by:ミッコ・ヒッポネン3月、「RSA」がハッキングされた。これは、これまでで最大のハッキングの一つだ。現在の推測は、ある国家がロッキード・マーティンおよびノースロップ・グラマンに侵入し、軍事機密を盗みたかったというものだ。目的は達成されなかった。SecurIDトークンを使用していたためだ。そのためハッカーたちは、標的型の電子メール攻撃でRSAに侵入した。彼らはバックドアを設置し、最終的にSecurID情報にアクセスし、もともとの標的に戻って、侵入することに成功した。この攻撃の結果、RSAは世界中の顧客のため、SecurIDトークンを交換することを余儀なくされた。plan.xls」という添付ファイルが含まれていたことを知っていた。RSAはこの情報を、彼らのブログの記事で明らかにした。問題は、我々がそのファイルを持っていなかったということだ。持っている人はいないようで、アンチウイルスリサーチャのメーリングリストは、どこでそのファイルが入手できるかという議論で持ちきりだった。誰もファイルを入手できず、結局、議論は終息した。Hirvonenを悩ませた。Timoは我々のラボのアナリストで、このファイルを見つけられると確信していた。4月以来2、3週間ごとに、Timoは我々が持つ何千万ものマルウェアファイルのコレクションをチェックし、このファイル一つを見つけるべく吟味し続けたが、幸運には恵まれなかった。TimoはFlashオブジェクト用のサンプルを分析するデータ解析ツールを書いた。我々は問題のXLSファイルが、システムを乗っ取るのにFlashオブジェクトを使用していることを知っていた。新ツールはいくつかの関連サンプルを探し出した。その中の一つはExcelファイルではなかった。それはOutlookメッセージファイル(MSG)だった。それを開いた時、Timoは思い当たることがあった。plan.xls」を備えていることが分かった。5カ月後、我々はついにファイルを手に入れた。それだけでなく、オリジナルのメールも手に入れた。誰かが(おそらくはEMC/RSAの従業員)が3月19日に、Virustotalオンラインスキャニングサービスに電子メールと添付書類をアップロードしていたことが分かった。Virustotalの規約にある通り、アップロードされたファイルはアンチマルウェアやセキュリティ業界の関係者に共有される。それゆえ、我々は皆、既にこのファイルを持っていたのだ。我々はそうとは知らず、何百万ものサンプルの中からそれを見つけることができなかった。このサンプルは「file-1994209_msg」として、3月19日にアップロードされた。これはリクルートサイト「Beyond.com」から送られたように見える、なりすましメールだった。plan」で、「検討のためこのファイルを送ります。」という1行が本文だ。このメッセージは1人のEMC職員宛てに、3名に対してCcされて送信された。以下はこの悪意あるExcelファイルを開くと、何が起こるかを見せるYouTubeビデオだ。このビデオでは、我々がこのメールをOutlookで開き、添付ファイルを実行しているところが見られる。組込型Flashオブジェクトは、スプレッドシートでは[X]マークで示されている。FlashオブジェクトはExcelにより実行される(一体どうしてExcelが組込型Flashをサポートしているのかは全く疑問だ。Ivyバックドアをドロップする。このエクスプロイトコードは次にExcelを閉じ、感染が終了する。Ivyが「good.mincesur.com」のサーバに接続する。「good.mincesur.com」というドメインは、長期間にわたって似たようなスパイ攻撃で使用されている。接続されると、攻撃者は感染したワークステーションに完全なリモートアクセスが可能になる。悪いことに、ユーザがアクセスできるネットワークドライブにもフルアクセスが可能だ。攻撃者たちは、探しているSecurIDデータにアクセスできるまで、このベクタを利用することができる。攻撃電子メールはそれほど複雑には見えない。実際、非常にシンプルだ。Excel内のエクスプロイトはその時点でゼロデイで、RSAはシステムにパッチを当てて保護することができなかった。同メールは高度ではない。ドロップされたバックドアは高度ではない。エクスプロイトは高度なものだ。攻撃者の最終的な標的も高度だ。何者かがセキュリティベンダの顧客のシステムにアクセスするため、ベンダをハッキングするなら、間のステップにそれほど複雑でない部分があったとしても、我々はその攻撃を高度なものと言いたい。Security」カンファレンスで、このトピックに関するリサーチについて、「RSAはいかにして侵入されたか」というタイトルで講演を行う。月を選択2016年12月2016年11月2016年09月2016年08月2016年07月2016年06月2016年05月2016年04月2016年03月2016年02月2016年01月2015年12月2015年11月2015年10月2015年09月2015年08月2015年07月2015年06月2015年05月2015年04月2015年03月2015年02月2015年01月2014年12月2014年11月2014年10月2014年09月2014年08月2014年07月2014年06月2014年05月2014年04月2014年03月2014年02月2014年01月2013年12月2013年11月2013年10月2013年09月2013年08月2013年07月2013年06月2013年05月2013年04月2013年03月2013年02月2013年01月2012年12月2012年11月2012年10月2012年09月2012年08月2012年07月2012年06月2012年05月2012年04月2012年03月2012年02月2012年01月2011年12月2011年11月2011年10月2011年09月2011年08月2011年07月2011年06月2011年05月2011年04月2011年03月2011年02月2011年01月2010年12月2010年11月2010年10月2010年09月2010年08月2010年07月2010年06月2010年05月2010年04月2010年03月2010年02月2010年01月2009年12月2009年11月2009年10月2009年09月2009年08月2009年07月2009年06月2009年05月2009年04月2009年03月Ustream生中継アーカイブエフセキュアブログ開設1周年を記念して6月8日に開催したパネルディスカッションの模様をご覧いただけます。掲載して毎月一回配信します。アドレスのみの登録で購読無料。