ランサムウェアが近年、注目を浴びてきている。ランサムウェアとは一般に、感染するとユーザのコンピュータ内にある任意のファイルを暗号化し、元に戻すための暗号解除アプリケーションを売りつける、いわば身代金要求型不正プログラムである（ランサム = 身代金）。近ごろは、これに偽セキュリティソフトを絡めた多重アプローチが見られるようになり、より手の込んだ不正活動が目立つようになってきた。 今回は、ランサムウェアとしての代表的な動作であり、今年に入り確認された「TROJ_FAKEALE.BG」を例に、その全体像をご紹介する。 「TROJ_FAKEALE.BG」はまず、Web上もしくはほかの不正プログラムから侵入するが、この時、「TROJ_FAKEALE.BG」は「DLL」という形でやってくる。 このDLL（TROJ_FAKEALE.BG）は、最初の不正活動となる暗号化を行うプログラムであり、ユーザのファ

2009年6月12日、Microsoft Outlook利用者を標的としたメールを媒介としたトロイの木馬拡散事例が相次いで報告されています。 リージョナルトレンドラボでは、一部日本国内にも流通していることを特定しています。 確認されたスパムメールは、件名「Microsoft Outlook Setup Notification」と記載され、その差出人は個人名。本文には、「Microsoft Outlookにてメッセージを受信していること。再設定が必要であること。添付されたファイルを実行すること。」などと説明され、添付ファイル（client_update.zip）が添えられています。 メッセージにはいくつかバリエーションがあり、これまでに報告されている事例は次の通りです。 Microsoft Outlook Setup Notification Outlook Express Setup N

フランスの通信社 AFP通信（AFP：Agence France-Presse）は6月1日、「エールフランス機、ブラジル沖で消息絶つ 乗員乗客228人が搭乗」のニュースを配信しています。 トレンドマイクロでは、事故発生直後よりインターネットの動向監視を強化してきました。その結果、航空機墜落事故に関するニュースの検索により、1万件以上の不正なリンクが表示されることを確認しています。また、これら不正リンクの一部には、リンクのクリックによりリダイレクトが行われ、偽セキュリティソフト、スケアウェア（scareware）の自動インストールが発生する場合があります。 注目度の高い時事問題の発生は、インターネット検索エンジンにおける関連用語の検索頻度が高まります。今回も例外ではありません。「Google Trend」によれば、ニュース配信直後より「air france」による検索数が飛躍的に伸びているこ

上記の5カ国に、6位にインド（先月6【位】）、7位に韓国（先月4【位】）、8位にスペイン（先月10【位】）、9位にコロンビア（先月7【位】）、10位にアルゼンチン（先月圏外【位】）が続いています。 ワーストTOP5を見ると、先月に引き続き、1位にアメリカ、2位にブラジルが位置しています。このほか、トルコ（圏外からステップアップの3位）、ポーランド（4ステップアップの5位）の急浮上も見られます。代わりにロシア、韓国が順位を下げています。 各国のプロバイダにおけるボットネットの活動を監視している「Spam & Botnet Watch」（2009年05月01日時点）からは、スパムを配信するISP（インターネットサービスプロバイダ）の上位10社中2社がアメリカのISP、4社がブラジルのISPが占め、1月/2月/3月とこの傾向は続いています。なお、今回急浮上の見られたトルコのISPはトップ10圏外

感染が広がる豚インフルエンザ（新型インフルエンザ：H1N1亜型、Swine Flu）の影響はサイバー空間にも及んでいます。トレンドマイクロではインターネットを通じての豚インフルエンザ情報の収集に関して、慎重を期するよう注意喚起いたします。 リージョナルトレンドラボではこれまでに、豚インフルエンザに便乗した複数の攻撃事例を確認しています。 公的機関からの注意喚起を装いメールにウイルス添付、拡散させる事例 ニュースを装ったメールにURLを記載、医薬品販売などの不正サイトへ誘導させる事例 倫理性の無いマーケティングを行うオンライン販売事業者 事例を知り、今後発生しうる模倣犯に対する対策をご検討ください。 公的機関からの注意喚起を装いメールにウイルス添付、拡散させる事例 国立感染症研究所は28日、発信者「From: 国立感染症研究所 ＜任意のアドレス@yahoo.co.jp＞」、件名「Subjec

【Weekly Threat Info】海外記事をナナメ読み：日本人も標的、米国免税書類を装った確定申告スパムメール 2009/04/17～2009/04/24 「THREAT」とは、「脅威」を意味する英単語です。サイバー空間では今日も世界中でさまざまな問題が報告されています。 本連載では、情報セキュリティ関連情報収集の効率化を目的として英語ブログ「TrendLabs Malware Blog」が今週1週間に配信した記事へのリンクを要約とともにお届けしています。国外の事例を知ることは、先進的な自衛策を検討する上で、有効な情報源の一つになり得ます。是非、英文記事にもアクセスしてみてください。 ■2009/04/22 Fake Form W-8BEN Used in IRS Tax Scams http://blog.trendmicro.com/fake-form-w-8ben-used-i

【Weekly Threat Info】海外記事をナナメ読み：新たなWaledacキャンペーン、SMS盗聴ソフトを装う 2009/04/11～2009/04/17 「THREAT」とは、「脅威」を意味する英単語です。サイバー空間では今日も世界中でさまざまな問題が報告されています。 本連載では、情報セキュリティ関連情報収集の効率化を目的として英語ブログ「TrendLabs Malware Blog」が今週1週間に配信した記事へのリンクを要約とともにお届けしています。国外の事例を知ることは、先進的な自衛策を検討する上で、有効な情報源の一つになり得ます。是非、英文記事にもアクセスしてみてください。 ■2009/04/15 April 2009 Patch Tuesday Release http://blog.trendmicro.com/april-2009-patch-tuesday-rel

リージョナルトレンドラボでは4月13日に、三菱UFJニコス株式会社及びUFJカードグループが発行するUFJカード（UFJ Card）を騙る日本語のWebサイトが開設されていること、同サイトへ誘導する英語のスパムメールの流通を確認しており、14日午前時点も未閉鎖/稼働中であることを警告するとともに、注意喚起いたします。 サイトへの誘導はスパムメールで 報告されているスパムメールは英文。差出人「”UFJ Card ( Mitsubishi UFJ Financial Group )” 」、件名「UFJ Card ( Mitsubishi UFJ Financial Group )」とその内容だけでは偽の情報であると見分けるのは困難です。 その本文にはクレジットカードアカウントの重複により利用規約に基づくアカウント凍結が行われること。アカウントの回復にはWebサイトでの情報入力が必要であることが

【Weekly Threat Info】海外記事をナナメ読み：Downad/Conficker の新たな亜種はP2P通信で拡散 2009/04/02～2009/04/10 「THREAT」とは、「脅威」を意味する英単語です。サイバー空間では今日も世界中でさまざまな問題が報告されています。 本連載では、情報セキュリティ関連情報収集の効率化を目的として英語ブログ「TrendLabs Malware Blog」が今週1週間に配信した記事へのリンクを要約とともにお届けしています。国外の事例を知ることは、先進的な自衛策を検討する上で、有効な情報源の一つになり得ます。是非、英文記事にもアクセスしてみてください。 ■2009/04/09 Adobe Acrobat/Reader getIcon() Vuln Exploit in the Wild http://blog.trendmicro.com/a

この事例に関するサポートページが公開されました。インストールした覚えのないアプリケーションのポップアップウィンドウが繰り返し表示される問題に遭遇されているユーザは、以下のサポートページをご参照ください。 「不正なポップアップウィンドウが表示される問題の解決方法」 Windows XP の場合 http://esupport.trendmicro.co.jp/pages/JP-2079453.aspx Windows Vista／Windows 7 の場合 http://esupport.trendmicro.co.jp/pages/JP-2079467.aspx 「作業を専門家に依頼する場合」 おまかせ！不正請求クリーンナップサービス http://jp.trendmicro.com/jp/support/personal/contact/remotesup/popupcleanup/ s

今回発見された「TROJ_TARODROP.BA」は、電子メールや悪意のあるWebサイトを介して侵入したものと推測されます。攻撃ファイルの名前は「{日本語の文字列}.jtd」です。 回を増すごとに洗練している攻撃手法 一太郎の脆弱性を狙った攻撃が初観測されたのは2006年8月の「TROJ_MDROPPER.BL」でした。それ以後、新たな脆弱性が探し出される度に攻撃は仕掛けられ、その内容を洗練させてきています。 これまでの攻撃において攻撃者は実質的な不正活動を行うプログラムをドロップ/自動実行させるために文書アプリケーションの脆弱性を衝いてきています。「TROJ_TARODROP.BA」の攻撃シナリオも例外ではありません。攻撃シナリオを追ってみたいと思います。 影響下にある一太郎を使い、一太郎ウイルス（脆弱性を衝く攻撃ファイル、JTDファイル）を開くと、「＜ランダムな文字列＞.tmp」を生成

米アドビシステムズ（Adobe Systems）は2009年3月10日、深刻な脆弱性を修正した「Adobe Reader 9.1」と「Acrobat 9.1」を公開しました。アップデートの適用で修正される脆弱性は、TrendLabs Malware Blog（英語ブログ：Portable Document Format or Portable Malware Format?）にて紹介しているPDFファイル（PDFウイルス）「TROJ_PIDIEF.IN」が攻撃に使用しているものです。Adobe Readerの自動更新機能である[Adobe Updater]からもそのアップデートは可能です。ウイルス対策の観点からは、ただちにアップデートすることをお勧めします。 図1 Adobe Readerの[Adobe Updater]画像 Adobe Reader/Acrobatの「ヘルプ」メニューから

リージョナルトレンドラボでは Internet Explorer 7 （以下IE7）の未修正のセキュリティホールを攻撃する不正プログラムが複数のWebサイトに含まれていることを確認しました。トレンドマイクロではこの不正プログラムを「JS_DLOAD.MD」としてパターン5.701.00（2008年12月10日公開）から検出対応しています。 現在、この「JS_DLOAD.MD」を含むWebページをIE7でオープンすると、複数の不正サイトへのリダイレクトの後、最終的には「TSPY_ONLINEG」ファミリーの複数の亜種が侵入する被害が発生することを判明しています。トレンドマイクロでは既に「JS_DLOAD.MD」を含むものと確認された複数のサイト、並びにリダイレクト先の不正サイトのURLブロックに対応しています。 追記：2008年12月12日 00:29

上記の5カ国に、6位にオランダ（先月圏外【位】）、7位にドイツ（先月圏外【位】）、8位にカナダ（先月圏外【位】）、9位にイギリス（先月圏外【位】）、10位にポーランド（先月10【位】）が続いています。 ワーストTOP5は中国の急上昇が懸念されます。ただし、全体でみた場合、20%以上のスパムメール発信元はアメリカであることに注意すべきといえます。各国のプロバイダにおけるボットネットの活動を監視している「Spam & Botnet Watch」（2008年12月2日時点）からも、中国の急増傾向を裏付ける結果が見られます。2位に「CHINA169-BACKBONE CNCGROUP China169 Backbone」、3位「BACKBONE-GUANGDONG-AP China Telecom(Group)」と中国のISP（インターネットサービスプロバイダ）がランクインしていることが確認できま

上記の5カ国に、6位に中国（先月8【位】）、7位にインド（先月7【位】）、8位にアルゼンチン（先月圏外【位】）、9位にコロンビア（先月5【位】）、10位にポーランド（先月圏外【位】）が続いています。 10月度の「Worldwide Spam amount」は「90,891,023」。前月度の「66,470,097」に対して増加傾向です。 再びアメリカがワースト1に位置しています。その他、上位ランキングを見ると、韓国の急上昇が懸念されます。韓国は今年度8月頃より、各国のプロバイダにおけるボットネットの活動を監視している「Spam & Botnet Watch」からも攻撃の悪化傾向は見られ、引き続きの警戒が必要であるといえます。 「Spam & Botnet Watch」は、スパムマップとは異なる観点から警戒すべき動向を知らせています。スパムマップ ワースト10にランクインしていないものの、イ

株式会社オリエントコーポレーション（http://www.orico.co.jp/）は11月5日、同社/グループ会社と混同するような名称やシンボルマークを使用した金融業者（無登録業者）リスト「当社名称及び当社の類似名称を名乗る金融業者」を更新し、注意を呼びかけています。 リージョナルトレンドラボでは同月4日に、無登録業者「オリコ信販株式会社」のWebサイトが開設されていること、同サイトへ誘導するスパムメール（広告メール）の流通を確認しており、7日午前時点も未閉鎖/稼働中であることを警告するとともに、注意喚起いたします。 闇金サイトへの誘導はスパムメールで 報告されているスパムメールには、「ご利用可能枠/５０万円～１０００万円」、「ご融資利率/実質年率 5.4％～12.86％」などの情報とともに、「http://orico.c{BLOCKED}y.net」と正規業者に類似したドメインのサイト

トレンドマイクロでは米国時間11月5日 早朝、次期アメリカ合衆国大統領選に勝利したバラク・オバマ（Barack Obama）氏の演説に関する報道を装い、演説ビデオの視聴を促す内容でトロイの木馬へと誘導させるスパムメールの流通を確認しています。 なお、トレンドマイクロ製品では「TROJ_DLOADER.ISZ」としてトロイの木馬をすでに検出対応しており、ダウンロード先URLについてもブロックしています。 当該スパムメールは、オバマ氏の演説報道が行われた数時間以内に流通している事を確認しています。オバマ氏の演説報道に便乗し、トロイの木馬の感染を拡大させようとした企みが推測できます。 スパムメールは送信元が偽造されており、送信元とタイトルの組み合わせは以下となります。

確認されたスパムメールは、HTML形式のメール。ポルトガル語で記載されたそのメールには、メール受信者の動画が動画共有サイト（YouTube）に投稿されていることがURLとともに紹介されています。 Olá, こんにちは Atenção! お知らせ！ Fizeram uma divulgação em video de sua pessoa, em que seu nome foi mensionado em varios filmes da nossa rede. 誰かが、あなたの名前とあなたの写っている動画を今夜見つけました。 Para denunciar, Clique Aqui! その動画を見るには、ここをクリック！ Veja o video em que consta sua presença : (http://www.youtube.com/watch?v=Y6BS8926mVg

「今日はもっとも振り込め詐欺被害の多い日」。今朝、テレビにて興味深いニュース映像が流れていました。10月15日という日が注目される背景には、隔月の年金支給日との重なりに因果関係があるとの分析結果が発表されています。 実社会では高齢者が主な被害者となっている振り込め詐欺ですが、デジタル社会も「振り込め詐欺被害」の例外ではありません。被害はより悪質にすべてのインターネット利用者がその脅威に晒されています。その代表例が「偽セキュリティソフト」です。 ■インターネット脅威レポートも警鐘 2008年8月、9月度の「インターネット脅威マンスリーレポート」においても、偽セキュリティソフト「TROJ_FAKEALER（フェークアラート）」や「TROJ_FAKEAV（フェイクエイブイ）」について警鐘を鳴らしています。これまでもこのブログで何度か注意喚起していますが「Spyware Guard 2008」、「

10日、マイクロソフト社に実在する社員からのセキュリティ情報の通知と偽り拡散するウイルス添付スパムメールが確認されています。 リージョナルトレンドラボでは、一部日本国内にも流通していることを特定しています。 図1. 国内で確認されたマイクロソフトのセキュリティ通知を詐称したスパムメール Trend Micro Anti-Spam Engineによってスパムメール判定されたメールの件名には、「Spam:」文字が追加されています。 確認されたスパムメールは、テキスト形式のメール。件名に「Security Update for OS Microsoft Windows（マイクロソフトOSのためのセキュリティアップデート）」と記載され、セキュリティ更新プログラムと称されたZIP圧縮ファイル「KB{6桁の半角数字}.zip」が添付されています。ZIP圧縮ファイル中には同名の実行ファイル「KB{6桁の