ランサムウェアが近年、注目を浴びてきている。ランサムウェアとは一般に、感染するとユーザのコンピュータ内にある任意のファイルを暗号化し、元に戻すための暗号解除アプリケーションを売りつける、いわば身代金要求型不正プログラムである（ランサム = 身代金）。近ごろは、これに偽セキュリティソフトを絡めた多重アプローチが見られるようになり、より手の込んだ不正活動が目立つようになってきた。 今回は、ランサムウェアとしての代表的な動作であり、今年に入り確認された「TROJ_FAKEALE.BG」を例に、その全体像をご紹介する。 「TROJ_FAKEALE.BG」はまず、Web上もしくはほかの不正プログラムから侵入するが、この時、「TROJ_FAKEALE.BG」は「DLL」という形でやってくる。 このDLL（TROJ_FAKEALE.BG）は、最初の不正活動となる暗号化を行うプログラムであり、ユーザのファ

2009年6月12日、Microsoft Outlook利用者を標的としたメールを媒介としたトロイの木馬拡散事例が相次いで報告されています。 リージョナルトレンドラボでは、一部日本国内にも流通していることを特定しています。 確認されたスパムメールは、件名「Microsoft Outlook Setup Notification」と記載され、その差出人は個人名。本文には、「Microsoft Outlookにてメッセージを受信していること。再設定が必要であること。添付されたファイルを実行すること。」などと説明され、添付ファイル（client_update.zip）が添えられています。 メッセージにはいくつかバリエーションがあり、これまでに報告されている事例は次の通りです。 Microsoft Outlook Setup Notification Outlook Express Setup N

TrendLabs | Malware Blog 「Beware of Repackaged HijackThis Downloads」より Jun 09，2009　Posted by Det Caraig HijackThis™ は、トレンドマイクロで提供している無料ツールです。このツールは、Windows系のコンピュータにおける、ウイルスやスパイウェア、そのほかの不正プログラム等により、システム設定が変更されていないかどうかを素早くスキャンし、確認することができます。ただし、このツールは、変更されたレジストリキーやファイルシステム等をリストアップし、それらが迷惑なプログラム等により行われたであろうという可能性の指摘はできますが、その変更自体が不正活動であるかの判断まではできません。 このツールで得られたログ情報をもとに、不正活動を判断ができるのは、このツールの使用にたけた情報技術（ＩＴ

フランスの通信社 AFP通信（AFP：Agence France-Presse）は6月1日、「エールフランス機、ブラジル沖で消息絶つ 乗員乗客228人が搭乗」のニュースを配信しています。 トレンドマイクロでは、事故発生直後よりインターネットの動向監視を強化してきました。その結果、航空機墜落事故に関するニュースの検索により、1万件以上の不正なリンクが表示されることを確認しています。また、これら不正リンクの一部には、リンクのクリックによりリダイレクトが行われ、偽セキュリティソフト、スケアウェア（scareware）の自動インストールが発生する場合があります。 注目度の高い時事問題の発生は、インターネット検索エンジンにおける関連用語の検索頻度が高まります。今回も例外ではありません。「Google Trend」によれば、ニュース配信直後より「air france」による検索数が飛躍的に伸びているこ

上記の5カ国に、6位にインド（先月6【位】）、7位に韓国（先月4【位】）、8位にスペイン（先月10【位】）、9位にコロンビア（先月7【位】）、10位にアルゼンチン（先月圏外【位】）が続いています。 ワーストTOP5を見ると、先月に引き続き、1位にアメリカ、2位にブラジルが位置しています。このほか、トルコ（圏外からステップアップの3位）、ポーランド（4ステップアップの5位）の急浮上も見られます。代わりにロシア、韓国が順位を下げています。 各国のプロバイダにおけるボットネットの活動を監視している「Spam & Botnet Watch」（2009年05月01日時点）からは、スパムを配信するISP（インターネットサービスプロバイダ）の上位10社中2社がアメリカのISP、4社がブラジルのISPが占め、1月/2月/3月とこの傾向は続いています。なお、今回急浮上の見られたトルコのISPはトップ10圏外

感染が広がる豚インフルエンザ（新型インフルエンザ：H1N1亜型、Swine Flu）の影響はサイバー空間にも及んでいます。トレンドマイクロではインターネットを通じての豚インフルエンザ情報の収集に関して、慎重を期するよう注意喚起いたします。 リージョナルトレンドラボではこれまでに、豚インフルエンザに便乗した複数の攻撃事例を確認しています。 公的機関からの注意喚起を装いメールにウイルス添付、拡散させる事例 ニュースを装ったメールにURLを記載、医薬品販売などの不正サイトへ誘導させる事例 倫理性の無いマーケティングを行うオンライン販売事業者 事例を知り、今後発生しうる模倣犯に対する対策をご検討ください。 公的機関からの注意喚起を装いメールにウイルス添付、拡散させる事例 国立感染症研究所は28日、発信者「From: 国立感染症研究所 ＜任意のアドレス@yahoo.co.jp＞」、件名「Subjec

【Weekly Threat Info】海外記事をナナメ読み：日本人も標的、米国免税書類を装った確定申告スパムメール 2009/04/17～2009/04/24 「THREAT」とは、「脅威」を意味する英単語です。サイバー空間では今日も世界中でさまざまな問題が報告されています。 本連載では、情報セキュリティ関連情報収集の効率化を目的として英語ブログ「TrendLabs Malware Blog」が今週1週間に配信した記事へのリンクを要約とともにお届けしています。国外の事例を知ることは、先進的な自衛策を検討する上で、有効な情報源の一つになり得ます。是非、英文記事にもアクセスしてみてください。 ■2009/04/22 Fake Form W-8BEN Used in IRS Tax Scams http://blog.trendmicro.com/fake-form-w-8ben-used-i

【Weekly Threat Info】海外記事をナナメ読み：新たなWaledacキャンペーン、SMS盗聴ソフトを装う 2009/04/11～2009/04/17 「THREAT」とは、「脅威」を意味する英単語です。サイバー空間では今日も世界中でさまざまな問題が報告されています。 本連載では、情報セキュリティ関連情報収集の効率化を目的として英語ブログ「TrendLabs Malware Blog」が今週1週間に配信した記事へのリンクを要約とともにお届けしています。国外の事例を知ることは、先進的な自衛策を検討する上で、有効な情報源の一つになり得ます。是非、英文記事にもアクセスしてみてください。 ■2009/04/15 April 2009 Patch Tuesday Release http://blog.trendmicro.com/april-2009-patch-tuesday-rel

リージョナルトレンドラボでは4月13日に、三菱UFJニコス株式会社及びUFJカードグループが発行するUFJカード（UFJ Card）を騙る日本語のWebサイトが開設されていること、同サイトへ誘導する英語のスパムメールの流通を確認しており、14日午前時点も未閉鎖/稼働中であることを警告するとともに、注意喚起いたします。 サイトへの誘導はスパムメールで 報告されているスパムメールは英文。差出人「”UFJ Card ( Mitsubishi UFJ Financial Group )” 」、件名「UFJ Card ( Mitsubishi UFJ Financial Group )」とその内容だけでは偽の情報であると見分けるのは困難です。 その本文にはクレジットカードアカウントの重複により利用規約に基づくアカウント凍結が行われること。アカウントの回復にはWebサイトでの情報入力が必要であることが

【Weekly Threat Info】海外記事をナナメ読み：Downad/Conficker の新たな亜種はP2P通信で拡散 2009/04/02～2009/04/10 「THREAT」とは、「脅威」を意味する英単語です。サイバー空間では今日も世界中でさまざまな問題が報告されています。 本連載では、情報セキュリティ関連情報収集の効率化を目的として英語ブログ「TrendLabs Malware Blog」が今週1週間に配信した記事へのリンクを要約とともにお届けしています。国外の事例を知ることは、先進的な自衛策を検討する上で、有効な情報源の一つになり得ます。是非、英文記事にもアクセスしてみてください。 ■2009/04/09 Adobe Acrobat/Reader getIcon() Vuln Exploit in the Wild http://blog.trendmicro.com/a

この事例に関するサポートページが公開されました。インストールした覚えのないアプリケーションのポップアップウィンドウが繰り返し表示される問題に遭遇されているユーザは、以下のサポートページをご参照ください。 「不正なポップアップウィンドウが表示される問題の解決方法」 Windows XP の場合 http://esupport.trendmicro.co.jp/pages/JP-2079453.aspx Windows Vista／Windows 7 の場合 http://esupport.trendmicro.co.jp/pages/JP-2079467.aspx 「作業を専門家に依頼する場合」 おまかせ！不正請求クリーンナップサービス http://jp.trendmicro.com/jp/support/personal/contact/remotesup/popupcleanup/ s

トレンドマイクロでは過去数度に渡りUSBワームの脅威と現状について言及してきましたが、現時点でもUSBワームの感染報告は留まることなく、一定の推移で継続し続けています。 2007年の感染報告以降、急激にその種類が増加している事を考えると、USB機器経由での感染経路に一定の効果があることが、ウイルス作者にも広く急速に浸透した事がうかがい知れます。 今回は、「Webからの脅威」と並び非常に効果的な感染経路の一つとして利用され続けるUSBワーム、および「Autorun.inf」について、従来とは異なった視点からより技術的に分析しレポート致します。 リージョナルトレンドラボは、日本国内に寄せられたUSBワーム被害に関する統計調査を実施しました。今回の調査は、USBワーム被害が顕著となる2007年11月から15ヶ月間のデータを使用しています。 ■目次■ 数から見るUSBワーム さらに巧妙になる「Au

今回発見された「TROJ_TARODROP.BA」は、電子メールや悪意のあるWebサイトを介して侵入したものと推測されます。攻撃ファイルの名前は「{日本語の文字列}.jtd」です。 回を増すごとに洗練している攻撃手法 一太郎の脆弱性を狙った攻撃が初観測されたのは2006年8月の「TROJ_MDROPPER.BL」でした。それ以後、新たな脆弱性が探し出される度に攻撃は仕掛けられ、その内容を洗練させてきています。 これまでの攻撃において攻撃者は実質的な不正活動を行うプログラムをドロップ/自動実行させるために文書アプリケーションの脆弱性を衝いてきています。「TROJ_TARODROP.BA」の攻撃シナリオも例外ではありません。攻撃シナリオを追ってみたいと思います。 影響下にある一太郎を使い、一太郎ウイルス（脆弱性を衝く攻撃ファイル、JTDファイル）を開くと、「＜ランダムな文字列＞.tmp」を生成

米アドビシステムズ（Adobe Systems）は2009年3月10日、深刻な脆弱性を修正した「Adobe Reader 9.1」と「Acrobat 9.1」を公開しました。アップデートの適用で修正される脆弱性は、TrendLabs Malware Blog（英語ブログ：Portable Document Format or Portable Malware Format?）にて紹介しているPDFファイル（PDFウイルス）「TROJ_PIDIEF.IN」が攻撃に使用しているものです。Adobe Readerの自動更新機能である[Adobe Updater]からもそのアップデートは可能です。ウイルス対策の観点からは、ただちにアップデートすることをお勧めします。 図1 Adobe Readerの[Adobe Updater]画像 Adobe Reader/Acrobatの「ヘルプ」メニューから

昨年11月21日を発端とし、「MS08-067」で対処した脆弱性（セキュリティホール）を悪用する「WORM_DOWNAD」（ダウンアド、別名：「W32.Downadup」または「Win32/Conficker」）ファミリの被害が拡大しています。その被害は亜種の出現により、拡散能力、駆除に対する耐性の強化が図られてきたことで深刻度が高まっています。今回はそのファミリの系譜を辿ることで、脅威を分析するとともに、トレンドマイクロのソリューションによる予防策についてお知らせします。 図1は、主要なWORM_DOWNADファミリを系譜図としてまとめたものです。 過去の傾向によれば、フェーズ移行は1ヶ月ペースで推移しています。この傾向が続く場合、第2フェーズにある現在の状況は過渡期に向かっているのではと推測されます。我々防衛側は攻撃者側の思惑に振り回されることなく、第3フェーズへの推移を阻止する必要が

謹んで新年をお慶び申し上げます。 Trend Micro Security Blogでは、「セキュリティ（ウイルスや脆弱性による攻撃）の最新動向を追うなら」と掲げ2008年も数多くの記事を掲載してきました。2009年、2年目の新年を迎えようとしています。 2009年第1回となる本投稿では、アクセスランキングTOP20と題し、2008年の歩みを振り返っていただくとともに、2009年のセキュリティ指針決定のヒントにしていただけますと幸いです。 Trend Micro Security Blog 2008年度アクセスランキング TOP20 1位【USBワームによる被害報告が後を絶ちません】 【1】USBドライブの危険性（投稿日：2007-10-12） 2008年のトップアクセス記事は、意外にも2007年の掲載記事でした。データ受け渡し手段の一つとしてすっかり定着した感のあるUSB接続のリムーバブ

※この記事にはその後確認された亜種の系譜を辿る情報を公開しております。こちら からご参照ください。 2008年11月27日の記事にもあるとおり、現在、局地的に組織内での「WORM_DOWNAD」（ダウンアド）と呼ばれるネットワーク型ウイルスの感染被害が広まっています。組織から寄せられる被害報告を分析することにより、「WORM_DOWNAD」ファミリの全容が明らかとなってきています。今回は「WORM_DOWNAD」ファミリの振り返りと題し、被害の全容を明らかにしていきたいと思います。 収束傾向にある今も、潜伏PCからの予期せぬ再発が 11月21日にスペインのセキュリティ組織より、検体が報告され、日本国内では11月25日に初報告を受け、今なお局地的に組織内での大規模感染（アウトブレーク）が報告されているネットワーク型ウイルス「WORM_DOWNAD.A（ダウンアド、別名：「W32.Downad

USBメモリなどを媒体として感染を拡げるウイルス報告（いわゆるUSBワーム）が後を絶ちません。 トレンドマイクロに寄せられたMAL_OTORUN1（* 注釈1）報告件数は7月141件、8月143件、9月347件、10月471件、11月611件と右肩上がりとなっており、被害報告件数は2008年2月から4ヶ月連続、8月から4ヶ月連続一位となっています。 * 注釈1. Mal_Otorun1は不正な「Autorun.inf」に対する検出名です。文中ではMal_Otorun1を利用するウイルスをUSBワームと総称・記載します。 トレンドマイクロでは昨年度よりその脅威について言及してきましたが、AP通信社発、テクノバーン株式会社 11月21日付け報道（「米国防省、USBドライブの使用を突然禁止　中国からのサイバー攻撃？」）によれば、アメリカ国防総省（DoD：Department of Defense

リージョナルトレンドラボでは Internet Explorer 7 （以下IE7）の未修正のセキュリティホールを攻撃する不正プログラムが複数のWebサイトに含まれていることを確認しました。トレンドマイクロではこの不正プログラムを「JS_DLOAD.MD」としてパターン5.701.00（2008年12月10日公開）から検出対応しています。 現在、この「JS_DLOAD.MD」を含むWebページをIE7でオープンすると、複数の不正サイトへのリダイレクトの後、最終的には「TSPY_ONLINEG」ファミリーの複数の亜種が侵入する被害が発生することを判明しています。トレンドマイクロでは既に「JS_DLOAD.MD」を含むものと確認された複数のサイト、並びにリダイレクト先の不正サイトのURLブロックに対応しています。 追記：2008年12月12日 00:29