偽ウイルス対策ソフト – Microsoft Security Response Center

MSE を装う偽セキュリティソフトに注意！

Japan Security Team / By jsecteam / November 4, 2010 June 26, 2019

こんにちは、本日 2 回目のブログ更新です。最近オンラインメディア等でも取り上げられていますが、以前このブログでお伝えした Microsoft Security Essentials (通称 MSE) を装う偽セキュリティソフトの新種 (今回は”ThinkPoint”と呼ばれるものが主流) が確認されているようですので、ご注意ください。 Web 上で突然下のような警告画面が出た際、その精巧な見た目と対応を急ぐ心理から、本物の MSE と間違えてインストールしてしまうユーザーがいるようですが、正規の MSE はマイクロソフトの MSE のサイト上のみで利用可能です。このような人間の心理を突いたソーシャルエンジニアリング攻撃については、最新版のセキュリティインテリジェンスレポート (SIR) 第 9 版でも取り上げていますが、引き続き注視すべき攻撃手法と言えますね。新種の偽セキュリティソフトの例 (Win32/FakePAV) これらのマルウェアは、マイクロソフトの Forefront や MSE では Win32/FakePAV などの名前で検出され、最新の定義ファイルで駆除が可能です。また、主要なウイルス対策ベンダーの正規ソフトを導入して、定義ファイルを最新にしていれば、ほとんどの場合、検出・駆除が可能なはずです。まだ、お使いのマシンにウイルス対策ソフトを導入されていない方は、この機会に無償の MSE のインストールをぜひご検討ください。既にマルウェアの感染が疑われる場合はセキュリティ情報センターまで問い合わせてみてください。ちなみに MSE の話題つながりで書きますが、昨年 9 月に無料のセキュリティ対策ソフト Microsoft Security Essentials (MSE) が一般にリリースされてから、早一年が経ちました。現在世界 74 か国、全 25 言語で利用可能な MSE …

MSE を装う偽セキュリティソフトに注意！ Read More »

Microsoft Security Essentials を騙るマルウェアに注意

Japan Security Team / By jsecteam / May 26, 2010 June 26, 2019

最近、マイクロソフト製の無償マルウェア対策ソフトである Microsoft Security Essentials (MSE) を装った “Security Essentials 2010” と名乗るマルウェアが確認されていますので、ご注意ください。これは以前にもこのブログでお伝えしたいわゆる偽セキュリティソフト (詐欺的なセキュリティソフトウェア) の一種です。今回確認されているのは、正規 MSE を装って以下のような警告画面を表示し、ウイルスを削除していると見せかけて、逆にウイルスに感染させるものです。そのネーミングと精巧な見た目から、本物の MSE と間違えてインストールしてしまうユーザーもいるようです。なお、念のため書きますが、Security Essentials 2010 という製品は存在せず、”Microsoft Security Essentials (MSE)” がマイクロソフト製の無償マルウェア対策ソフトの正式な製品名です。 Security Essentials 2010 と名乗るマルウェアの例 (Win32/Fakeinit): このマルウェアは、マイクロソフトの ForeFront や MSE では Win32/Fakeinit などの名前で検出され、駆除が可能です。また、主要なウイルス対策ベンダーの正規ソフトを導入して、定義ファイルを最新にしていれば、ほとんどの場合、検出・駆除が可能なはずです。まだ、お使いのマシンにウイルス対策ソフトを導入されていない方は、この機会に無償の Microsoft Security Essentials (MSE) のインストールをぜひご検討ください。なお、Web サイトにアクセスして突然、感染の警告が Webブラウザー内に出てソフトウェアのインストールや正規版の購入を促される場合は、ほぼ間違いなく偽セキュリティソフトの警告だと思って良いと思いますので、無視するようにしてください。また、偽セキュリティソフトに関する情報と対策は、マイクロソフトのサイトにて公開していますので、こちらもこの機会に復習していただければと思います。もし既にマルウェアの感染が疑われる場合はセキュリティ情報センターまでお問い合わせください。

偽セキュリティソフトを振り返る

Japan Security Team / By jsecteam / December 15, 2009 June 26, 2019

小野寺です。ちょうど、「偽セキュリティソフト被害は1億5000万ドル超、FBIが注意喚起」という記事に目がとまりました。2008年の11月頃から”悪意のあるソフトウェアの削除ツール (MSRT)” で、いわゆる偽セキュリティソフト (詐欺的なセキュリティソフトウェア)の中でも特に被害の大きなものに対応してきました。少し前に、MMPC (Microsoft Malware Protection Center) Blogで、「Fake Security Software All Up」という記事が公開され、偽セキュリティソフトの一覧が掲載されています。その一覧を抜粋したものが以下となります。MSRTでは削除していないものも相当数あるわけです。”偽”ではない、ウイルス対策ソフトを導入していれば良いのですが、少なくとも、セキュリティセンター (Windows Vista, XP)やアクションセンター (Windows 7)で、セキュリティの警告が出ている人は、偽セキュリティソフトを導入してしまっているか、最新の状態になっていないかのどちらかを疑った方がいいでしょう。そういう方は、Microsoft Security Essentials (MSE) という常駐型のウイルス対策ソフトを無償で配布していますので、とりあえずインストールしてスキャンしてみてください。 FakeXPA FakePowav MalwareBurn UnSpyPc DriveCleaner DocrorTrojan Winfixer FakeScanti Cleanator MalwareCrush PrivacyChampion SystemLiveProtect Yektel FakeSmoke Spyguarder AntivirusGold SystemGuard2009 WorldAntiSpy SpywareSecure IEDefender MalWarrior Malwareprotector SpywareSoftStop AntiSpyZone Antivirus2008 PrivacyCenter SpyLocked Trojanguarder MyBetterPC NeoSpace Winwebsec …

偽セキュリティソフトを振り返る Read More »

黒い画面にマウスカーソル (Win32/Daonol)

Japan Security Team / By jsecteam / October 22, 2009 June 26, 2019

小野寺です。再起動後に、黒い画面 (またはログオンスクリーンの色) に、マウスカーソルのみが表示されてしまう・・・そんな現象が報告されています。色々と調べてみると、Win32/Daonol の最近の亜種にWindows XPが感染すると発生するようです (Windows Vista、Windows 7 では起こりません)。Daonolの不具合？なのか、OS の起動シーケンス中に、無限に処理待ちを起こしてしまうことがあるようで、Daonolが起動中に読み込まれないようにすると、解消されます。さて、このマルウェアですが、(1) 最近出回った、メールに添付されたマルウェア(A)を、ユーザーが実行して感染、その後、マルウェア(A)が、Daonol等別のマルウェアをダウンロードするケースと、 (2) Webを参照した際に、アプリケーションの脆弱性を悪用されて、不正なコードが実行され、Daonol等のマルウェアをダウンロードするケースのおおむね２経路での感染が多いようです。 Web 経由の感染は、いわゆる gumblar (GENO, JSRDir) の手法なわけですが、少なくとも、Microsoft Updateですべての更新プログラムを適用して、使用している他社のアプリケーションも最新の状態にしておけば感染しなかったのですが、アプリケーションの更新に注意を払うということは、まだ十分に根づいていないのかもしれません。今後も、この手の手法は頻繁に使われるでしょう。そのためにも、以下の点を再確認したいところです。 Microsoft Update のすべての更新を適用するセキュリティ上は、最新のサービスパックと、セキュリティ更新プログラムの適用のみで十分ですが、他の安定性向上のための各種更新も適用することをお勧めします。利用の手順は、http://www.microsoft.com/japan/security/bulletins/j_musteps.mspx に掲載しています。信頼できる、最新の状態のマルウェア対策ソフトを使用するまだ、マルウェア対策ソフトを導入していない場合は、すぐに販売店等で信頼できるものを入手して欲しい。　または、無償で提供している Microsoft Security Essentials の導入を検討することをお勧めします。企業では、Forefront の利用をお勧めしています。他社のアプリケーションを常に最新の状態にする他社のアプリケーションにも、脆弱性はあります。しかし、この事を十分に認識して、対策を行っている利用者はまだまだ十分な数ではないと感じています。アプリケーションを導入する際には、自動的に更新機能が有るかを確認する、またはユーザー登録などを通じて重要な通知を受け取れるようにしておくことをお勧めします。参考: http://www.microsoft.com/japan/protect/yourself/downloads/applupdate.mspx さて、冒頭で紹介した、Windows XP で黒い画面で止まってしまう現象のかたは、一例として、以下のレジストリを削除することで回復できます。とはいえ、このレジストリを操作するために、WinPEイメージによる起動か、Windows Vista 以降の回復コンソールが必要になりますし、不用意なレジストリ操作はいささか危険です。 [HKEY_LOCAL_MACHINE\software\Microsoft\Windows NT\CurrentVersion\Drivers32] “midi9″=”C:\\WINDOWS\\<random>.tmp <random>“ PCが２台以上あれば、感染したHDDを正常な PC に接続してウイルス対策ソフトでHDD全体をフルスキャンする方法もありますが、やはりPCに十分に慣れた方以外には難しい作業だと思います。近隣に詳しい方がいれば、助けを求めて今後感染しないように設定してもらう方法も取れると思いますが、そのような方がいない場合は、各種サービス事業者やサポートに相談するのが良いかもしれません。

2009年7月のセキュリティ情報

Japan Security Team / By jsecteam / July 14, 2009 June 26, 2019

小野寺です 2009年7月のセキュリティ情報は、事前通知からの変更はなく予定通り、計 6 件 (緊急 3件, 重要 3件)となります。合わせて、セキュリティアドバイザリを 2件を更新しています。セキュリティ情報 (新規):概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。http://www.microsoft.com/japan/technet/security/bulletin/ms09-jul.mspx 毎月のリリースに合わせて提供している、ワンポイントセキュリティ情報は、以下のサイトと、このBlogでの公開を予定しています。http://technet.microsoft.com/ja-jp/dd251169.aspx MS09-028 (DirectX):特別な細工が施されたQuickTimeファイルを開くか、Webやメール上のコンテンツが再生・配信された等に場合にリモートでコードが実行される可能性があります。対応した３つの脆弱性の中の一つは、セキュリティアドバイザリ 971778 でお伝えしていた件になります。すでに悪用も確認されているため、速やかに更新プログラムを適用する事を推奨しています。Windows Vista以降で使われているDirectX 10以降のバージョンは、影響を受けませんが、Windows XP, Windows 2000用のDirect X9以下のバージョンが影響を受けます。Windows 2000での展開は特に複数のバージョンが組織内で混在している可能性があるため、配布するパッケージに注意が必要かもしれません。WSUS等の配布ソリューションを使っている場合はバージョンに合わせて自動選択されるため気にする必要はありません。 MS09-029 (EOT):特別な細工が施されたEmbedded Open Type (埋め込みフォント)を持つファイルやWebサイトを開くことで、リモートでコードが実行される場合があります。 MS09-030 (Publisher):特別な細工が施されたPublisherファイルを開くことで、リモートでコードが実行される場合があります。 MS09-031 (ISA):特別な細工が施された通信リクエストを処理する際に、特権の昇格が発生する可能性があります。 MS09-032 (Killbit – Video):特別な細工が施されたMicrosoft ActiveXが埋め込まれたWebサイト等を参照することで、リモートでコードが実行される可能性があります。セキュリティアドバイザリ 972890 でお伝えしていた件になります。すでに悪用も確認されているため、速やかに更新プログラムを適用する事を推奨しています。セキュリティ更新プログラムに関してですが、影響を受けないWindows 2000, Windows Vista, Windows Server 2008にも更新プログラムを配信します。これは、将来的にVista等に何らかの理由でActiveXコントロールがインストールされ、この脆弱性が悪用される事を事前に阻止するための予防措置となります。また、今回は、マイクロソフト製品について新たに対応しているため、セキュリティアドバイザリではなく、セキュリティ情報として公開しています。 MS09-033 (Virtual PC/Server):特別な細工が施されたプログラムを、ゲストOS上で実行することで特権の昇格が発生する可能性があります。特権の昇格はあくまでも、ゲストOS内でのみ発生し、そのゲストOS(仮想化環境)をホストしている側に影響はおよびません。また、別の仮想化技術であるHyper-V(Windows Server 2008)は影響を受けません。セキュリティアドバイザリ (更新): セキュリティアドバイザリ …

2009年7月のセキュリティ情報 Read More »

2009年6月のセキュリティ情報

Japan Security Team / By jsecteam / June 9, 2009 June 26, 2019

小野寺です 2009年6月のセキュリティ情報は、事前通知からの変更はなく予定通り、計 10 件 (緊急 6件, 重要 3件, 警告 1件)となります。また、合わせて、MS09-017の更新、セキュリティアドバイザリを 2件公開し、2件を更新しています。セキュリティ情報 (新規):概要情報、展開に関する情報、および脆弱性悪用指標(Exploitability Index)を、以下のサイトにまとめています。http://www.microsoft.com/japan/technet/security/bulletin/ms09-jun.mspx 毎月のリリースに合わせて提供している、ワンポイントセキュリティ情報は、以下のサイトと、このBlogでの公開を予定しています。http://technet.microsoft.com/ja-jp/dd251169.aspx MS09-018 (Active Directory):特別な細工が施されたLDAP (LDAPS) リクエストの受信、または処理中にリモートでコードが実行される可能性があります。リモートでコードが実行される可能性があるのは、Windows 2000 Server のActive Directory (AD) のみで、Windows Server 2003 などの他のOSでは、攻撃が成功しても、サービス拒否状態となり深刻度も、重要と評価しています。どちらにしても、ADが侵害、または停止するのは好ましくありませんの早々の適用を推奨します。 MS09-019 (Internet Explorer):幾つかの脆弱性に対処していますが、多くの場合、不正な細工が行われたWebサイトを参照する事で、リモートでコードが実行されます。公開した時点で、悪用は確認されていませんが、最近の被害事例を考えると実際に悪用がなされる前に適用しておきたい更新プログラムです。 MS09-020 (IIS):特別な細工が施されたWebDAVリクエストの受信、または処理中に特権の昇格が発生する可能性があります。セキュリティアドバイザリ (971492) で、お知らせしていた脆弱性に対応したものとなります。 MS09-021 (Excel):特別な細工が施されたExcelファイルを開くことで、リモートでコードが実行される可能性があります。Office 2000 (Excel 2000) の深刻度のみ緊急と評価しています。 Office XP以降のバージョンでは、実際にコードが実行可能である確立がOffice 2000よりも下がる事が社内の検証で分かっています。しかし、ドキュメントファイルを使った攻撃は依然として多い状況ですので、適用はするべきです。 MS09-022 (Spooler):特別な細工が施された印刷スプーラーに対するリクエストの受信、または処理中にリモートでコードが実行される可能性があります。リモートでコードが実行される可能性があるのは、Windows 2000のみとなっており、他のOS環境では、特権の昇格または、情報漏えいの可能性のみとなります。 MS09-023 (Windows Search):特別な細工が施されたファイルが、Windows Searchで検索結果として表示される場合に、情報漏えいの可能性があります。今回影響を受ける環境では、Windows Searchは、既定ではインストールされておらず、任意にインストールしている必要があります。尚、Windows XPの検索機能とは別のものです。 MS09-024 …

2009年6月のセキュリティ情報 Read More »

セキュリティインテリジェンスレポート第6版(2008年下半期)

Japan Security Team / By jsecteam / April 8, 2009 June 26, 2019

小野寺です。 2008年下半期の脆弱性やマルウェアの動向をまとめた、セキュリティインテリジェンスレポート (SIR) 第6版を公開しました。本レポートは、半期に一度公開しており、さまざまなデータを基に現在のセキュリティ動向を分析しています。最新のレポートは、以下のサイトから入手できます。要約版である、主要な調査結果の概要は、日本語でご覧いただけます。この種の研究者だけではなく、システム運用や開発にかかわる方にはぜひ、読んでいただきたい内容になっています。マイクロソフトセキュリティインテリジェンスレポートhttp://www.microsoft.com/japan/sir/ さて、恒例？の感染率で色分けした、世界地図から確認してみます。日本は、引き続き緑ですが、前回に比べて、幾つかの国で大きく感染率が下がっています。逆に急激に悪化した国もあります。この感染率は、悪意のあるソフトウェアの削除ツール(MSRT)を1000回実行した当たりのマルウェア削除件数 (CCM) です。さて、日本は、マルウェアに感染しているかどうかという意味では、他の国に比べて感染率が低めなのですが、サーバー(またはクライアント)が侵害されマルウェアの配布元になっているかを調べてみるとどうなのでしょうか？日本も、マルウェアを配布してしまっている事が分かります。これは、不適切なWebアプリケーションへのSQL インジェクションだったり、Drive By Downloadによる侵害や、そもそも管理されていないWebサーバー(WindowsもOSSも)がそれなりあるのだと思います。もちろん、Webだけではなく、通常のクライアントがBot等に感染して配布しているケースも含まれています。この辺の攻撃を受けてしまう環境は、繰り返しになりますが適切に管理されていない事が原因の一端だと思います。企業でのConfickerの感染もそうですが、多くはパッチ(セキュリティ更新プログラム)を適用していない場合が多いと思います。サービスパックやパッチを適用しないと本当に、感染しやすいかは、以下を見ていただくと分かりやすいと思います。上記の地図同様にCCMをOSとサービスパック毎に集計したデータです。当たり前かもしれませんが、新しい方がより被害にあいにくいと言えます。この他、今回のレポートでは、詐欺的セキュリティソフト、Drive By Download、文書ファイル(OfficeとPDF)による攻撃等に多くのページを割いており、幾つか面白い発見があるかもしれません。サーバーを立てている個人、管理者、ソフトウェアの開発者に方々には、現状の脅威に即した適切な管理と対応を切に願うばかりです。

12月のワンポイントセキュリティ

Japan Security Team / By jsecteam / December 9, 2008 June 26, 2019

小野寺です。 12月のワンポイントセキュリティを公開しました。 2008年12月のワンポイントセキュリティ情報は、過去のワンポイントセキュリティ情報のサイトより、フルサイズ版・縮小版ビデオや音声版ダウンロードファイルでご利用可能です。最新のワンポイントセキュリティ情報は、今月のワンポイントセキュリティ情報からご視聴いただけます。

11月のワンポイントセキュリティ

Japan Security Team / By jsecteam / November 12, 2008 June 26, 2019

小野寺です。 11月のワンポイントセキュリティを公開しました。 2008年11月のワンポイントセキュリティ情報は、過去のワンポイントセキュリティ情報のサイトより、フルサイズ版・縮小版ビデオや音声版ダウンロードファイルでご利用可能です。最新のワンポイントセキュリティ情報は、今月のワンポイントセキュリティ情報からご視聴いただけます。

2008年11月のセキュリティリリース & Vista Antivirus 2008 (偽)

Japan Security Team / By jsecteam / November 11, 2008 June 26, 2019

小野寺です今月は、事前通知からの変更はなく、予定通り、計 2 件 (緊急 1 件, 重要 1 件)を公開しました。セキュリティ情報 (新規):セキュリティ情報の展開に関する情報およびExploitability Indexは、以下のサイトにまとめています。http://www.microsoft.com/japan/technet/security/bulletin/ms08-nov.mspx MS08-068 (SMB):ユーザーが、悪意のあるサイトに誘導された場合に、Microsoft Server Message Block (SMB) プロトコルの脆弱性が悪用される可能性に対処しています。 MS08-069 (MSML):特別に細工されたコンテンツを読み込んだ場合に、不正なコードの実行、情報漏洩などの可能性のある脆弱性に対処しています。また、今回インストールにも関連する既知の問題が幾つかありますので、http://support.microsoft.com/kb/955218 を参照することをお勧めします。悪意のあるソフトウェアの削除ツール(MSRT):今月は、Win32/FakeSecSen および、Win32/Gimmiv に対応しています。FakeSecSen は、最近特に問題になっている偽ウイルス対策ソフトの一つに対処しています。今回対処したのは、Vista Antivirus 2008 と呼ばれるもので、Windows Vista の正規の機能を装って、以下の様な警告画面を表示します。ウイルスを削除していると見せかけ、逆に「偽ウイルス対策ソフト = ウイルス」に感染させられてしまいます。この他にも、このようなソフトウェアは幾つか発見されており、Webにアクセスして突然、感染の警告が Webブラウザ内に出て、正規版の購入を勧めるような場合は、ほぼ間違いなく偽ソフトの警告だと思って良いと思います。とはいえ、本来ブラウザが表示している警告は無視しないようにしなければなりませんので、不慣れな方には区別は難しいのかもしれません。ワンポイントセキュリティ情報:毎月のリリースに合わせて提供している、ワンポイントセキュリティ情報は、11/12の午後に以下のサイトとこのBlogで公開を予定しています。http://www.microsoft.com/japan/technet/community/events/webcasts/security.mspx