全世界でインターネットバンキングを狙う「Dyre」

本レポートは、アンラボコリアより発表された内容を翻訳したものです。

----------------------------------------------------------------------------------------------

全世界の1,000あまりの銀行および企業のシステムを狙う「Dyre」が2014年に海外で発見された。そして2015年初、韓国国内でも銀行を攻撃対象にしたDyreが発見され、韓国の主要銀行が緊張している。

Dyreは、Upatreマルウェアがダウンロードするインターネットバンキング情報を搾取するマルウェアであり、現在最も悪名高いマルウェアである。主に、Eメールの添付ファイルを通じて流布されており、添付ファイルを実行したユーザーを偽のWebページに誘導して情報の流出を試みる。Internet Explorer(以下IE)、Chrome、Firefoxなど、ブラウザの種類を問わず利用されているため、被害が拡大する恐れがある。

ユーザーがDyreに感染したPCを利用して銀行サイトに接続する際、その銀行サイトがマルウェアの内部に記録された銀行リストに含まれている場合、Dyreが動作し、口座情報の搾取、キーロガーなど、悪意のある行為を遂行する。

Dyreが遂行する主な悪性行為は以下のとおりである。 

Dyreの構造および詳細動作

[図 1]は、Dyreの動作フローである。

「Injector」、「Injected Dll(システムプロセス、ブラウザ)」などで構成されている。

[図 1]  マルウェアの動作フロー

1. Injector 

Dyreは、初回実行される際にシステムのリソース領域でPEファイルを復号化し、メモリのセクションイメージを差し替える。その後、再びリソース領域でPEファイルを復号化して現在実行中のシステムプロセスにインジェクション(injection)する。 

システムプロセスにインジェクションされたPEファイルはスレッド(thread)で動作しながらC&Cサーバーへの接続を試みる。C&Cサーバーを通じてコマンドを受け、悪意のある行為を遂行し、特にオンラインバンキング情報の搾取のためのブラウザコードパッチを試みる。

 

[図 2]  復号化ルーチン

Dyreは、仮想マシン(Virtual Machine、以下VM)ベース検知を回避するため、次の内容を確認する。

2.  システムプロセス(System Process) - Injected Dll

システムプロセスであるInjected Dllのメイン関数は以下のような動作を遂行する。 

① Mutexの確認および生成 : 固有のMutexを生成してマルウェアの動作の有無を確認

② OSバージョン情報の確認

③ ログ(設定)ファイルの読み取り/書き込み

Injected Dllが確認するOSには[図 3]のようにWindows 8.1が含まれている。

[図 3]  Dyreの攻撃対象OSバージョン

また、Injected Dllは、３つのアドレス/サーバーに対するインターネット接続を確認する。もし、接続に失敗した場合は、C&Cサーバーとの通信を試みない。

インターネット接続に成功した場合は、[図 4]のようにファイルの内部から呼び出したエンコードデータを復号化してC&Cサーバーアドレスを入手する。C&Cサーバーと通信する際はコマンドによりPOSTおよびGET方式を使用する。

 また、リモート接続のため、RDP機能を利用して関連レジストリを追加もしくは修正する。

3. ブラウザ(Browser) - Injected Dll 

Dyreは、偽サイトにユーザーを誘導する際、IE、Chrome、Firefoxなどの主要ブラウザを利用する。

ここでは、IEを中心に説明する。

ブラウザInjected Dllは、[図 6]のようにブラウザ別フッキングパッチ関数を呼び出す。フッキング関数を利用し、Webブラウザを通じて送受信されるインターネットバンキング情報を搾取する。

 IE、Firefox、Chromeなど、ブラウザ別フッキング関数は、[図 7]のとおりである。

[図 7]  ブラウザ別フッキング関数

その後、[図 8]のように銀行サイトへの接続を試み、C&Cサーバーへの接続の有無を確認する。

また、GetMessageW()とPeekMessageW()関数にパッチされたコードを通じてキーロガーを実行する。

攻撃対象の継続的な増加 

[図 9]は、Dyreの攻撃対象である銀行リストおよびリダイレクトされる偽サイトページである。

2015年4月、アンラボが分析した時点で約500の銀行がリストに含まれていたが、今後も攻撃対象は継続的に増加すると推定される。 

Dyreは、金融情報およびその関連情報の搾取、金銭搾取を目的とする。2014年末から活発に流布されており、内部コードの流れに大きな変化はないが、外見は変化し続けているため、被害が継続的に発生する恐れがある。

※ AhnLabのV3製品群では、以下の診断名でDyreを検知できる。

- Win-Trojan/MDA.D709

- Trojan/Win32.Dyre

- Trojan/Win32.Dyzap