[セキュリティブログ] Cross-Platform マルウェア
最近、ハッキングされたコロンビアの某運送サイト経由でマルウェアが配布されました。ハッキングされたサイトにアクセスすると JAR ファイルが実行し、使用しているシステムの OS を確認します。そして、それぞれの OS にマッチするマルウェアをダウンロードして実行させます。下記は感染させる OS を確認するコードです。 Win-Trojan/Getshell.2048 (V3, 2012.07.26.01)
[図1] 感染させる OS を確認するコード
Mac 用マルウェアは、IBM 社が製作した PPC (PowerPC) チップを使用している Mac 製品で動作します。Intel 社のチップを使用している Mac 製品は Rosetta をインストールすると実行しますが、10.7 (Lion) 以降のバージョンではサポートしません。つまり、10.7 以下のバージョンに Rosetta を直接インストールした場合のみ動作するため、感染の被害は小さいと考えられます。
Mac OS X v10.7 "Lion" neither includes nor supports Rosetta at all. Therefore, with Lion, the current Macintosh platform drops support for PowerPC applications.
[図2] Rosetta のインストール案内
Windows や OSX、Linux を感染させるマルウェアはコロンビアにある同じ IP を有する C&C サーバーにアクセスを試みます。
[図3] C&C サーバーアクセス情報
[図4] C&C サーバーの位置
2012 年初にも同じ特徴 (マルウェア感染時に OS を確認し、OS にマッチしたマルウェアをダウンロードする) を有するマルウェアが発見されました。
[図5] 2012年初めに発見されたマルウェア感染時にOSを確認するコード
2012 年 第二四半期の Apple 社の決算発表によると、400 万台の Mac 製品を販売したという内容がありました。Windows OS に比べてユーザー数が少ないですが、iPhone や iPad の売れ行きの増加と比例してユーザーも増加傾向にあり、Mac マルウェアも増加しています。Mac ユーザーも Mac 製品用のセキュリティ製品を使用することを推奨します。
＜Windows OS にダウンロードするマルウェアは、V3 製品シリーズでは下記の通り診断します。＞
