1: 樽悶 ★ 2020/03/16(月) 01:42:18.66
 Guardicore Labsによると、被害者のネットワークをクリプトマイナーに感染させる媒体としてWAV形式の音声ファイルが悪用され、インターネットに拡散されているという。同社は2020年1月、某医療テクノロジー企業を襲ったインシデント(2019年12月)に関する発表を行った。

 WAVファイル(またはWAVEファイル)はWindowsの他形式のファイルと同様、コンテナを使ってデータに手を加えず、多くの場合各単位を圧縮しないで音声データを格納する。MP3などの他の音声ファイルよりサイズが圧倒的に大きくなることが多いが、最適な音質が保たれるためプロのミュージシャンやプロデューサーに広く利用されている。

 Guardicore Labsの研究者オフィール・ハーパズ氏とダニエル・ゴールドバーグ氏によると、ネットワークに感染したのはWAVファイル内に人気の高い暗号通貨「Monero」のクリプトマイナーを隠し、高度に難読化されたマルウェアだったという。

 ハッカーは、2017年の「WannaCry」の大流行によってその名を広めた攻撃ツール「EternalBlue」を悪用することで、「Windows 7」PCにマルウェアを感染させて標的の企業での増殖を試みた。

 2019年10月、標的企業の複数のWindows 7 PCがカーネルモードのエラーを示す「Blue Screen of Death」(BSoD、死のブルースクリーン)の犠牲になった。これをきっかけに、各企業はGuardicore Labsの支援を受けた。

 これらのPCは、アナリストの役に立つカーネルメモリダンプを保存するように構成されていなかった。だが詳しい検査により、不審なデータにアクセスする長いコマンドラインが実行されていたことが1台のPCのレジストリキーで分かった。他の800台を超えるPC(被害を受けたネットワークのPCの半数)にも異常なデータが存在していた。

 これは、Base64でエンコードされたPowerShellスクリプトの結果であることが判明した。スクリプトのタイトルは「An Unknown Malware」で、エンコード後でもデコード後でもオンラインで利用できることが分かった。

 調査の結果、攻撃者はポート445でサブネットスキャンを実行し、悪意のあるペイロードを他のホストに拡散しようと試みたことが判明した。ネットワーク全体を水平方向に拡散するためにEternalBlueを使っていたことも分かった。

 ハーパズ氏とゴールドバーグ氏は情報を公開したブログに次のように記している。「この発見によって、今後エンドポイントにあるPCの全てのSMB(Server Message Block)トラフィックをブロックすることが推奨される」

 「当社はマルウェアペイロードをリバースエンジニアリングして、多層化された実行可能ファイルを検出した。このペイロードを実行すると、ペイロード自身のモジュールを次々と展開してその展開済みコードを各イテレーションで実行する」

 「このマルウェアは、オープンソースのCPUマイナー『XMRig』をベースとするクリプトマイニングモジュールを含む。このモジュールはMoneroのマイニングに『CryptonightR』アルゴリズムを使用する。さらに、マルウェアはステガノグラフィーを利用して悪意のあるモジュールを無害そうなWAVファイルの内部に隠す。この手口は最近報告されたものだが、完全な攻撃フローの一部として発見されたのはこれが初めてだ」

 Guardicore Labsはこの攻撃から修復するために、まずマルウェアを削除して悪意のあるプロセスを停止して、バイナリペイロードを含むレジストリキーを削除した。その結果、セキュリティ侵害を示す兆候は見られなくなった。

 ハーパズ氏とゴールドバーグ氏は、類似の攻撃を調査して修復するための一連のステップを詳しく説明している。その説明の中で、WindowsおよびLinuxマシンから一元管理される堅牢(けんろう)なサーバへのログ転送を有効にしてログを保護すること、将来の分析に備えて完全なクラッシュダンプを保存するようシステムを構成すること、有益かもしれない証拠を破棄しないように、感染したPCを直ちにクリーンアップするのではなく隔離することを推奨している。

3/14(土) 9:00配信
https://headlines.yahoo.co.jp/hl?a=20200314-00000001-zdn_tt-sci
no title
引用元: http://asahi.5ch.net/test/read.cgi/newsplus/1584290538/


2: 名無しさん@1周年 2020/03/16(月) 01:42:48.93
MS?

3: 名無しさん@1周年 2020/03/16(月) 01:42:54.75
産業で頼む

5: 名無しさん@1周年 2020/03/16(月) 01:44:19.30
通貨ほるだけ?

7: 名無しさん@1周年 2020/03/16(月) 01:45:21.27
き…脆弱性…

8: 名無しさん@1周年 2020/03/16(月) 01:46:20.29
知ってる。最後まで見てたら怖い顔と「ギャー!」って声がでる奴でしょ

10: 名無しさん@1周年 2020/03/16(月) 01:50:44.69
WAVなんかでもあるんだな
もう十数年ぐらい前にID3タグに仕込まれたスクリプトでMACに感染するウイルスは聞いたことあるけど

12: 名無しさん@1周年 2020/03/16(月) 01:56:58.90
WAV再生すると感染するってこと?
だとしたらプレイヤーによると思うんだけど
それかWAVに見せかけた実行ファイルなのかな

16: 名無しさん@1周年 2020/03/16(月) 02:04:53.14
>>12
再生しなくても、
PCにそのwavファイルが入り込んだだけで悪さし始めるように思えるけど

13: 名無しさん@1周年 2020/03/16(月) 01:57:23.76
go windows 10!

17: 名無しさん@1周年 2020/03/16(月) 02:09:35.99
バッファオーバーフロー?

18: 名無しさん@1周年 2020/03/16(月) 02:09:59.84
太刀悪いな

20: 名無しさん@1周年 2020/03/16(月) 02:26:23.23
WAVなんて今やめったに見かけないだろ

21: 名無しさん@1周年 2020/03/16(月) 02:37:01.76
>>20
大容量時代になってMP3が廃れてむしろ増えた

23: 名無しさん@1周年 2020/03/16(月) 03:03:07.79
そういえばwinnyやってるときにwaveとかmo3のアルバムアート情報にノートンが反応してたが特に実害がなかったので気にしてなかった
あれキーロガーだったかもしれないな

24: 名無しさん@1周年 2020/03/16(月) 03:52:08.06
長々と書いてあるけど、EternalBlueっていう脆弱性を利用して任意のコードを実行感染するけど、
その際のコードをwavファイルに埋め込んであるって話だよね
でそのEternalBlueはもう何年も前に修正されてるみたいだから、心配する必要はないってことでいいのかな

27: 名無しさん@1周年 2020/03/16(月) 06:09:07.52
>>24
それっぽい

25: 名無しさん@1周年 2020/03/16(月) 03:52:33.90
どうせエクスプローラのプレビュー機能あたりに脆弱性があってwavの中のコードが実行されちゃうんだろ。
エクスプローラは余計なことし過ぎなんだよ。

29: 名無しさん@1周年 2020/03/16(月) 07:24:49.12
動画ファイルを扱う機会がない

30: 名無しさん@1周年 2020/03/16(月) 08:26:56.14
swf形式でやり取りすべきだな

34: 名無しさん@1周年 2020/03/16(月) 09:08:35.68
これってフリーのギターIRに隠されてたりする

スポンサード リンク