンツに対するFacebookの自動監視がいかに厳しいかを知ったら、皆さんは驚かれるかもしれません。以前、スパマーや詐欺師たちが頻繁に悪用することでよく知られるあるドメインについて一切のおもねりもなく言及したところ、Facebook側は私がコメントを投稿できないようにしただけでなく、私のアカウントが侵害されていると判断し、私が再度ログインしてパスワードを変更するまで利用停止にしたのにはやや驚きました。だからといって、Facebookがユーザーによる不適切なコンテンツの書き込み、リンク設定、共有を常時阻止しているわけではないのは残念ですが。
先日、Craig Charles Haley氏が執筆した「Trial by Facebook - Dangerous Trends」というタイトルの記事を拝見しました。Haley氏はソーシャルメディアにおける自警措置の適用について鋭い指摘をしています。ただし、「○○はハッカーです」といったデマ（welivesecurityの記事「It’s a wonderful hoax」もご覧ください）や、ジョージョブ（joe jobs）（「jobs」といっても某実業家とは無関係です。ジョージョブは攻撃の一種で人名ではありません）のような個人を標的とする悪意のある攻撃、巧みに練られたネットいじめなどの不快な要素は、FacebookやTwitterが私たちの生活の一部となるずっと以前から形を変えて存在していました。同氏の記事では、最近被害に遭ったユーザーの例をいくつか紹介するとともに、インターネット上の噂が事実かデマかを見分けるための賢明なアドバイスを提供しています。
Haley氏も指摘していますが、この問題は、いかにして真実と根も葉もない噂を見分けられるか、という話では済まされません。その真意は、匿名や偽名で膨大な数のバーチャル観客に対して自分自身を表現することが可能な環境においてユーザーがどのように振る舞うか、という点にあります。この問題で重要となるのは、ハッカーやサイバー犯罪者ではなく、平均的なインターネットユーザーの方です。例えば次のようなユーザーが該当します。
- 日々のオフラインの生活で本やCDが盗まれるとは夢にも思っていないが、海賊版のPDFファイルやMP3を問題視していない可能性のあるユーザー。または自分のブログページに掲載した写真が、他人の著作権保護下にあったとは思いもかけないユーザー。
- 道端で知らない人に家の鍵を貸してもらえないかと突然話しかけられたら不審に思うユーザーが、パスワードであればまったく警戒せずに教えてしまう。
- 友人や家族と商用ソフトウェアを共有することを問題視していないユーザー。
匿名や偽名であるからといって必ずしも悪意や害があるわけではありませんが、お目付け役のような存在もおらず、自身の行動に対して説明責任を果たす必要性が低いと認識している環境では、ユーザーが愚行に走ってしまう場合もあります。その多くは「クラウドソーシング」や「群衆の英知」といった言葉が広まったインターネット時代の産物といえますが、チャールズ・マッケイの『狂気とバブル』で学んだはずの教訓を私たちは忘れてしまっているようです。
「群衆心理」を扱ったこの作品は、私がITセキュリティの心理社会的な側面について論じる際にたびたび引き合いに出しています。マッケイの上梓が1841年であることを考えると、我ながらその引用の度合いには驚くこともありますが、彼が示した例は現代においても繰り返し見られています。一方、友人のMich Kabayは、より簡潔で学術的かつ現代的な分析レポート「Anonymity and Pseudonymity in Cyberspace: Deindividuation, Incivility and Lawlessness Versus Freedom and Privacy」を執筆しました。こちらは、オンライン上での社会的行動の基盤となる、多くの心理的動因に関するすぐれた入門書となっています （ただし、このレポートでは、私たちが現実の世界では見向きもしないのにサイバースペースであれば踏み入れてしまう可能性のあるグレーゾーンよりも、明確な反社会的行動の方に焦点を置いているようです）。
英国のテレビ＆ラジオ情報誌であるRadio Timesは普段、私がセキュリティ関連の解説を探すうえではなかなか目を通す機会はありませんが、Justin Webb氏が最近の記事（Radio Times、2013年4月27日～5月3日）で興味深い指摘をしていました。健全な懐疑心を持ち合わせている人でも、自分の中ですでに確立された考えに相反する考えは不健全に排除してしまう可能性があるというものです （Webb氏は、ネイト・シルバー氏の「The Signal and the Noise: The Art and Science of Prediction」（私はまだ読んでいませんが、おそらく目を通しておく必要がありそうです）を引用しています）。
それにしてもESETアイルランドの同僚が紹介してくれたこちらのサイトは、実に興味深い内容でした（同僚には本当に感謝しています）。と、ここで、山積みにされた論文の中から懐かしいものが出てきました。1980年代に私がしたためた『Rumour（噂）』という詩です。普段はセキュリティ関連の執筆と文学志向の強い執筆は別物として扱っていますので、いきなり詩の話をするのは奇妙に思われるかもしれませんが、ちょっとお付き合いください。創作活動のページに追加していますのでぜひご覧ください。
さて、Webb氏は同じRadio Timesの記事でダニエル・モイニハン民主党元上院議員の、アメリカ人に対する「彼らは事実を知らずして自分の意見を持つ権利がある」という発言も引用しています。この発言そのものがいささか皮肉です。というのも、モイニハン氏は1994年にこのような発言を残したとされていますが、実は20年前にニクソン政権の元国防長官、ジェームズ・R・シュレシンジャー氏が同様の発言をしていたのです。独創的で素晴らしい考え（たとえ間違った考えだとしても*）がひらめいたと喜んでいたら、ほぼ同内容を他人がすでに考え付いていた、というような経験をお持ちの方は少なくないと思います。こうした後世に語り継がれる発言は、その出処について若干の不確実性があってもその本質的な価値が損なわれるわけではありません。それでも、正確さに欠ける情報を鵜呑みにし、周りに広めてしまう事例がいかに容易に起こりうるかを実証しています。
私がここ最近何度か目にしたもう一つの例は、「如才のなさとは、敵を作らずに自分の意見を通すことである」という引用です。元々の発信者が偉大な科学者サー・アイザック・ニュートンであるか、はたまたその何百年も後に生きた作家ハワード・W・ニュートンであるかで意見が割れています。その言い回しから察するにハワード・Wに分があると見られますが、いつ、どこでどちらかのニュートンが実際に発言したのかを示す検証可能なソースを見つけ出すことは断念しました。というのも、検証可能なソースで確認する以前に、この引用文とどちらか一方の名前を記しただけのページが膨大に存在するのです。
*行動生物学者のリチャード・ドーキンス氏と生物学者のE・O・ウィルソン氏が、明確かつ完全に独立して、血縁淘汰説に関するW・D・ハミルトン氏の論文を誤ったタイトルで引用した逸話をご紹介しましょう。ドーキンス氏によると、元々の論文は「The genetical evolution of social behaviour（社会行動の遺伝的進化）」というタイトルですが（私はまだ読んでいません）、同氏とウィルソン氏はともに「The genetical theory of social behaviour（社会行動の遺伝的理論）」として引用してしまったのです。その後、ドーキンス氏は著書『The Selfish Gene（邦題：利己的な遺伝子）』の第11章の補注に、その顛末を次のように記しています。「ウィルソンと私が、独立に同じ変異型のミーム（情報の基本単位）を導入したことに、疑問の余地はない」。
[本記事の初出はChainMailCheckブログでした。]
Jerome Segura氏は、最近投稿した記事で、もはやおなじみとなった“例の”電話を同氏が受けたときのやり取りの一部始終を紹介しています。このブログの読者の皆さんには目新しい情報はほとんどないかもしれません。イベントビューアーやPrefetchを使用して、Windows PC上に対処が必要な問題があると信じ込ませようとする手口なら聞き覚えがあるでしょう。一方でSegura氏は、Windowsのシステム構成ユーティリティーであるMSConfigを使用した手法についても取り上げています。こちらは先の2つと同列に分類される手法ですが、私自身これまで目にしたことはありませんでした。
では実際にどんな手口かというと、[システム構成]ダイアログのサービスの[状態]列に「停止」と表示された場合、システムに問題があるかマルウェアに感染したことを示している、と教えるそうです。このシステム構成ユーティリティーは確かにトラブルシューティングを行ううえで役立ちますが、実際には、「停止」という表示はそのサービスが稼働していないということを示しているだけなのです。問題が発生しているかどうかはまったくの別問題です。ユーティリティーは異なれど、嘘の情報を教えてユーザーを騙そうとする点は変わりません。
Segura氏の解説を読んでいくと、1つの興味深い性質が浮かび上がりました。詐欺師たちはシステムユーティリティーを3つ以上も実行（正確には悪用です）して同氏のシステムが危険にさらされていることを“証明”しようとしたのですが、Segura氏本人からサポートの要請があるまでは、この詐欺師たちは一切の“手出し”はできないと主張しているようです。Segura氏は、「これは保身を図るための新たな手法かもしれない。彼らはあくまでも私の方から助けを求めたという形にしたいのだろう」と記しており、私もこの見解に同意します。こうした手口は、最近の法的措置が詐欺師撲滅に向けた有効打となっていないとしても、少なくとも詐欺師たちがより慎重になっておりこの先、告発された場合に備えて逃げ道を作ろうとする姿勢の表れと考えられます。
Segura氏は会話の様子を録音してYouTubeに投稿していますので、彼のブログ記事に興味を持った方はこちらもチェックしてみることをおすすめします。
インドのコルカタでは一儲けを画策する連中が、いまだシステムユーティリティーを悪用してターゲットをミスリードするという単純な手口を研究しているようですが、一方で、アクティブなマルウェアとサポート詐欺におけるソーシャルエンジニアリングの間で敷かれている協力体制が確認されています。ESETのJean-Ian Boutinが最近投稿した記事をご覧になれば、正真正銘のマルウェア（偽のアンチウイルス機能と基本的な画面ロック機能を組み合わせたランサムウェアのようなプログラム）とサポート詐欺（「サポート窓口」に問い合わせるようターゲットを促す）を融合した手法についてご理解いただけると思います。この種の信用詐欺の場合、ターゲットが電話をかけた後の展開は私たちにとってすでになじみ深い電話サポート詐欺とほぼ同じですが、今日の詐欺師たちは「サービスを求めて連絡してきたのはユーザーの方だ」と主張できるので、迷惑な電話サポートを禁止する法律に準じた法的措置を回避することが可能となっています。こうした水平方向の連携が司法審査に対しどこまで有効であるかはまだわかりませんが、詐欺のライフサイクルを延命させようとあれこれ措置を画策している輩が存在しているのは明らかです （Jean-Ianの投稿をまだお読みになっていない方は、ぜひご覧ください）。
さて、サポート詐欺に関する生産的な話し合いを数多く交わしているVirus BulletinのMartijn Grooten氏は最近、新たな詐欺のパターンが確立されている可能性を示唆しており、私も注目しています。Ars Technicaでは、Jon Brodkin氏が「The spammer who logged into my PC and installed Microsoft Office」と題した記事を執筆し、サポート詐欺との潜在的なつながりを示しています。私もこの記事を読みましたが、コールセンター詐欺というよりも、keygenを使用してMicrosoftのライセンス認証プロセスをすり抜け、ユーザーのPCにOfficeをインストールして数ドルを巻き上げようとする個人のオペレーターによる犯罪のように思えます。それでも、新手のサポート詐欺市場（闇市場）や客引きアプローチの存在を示唆しています。「Itman Kool2」と名乗る人物が、SMSスパムやYahooメールアカウントを使用している“お客さん”を探しているようです。これは「電話をかけてきたのはあなたからであり、私たちは電話をしていない」と主張する新たなアプローチのみならず、セキュリティソフトウェアの評価版をインストールさせて、その料金を請求するお定まりのサポート詐欺師の手口とも一致します。こうしたターゲットを陥れようとする新手法、今後ますます確認されるようになるのでしょうか。今のところは何ともいえませんが、これからも注視していきたいと思います。
Martijn氏と私が、Steve Burn氏、Craig Johnston氏と共同で作成した論文2件へのリンクを以下に掲載しておきます。どちらも2012年のVirus BulletinとCFETの両カンファレンスで発表されており、サポート詐欺問題の極めて包括的な見解を示しています（執筆時点の情報に基づいています）。
- ESET初のニュースポータルサイトが立ち上げ
ESETは、インターネットセキュリティに関する幅広いニュースやヒント、知見を掲載する総合サイト「WeLiveSecurity.com」の立ち上げを発表をしました。WeLiveSecurityは、ESETが誇るセキュリティ研究者のグローバルなネットワークとその技術的な専門知識を融合しており、セキュリティの強化や啓蒙に役立つさまざまな記事を掲載して、セキュリティの専門家からビギナーまで幅広いユーザー層にアピールします。 - 強力なマルウェア2種の存在が明らかに
ESETは、さまざまな組織から機密情報を盗み出そうとする標的型攻撃キャンペーンを検出、解析しました。世界規模では局所的な広がりを見せており、特にパキスタンで顕著です。ESETによる調査の結果、主要なキャンペーンのいくつかの発生源はインドであり、少なくともここ2年にわたって横行していることが判明しています。またESETの研究者は、セキュリティ企業のSucuriの研究者とともに、知名度、普及率いずれも世界トップクラスのApacheで構築されたWebサーバーに影響を及ぼす新たな脅威を分析しています。このバックドア機能を備えた高度なステルス型マルウェアは、Blackhole Exploit Packが組み込まれた不正サイトにユーザーを誘導する目的で使用されています。研究者たちはLinux/Cdorked.Aと命名し、Apacheを狙う脅威としては現時点で最も洗練されていると認識しています。 - ESETの事業所が新たに開設
ESETは、新たにドイツに事業所を開設しました。このたびの新たな活動拠点の設置は、ドイツ語圏の地域における組織全体の販売戦略の一環です。新事業所の開設に伴い、ドイツ国内の3500もの販売代理店からなる強力なネットワークが拡大し、店舗販売、オンライン販売の両面でESET製品の存在感が高まっていくとみられます。39人のメンバーで構成されるこの事業所は、ESETドイツのカントリーマネージャーであるMiroslav Mikuaが統率します。 - ESETのCEOがBloomberg TVに登場
2013年5月2日、スロバキアのブラティスラバで開催された欧州中央銀行（ECB）理事会において利下げが決定されたことを受け、ESETのCEO、Richard MarkoがBloomberg TVの「The Pulse」に登場。ESETに及ぼし得る影響と、欧州企業の資金調達の容易性について話しています。BloombergのWebサイトではインタビュー動画をご覧いただけます。
ESETは5月、世界各地で開催される次のようなイベントに出席します。
- 5月6日、Interop Conference、ラスベガス（米国）。
- 5月14日、AMTSO、ブラティスラバ（スロバキア）。
- 5月16日、CARO、ブラティスラバ（スロバキア）。
- 5月24日、PhDays、モスクワ（ロシア）。
- 5月28日、CONFidence、クラクフ（ポーランド）。
続く6月も、ESETの代表者がWorld Partners Conferenceをはじめとする各種イベントに出席します。ちなみにWorld Partners Conferenceは6月3日～7日にポルトガルのアルブフェイラで開催され、ESETの経営陣とパートナーがブランド、製品、研究分野に関する新戦略についてプレゼンを行います。
アルブフェイラではWorld Partner Conferenceのほかに、6月8日から11日まで、テスト機関との内部イベントであるBiTSにも参加する予定です。
6月15日からは、First Conferenceイベントがタイのバンコクで始まります。このイベントは21日まで開催され、セキュリティの専門家がセキュリティインシデントに対処するための脅威情報に関する協力体制について取り上げます。
6月を締めくくるのは、23日から25日にかけてカナダのモントリオールにて開催されるReconです。こちらは、リバースエンジニアリングや高度な攻撃手法をテーマとするコンピューターセキュリティカンファレンスです。
*.exe
*.vbs
*.pif
*.cmd
*Backup.
今日、リムーバブルメディアはその利便性の高さから広く普及しており、マルウェア作者も当然このことを認識しています。一度ランクダウンしたINF/Autorunがしばしば第1位に返り咲いているのも、その表れといえます。では、なぜリムーバブルメディアが狙われているのでしょうか。
WindowsのAutorunは、リムーバブルメディアをPCに挿入したとき、autorun.infファイルに記述されているプログラムを自動実行するように初期設定されています。そのため多くのマルウェアが、自分自身をリムーバブルメディアにコピーする機能を備えるようになっています。主要な拡散手段ではないにしても、ひと手間かけて追加の感染機能をプログラムに組み込むことで、感染の可能性を少しでも高めようと考えるマルウェア作者が増えているのです。
ヒューリスティック技術を搭載したアンチウイルススキャナーでは、この特徴を手がかりにしてこの種のマルウェアを容易に検出することができますが、アンチウイルススキャナーに頼るよりもAutorun機能を無効に設定変更する方がより安全です。
また、EXEファイルとSCRファイルを改ざんし、セキュリティソフトウェアに関連するサービスとプロセスを無効にします。
詳細については、こちらをご覧ください。
HTML/Iframe.BはHTMLページに埋め込まれた悪意のあるiframeタグの汎用名であり、悪意のあるソフトウェアのサイトに誘導する特定のURLにブラウザーをリダイレクトします。
ユーザーが特定のWebサイトを閲覧中にログイン用のユーザー名やパスワードを盗み出します。その後、収集した情報をリモートのコンピューターに送信しようとします。 リモートからコントロールが可能なワームの1種です。
Win32/Confickerは、svchostプロセスを通じてDLLを読み込みます。この脅威は、あるアルゴリズムによって生成されたドメイン名を使用してWebサーバーに接続し、悪意のあるコンポーネントを追加ダウンロードします。こちらよりConfickerの各種情報をご参照ください。
ESETの製品はすでにConfickerに対応していますが、同じ脆弱性を突く別のマルウェアに感染するのを防ぐため、Microsoftが2008年第3四半期に公開したパッチも必ず適用するようにしてください。この脆弱性の詳細については、こちらをご覧ください。最近見つかった亜種では、Autorun経由で感染を行うコードは削除されていますが、それでもAutorun機能を無効にすることをおすすめします。この機能を無効にすれば、ESET製品ではINF/Autorunとして検出される多くの脅威の感染も防ぐことができるからです。
「最新のパッチを適用する」「Autorun機能を無効にする」「共有フォルダーに適切なセキュリティを設定する」という安全のための慣習を実践すれば、Confickerに感染するリスクは最小限に抑えることができます。このマルウェアがメディアで大きく取り上げられていること、そして何カ月も前からパッチが提供されている脆弱性を悪用していることを踏まえると、多くのユーザーがこのようなあたりまえの対策を実施していれば、Confickerによる被害はそろそろ終息に向かっていてもおかしくないはずです。このところのランキングでは、Confickerの検出数が減少しているように見えますが、この数値は命名規則と統計の測定方法を変更した影響を受けています。実際には、Confickerの各亜種の検出数が大幅に減少した事実はありません。
ESETが開発した先進のマルウェアレポーティング/追跡システム「Live Grid」によると、2013年5月度のランキングは、「Win32/Bundpil」が第1位という結果になりました。このマルウェアは、検出された脅威全体のうち3.68%を占めています。
プロアクティブなセキュリティ製品のパイオニアとして、数々の受賞歴を誇るNOD32テクノロジーの開発を手掛けるESETは、企業や個人向けにセキュリティソリューションを提供するグローバルプロバイダーです。ESETは25年以上にわたり、プロアクティブなマルウェア検出技術の分野で業界をリードし続けています。2012年9月に75回目となるVirus Bulletin誌の「VB100アワード」を獲得したESETのNOD32アンチウイルスは同アワードの最多受賞記録を保持しており、1998年に同テストが開始されて以来、In-the-Wildワーム/ウイルス（実際に感染報告があるワームまたはウイルス）を1つ残らず検出しています。またVirus Bulletin以外にも、AV-ComparativesやAV-TESTなどの独立系テスト機関から数々の賞や高評価を獲得しています。ESET NOD32アンチウイルス、ESET Smart Security、ESET Endpoint Solution、ESET Mobile Security、ESET Cyber Security（Mac用ソリューション）は、世界中の何百万人ものユーザーから支持されている、世界有数の推奨セキュリティソリューションです。
ESETは、ブラティスラバ（スロバキア）にグローバル本社を、サンディエゴ（米国）、ブエノスアイレス（アルゼンチン）、シンガポールに地域の物流センターを、そしてサンパウロ（ブラジル）とプラハ（チェコ共和国）に事業所を構えています。さらに、ブラティスラバ、サンディエゴ、ブエノスアイレス、シンガポール、プラハ、コシツェ（スロバキア）、クラクフ（ポーランド）、モントリオール（カナダ）、モスクワ（ロシア）にマルウェア研究センターを設置しているほか、世界180カ国以上にまたがる広範なパートナーネットワークを形成しています。
セキュリティ脅威の被害に遭わないためには、アンチウイルスソフトウェアを最新の状態に保つだけでなく、セキュリティに関する最新情報を把握しておくことも重要となります。ESET Threat Centerでは、セキュリティに関するさまざまな情報を提供しています。次の情報源をぜひご覧ください。
この情報は、ThreatSense.net（※）の情報を元に作成しています。
- ※ ThreatSense.Netは、ESETが新しい脅威を迅速かつ継続的に把握するためのシステムです。ESET製品のオプションで、ThreatSense.Net早期警告システムを有効にした場合、ESET社のウイルスラボで、検出された脅威の情報を収集し、台頭する脅威の検出率の向上等、ESET製品の品質向上に役立てています。
