LSP改ざんを利用したファーミング攻撃

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

以前、「オンラインゲームハック」、「ファーミング」マルウェアに使用されていた攻撃手法が再び発見された。今回発見された攻撃手法はLSP(Layered Service Provider)改ざんを利用した方法である。

[図 1] Winsock 2 & Winsock 2 Transport SPIの構造
 
 

Winsock(Windows Socket API)は、Windows OS内でインターネット応用プログラムの入出力要求を処理するインターフェースである。Webブラウザのような応用プログラムのコマンドを受け、「Winsock 2 DLL」、「Base Provider」の順に通信する。 

 [図 2] LSP(Layered Service Provider)の構造
 
 

生成されたファイルは、[図 4]のようにレジストリに登録され、システムの起動時に自動実行される。
 
このような通信過程であるLSPは、すべてのデータがフィルタリングされずに通過するため、送受信されるデータをすべて監視することができる。LSPは、不用意に削除してしまうとネットワークが正常に動作しなくなる。また、レジストリに登録され、インストールされるため、LSP改ざんの有無に気付きにくい。 
 
今回発見されたマルウェアは、既存の攻撃手法である「LSPの改ざん」、「VPNトンネリング」を使用した。 マルウェアに感染すると、[図 3]のようにファイルを生成する。
 

[図 3] 生成されるファイルのパス
 
 

[図 4] レジストリの登録
 
 

その後、システムのLSPを改ざんする。マルウェアはシステムに保存されたLSPプロトコル情報一覧をすべて削除し、「twlsp.dll」ファイルを追加する。そして、元々保存されていたLSPプロトコル情報を復元する。

[図 5] 改ざんされたLSPのパス

 [図 6]　追加されたファイル「twlsp.dll」
 
 

マルウェアはユーザーが感染に気付かないようにするため、自ら削除する。svchost.exeを通じて実行されたファイル「v2BSXerv.dll」によりVPN情報を受信、接続を試みる。

 [図 7] 実行中のファイル「V2BSXERV.DLL」

 [図 8] VPN情報の受信

 [図 9] VPN接続の試み
 

VPN接続が完了すると、主要ポータルサイトおよび銀行サイトへの接続の試みを監視し、接続の際に感染したマルウェアによりファーミングサイトに誘導する。 
 

このようなマルウェアは、セキュリティ脆弱性のあるPCがWebサイトに接続するだけで感染する。マルウェア感染を予防するためには、セキュリティ対策ソフトウェアをこまめにアップデートし、安全が確認されているWebサイトのみに接続するようにしなければならない。