DNSサーバーアドレスを改ざんし、ファーミングマルウェアを配布する攻撃を発見
本レポートは、アンラボコリアより発表された内容を翻訳したものです。
----------------------------------------------------------------------------------------------
最近、V3 個人ユーザーより、PC にマルウェアが存在しないにも関わらず、ファーミングの症状が現れるという問い合わせが多数あり、調査したところ、ユーザー PC の DNS サーバーアドレスが改ざんされていたことが明らかになった。
ファーミングの症状は、ユーザーが特定のポータルサイトに接続する際にのみ現れ、被害を受けたほとんどの PC が無線 LAN に接続されていた。
※ ファーミング（Pharming）とは？
DNS (Domain Name System) サーバーの設定を書き換え、ユーザーを偽の Web サイトに誘導することで不正に個人情報を得る行為。
ファーミングサイトに接続されると、画面上段に ActiveX コントロールの情報バーが表示される。
[図 1] ActiveX コントロールの情報バー
ActiveX の登録情報は Google を装っている。
[図 2] ActiveX 登録情報
ActiveX をインストールすると、hosts ファイルを改ざんするマルウェアがダウンロードされる。
[ダウンロード URL]
126.7*.**.**9:80 www.naver.com/NAVERActiveXControl.cab
126.7*.**.**9:80 www.naver.com/svc.exe
[ファイルの生成]
C:\WINDOWS\Downloaded Program Files\DownloaderActiveX.ocx
C:\WINDOWS\Downloaded Program Files\DownloaderActiveX.INF
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\svc.exe
ダウンロードされたマルウェアは Program Files パスに自らをコピーし、bmp ファイルを生成する。
[ファイルの生成]
C:\Program Files\Common Files\svc.exe
C:\koreaautoup.bmp
[図 3] bmp ファイルの生成
また、レジストリを修正してマルウェアをスタートプログラムに登録し、ポータルサイトをインターネットのスタートページにすることで、IE 実行時にファーミングサイトが表示されるように設定する。
[レジストリの登録]
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\koreaautoup"C:\Program Files\Common Files\svc.exe"
HKCU\Software\Microsoft\Internet Explorer\Main\Start Page
"http://www.naver.com"
その後、既存の hosts ファイルを削除し、C&C サーバーから hosts ファイルをダウンロードして改ざんする。
[図 4] C&C サーバー接続
[図 5] 改ざんされた hosts ファイル
セキュリティソフトで PC をスキャンしてもマルウェアが検知されないのにファーミングの症状が確認される場合は、無線 LAN の脆弱性によるファーミングの可能性がある。
この場合は、使用中の無線 LAN の初期化およびアップグレードを行うことで脆弱性を解決することができる。
無線 LAN の初期化およびアップグレードを行った後は、以下のように設定することを推奨する。
1. 無線 LAN のパスワードは、必ず推定されにくい 「文字+数字」 に設定する。
2. 無線 LAN を使用するデバイスが決まっている場合は、登録した MAC アドレスのみが接続できるように設定する。
3. 遠隔操作接続機能を使用しない場合は、無効にする。
4. 使用中の無線 LAN のパッチまたはアップデートの更新状況を定期的に確認し、常に最新バージョンを維持する。
PC の DNS サーバーアドレスが変更された場合は、以下の方法で設定を変更しなければならない。
[コントロールパネル] > [ネットワークと共有センター] > [アダプターの設定の変更] > [ローカルエリア接続]
(マウスの右クリック) > [プロパティ] > [Internet Protocol Version4(TCP/IPv4)] > [プロパティ] > [DNS サーバーのアドレスを自動的に取得する] > [OK]
[図 6] PC の DNS サーバー設定の変更
■ AhnLab の V3 製品群では、次のように検知・駆除することが可能である。
Trojan/Win32.Downloader (2014.05.13.00)
BinImage/Agent (2014.05.12.04)
Trojan/Win32.Hosts (2014.05.12.04)
BinImage/Hosts (2014.05.15.00)
