※ 本記事は2018年10月11日に米国で公開された Unit 42 ブログ「Fake Flash Updaters Push Cryptocurrency Miners」の日本語翻訳となります。

 

概要

パロアルトネットワークスの脅威インテリジェンスチームUnit 42は、2018年8月上旬、正規Adobe Flashインストーラーが表示するポップアップ通知をまねた、複数の偽のFlash更新プログラムサンプルを発見しました。この偽の更新プログラムは、仮想通貨マイニングソフトXMRigなど、望ましくないプログラムをインストールする一方で、実際にFlash Playerを最新バージョンへ更新できます。

 

今回発見されたサンプルは正規のFlashを更新するため、被害者は通常と異なる活動に気付けません。その間に、被害者のWindowsコンピューターのバックグラウンドで仮想通貨マイニングソフトXMRigその他の望ましくないプログラムがひそかに実行を続けます。

 

かつては、マルウェアを配布する偽のFlash更新プログラムの大半にさほどステルス性はありませんでした。またそうした詐称プログラムの多くは、ここ数年の間だと、仮想通貨マイニングソフト、情報窃取マルウェアあるいはランサムウェアをインストールする、稚拙に偽装されたマルウェア実行可能ファイルやスクリプトによるダウンローダーでした。脆弱性のあるWindowsホスト上で偽装が稚拙なマルウェアを実行しても、ランサムウェアを配布する更新プログラムでない限り、目に見える攻撃活動はありませんでした。

 

図1 今回発見された攻撃のフローチャート 偽のFlash更新プログラムの動作が被害者から見えない様子を説明

図1: 今回発見された攻撃のフローチャート

 

傾向

Unit 42では、このような特定の偽のFlash更新プログラムを探す中で、ファイル名がAdobeFlashPlayer__で始まるWindows実行可能ファイルがあることに気付きました。これらのファイルは、AdobeではないクラウドベースのWebサーバーから得られたものです。このようなダウンロード元にはそのURLに、flashplayer_down.php?clickid=という文字列が使用されていました。2018年3月以降、これらの条件に該当するマルウェアのサンプルが、弊社の脅威インテリジェンスサービスAutoFocusで113件も検出されました。これらのマルウェアのサンプルのうち、77件はAutoFocusでCoinMinerタグによって特定されています。残りの36件のサンプルでは、これら77件のCoinMiner関連実行可能ファイルと他のタグを共有しています。これらのファイル ハッシュすべての一覧については参考情報Aを参照してください。

参考情報Bには、2018年の3月25日から9月10日までに検出されたこれらの偽装Flash更新のファイル名とURLを473件挙げています。

 

図2: flashplayer_down.php?clickid=という特定の文字列を含むURLからの偽のFlash更新プログラムの件数が増加してきた様子を表すグラフ

図2: 特定の文字列を含むURLからの偽のFlash更新プログラムの件数

 

 

詳細

AutoFocusによるデータだけでは、被害者となった可能性のあるユーザーが、偽のFlash更新プログラムによって配信されたURLにアクセスしたかどうかは判断できませんでした。しかし、弊社には、2018年8月24日に、SHA256ハッシュ485352a3985bce69a020dc49e970fde337279eb1986ea699ca6bec1f5a8068acを持つサンプルをテストした記録があります。このサンプルでは、Adobe Flashインストーラーのポップアップ ウィンドウとFlash Playerのインストール環境が生成されます。

感染したWindowsホストのバックグラウンドでは、仮想通貨マイニングソフトXMRigが動作していました。通常、Windowsコンピューターに被害を受ける可能性のあるファイルをダウンロードした場合、警告が表示されます。実際、弊社のWindows 7 Service Pack 1のテスト環境下で今回のサンプルの1つをダブルクリックすると、不明な発行元に関する一般的な警告が表示されます。しかしながら、こうした警告はクリックひとつで無視できるため、脆弱性のあるWindowsホスト上にファイルをダウンロードするのは容易です。

 

図3: 偽のFlash更新プログラムを実行すると表示される警告

図3: 偽のFlash更新プログラムを実行すると表示される警告

 

図4: このプログラムを実行するとAdobeから正規のFlash Playerがダウンロードされる

図4: このプログラムを実行するとAdobeから正規のFlash Playerがダウンロードされる

 

図5: これらのウィンドウは正規のFlash Playerインストールプログラムのもの

図5: これらのウィンドウは正規のFlash Playerインストールプログラムのもの

 

図6: インストール プロセスの最後にFlashの更新に関するオプションが表示される

図6: インストール プロセスの最後にFlashの更新に関するオプションが表示される

 

図7: Flash Playerのインストールに対するAdobeの謝辞を表示したページ

図7: Flash Playerのインストールに対するAdobeの謝辞を表示したページ

 

 

図8: 弊社のテスト環境ではFlash Playerが最新バージョンに更新された

図8: 弊社のテスト環境ではFlash Playerが最新バージョンに更新された

 

感染時に発生したネットワークトラフィックはほぼFlashの更新プログラムのものでしたが、弊社の感染ホストでは、まもなくTCPポート14444上でXMRigに関連するトラフィックが発生しました。このマイニングで使用されていたMoneroウォレットは41ompKc8rx9eEXtAAm6RJTTm6jg8p6v3y33UqLMsUJS3gdUh739yf7ThiSVzsU4me7hbtVB61rf7EAVsJeRJKGQH4LFi3hRです。

 

図9: Wiresharkでフィルター処理した感染トラフィック。XMRig関連トラフィックの開始が確認できる

図9: Wiresharkでフィルター処理した感染トラフィック。XMRig関連トラフィックの開始が確認できる

 

図10: Moneroウォレット番号が記述されたXMRigトラフィック

図10: Moneroウォレット番号が記述されたXMRigトラフィック

 

 

このトラフィックの始めに、感染したWindowsホストによってosdsoft[.]comに対するHTTP POSTリクエストが生成されています。このドメインは、仮想通貨マイニングソフトなど望ましくないソフトウェアを配信する更新プログラムやインストーラーに関連付けられています。2017年12月のこのようなサンプルにfree-mod-menu-download-ps3.exeをファイル名とするものがあり、このブログで使用したサンプル同様に、osdsoft[.]comに続いてXMRigトラフィックがTCPポート14444上で発生していました。一方、普通はマルウェアに分類される望ましくないプログラムにosdsoft[.]comが関連付けられているマルウェア サンプルがあることもわかっています。

 

結論

このキャンペーンでは、仮想通貨マイニングソフトなどの望ましくないプログラムの配信を隠すために正規プログラムによる活動が利用されています。ただし、一定水準のWebフィルタリングを備え、教育を受けたユーザーがいる組織であれば、これらの偽装更新に感染するリスクは十分に低いと考えられます。

 

パロアルトネットワークスのお客様は、この脅威から保護されています。弊社の脅威防御プラットフォームであれば、この種のマルウェアを検出可能です。また、AutoFocusがあれば、CoinMinerタグを適切な検索パラメータと組み合わせることで、この攻撃活動を追跡できます。

 

参考情報A

これらの偽のFlash更新プログラムを利用するマルウェア サンプルがAutoFocusで113件検出されています。詳細は、https://github.com/pan-unit42/iocs/blob/master/fake_Flash_updates/2018-09- fake-Flash-updates-APPENDIX-A.txtをご覧ください。

 

参考情報B

偽のFlash更新プログラムファイル473件と関連付けられたURLがAutoFocusで検出されています。詳細は、https://github.com/pan-unit42/iocs/blob/master/fake_Flash_updates/2018-09- fake-Flash-updates-APPENDIX-B.txtをご覧ください。


 

パロアルトネットワークス管理者ガイド日本語版

このガイドで、パロアルトネットワークスのファイアウォールのWeb管理画面の使用方法を説明します。対象は設置、運用管理、メンテナンスを行うシステム管理者向けです。 ※このページで提供する管理者ガイドが最新版でない可能性があります。最新版に関しては、製品をご購入された販売代理店にご相談ください。  
  • 5
  • 17303

PA-800 Series

主なセキュリティ機能: すべてのアプリケーションをすべてのポートで常時識別 • 使用されているポートや暗号化(SSLまたはSSH)、セキュリティの回避技術に関わらず、アプリケーションを識別します。 • 許可、拒否、スケジュール、スキャン、帯域制御の適用などのセキュリティ ポリシー決定の要素として、ポートではなくアプリケーションを使用します。 • 不明なアプリケーションを、ポリシー制御、脅威のフォレンジック、またはApp-ID™アプリケーション識別テクノロジの開発が行えるよう分類します。
  • 1
  • 11486

PA-3200 Series スペックシート

パロアルトネットワークス® PA-3200 Series の次世代ファイアウォールは、PA-3260、PA-3250、およびPA-3220 で構成されています。これらのモデルはすべて高速の インターネット ゲートウェイでの導入を目的としたものです。PA-3200 Seriesはネットワーキング、セキュリティ、脅威防御および管理のための専用処理およびメモリ を使用して、暗号化トラフィックを含むすべてのトラフィックを保護します。
  • 0
  • 3964

PA-3000 Series スペックシート

PA-3000シリーズの主な機能、パフォーマンスと容量、および仕様。
  • 1
  • 9227

PA-5200 Series

パロアルトネットワークス® PA-5200 Seriesの次世代ファイアウォール アプライアンスは、PA-5260、PA-5250、PA-5220から構成されており、高速データセンター、インターネット ゲートウェイ、およびサービス プロバイダでの導入に適しています。PA-5200シリーズは、ネットワーキング、セキュリティ、脅威からの防御と管理の重要な機能領域専用の処理機能とメモリを使用して、最大80Gbpsのスループットを提供します。
  • 0
  • 5927