アルレオン

Alureon ( TDSSまたはTDL-4とも呼ばれる) は、システムのネットワークトラフィックを傍受し、銀行のユーザー名とパスワード、クレジットカード情報、PayPal 情報、社会保障番号、その他の機密ユーザーデータを検索してデータを盗むために作成されたトロイの木馬およびルートキットです。[ 1 ^]一連の顧客からの苦情を受けて、Microsoft は、Alureon が一部の 32 ビットMicrosoft Windowsシステムで一連のBSoD を引き起こしたと判断しました。更新プログラム MS10-015 ^{[2] は}、マルウェア作成者の想定を破り、これらのクラッシュを引き起こしました。^[3]^[4]

マイクロソフトが実施した調査によると、Alureonは2010年第2四半期で2番目に活発なボットネットでした^。[5]

説明

Alureon ブートキットは、2007 年頃に初めて確認されました。^[1]パーソナルコンピュータは通常、ユーザーが手動でトロイの木馬ソフトウェアをダウンロードしてインストールしたときに感染します。Alureon は、不正なセキュリティソフトウェア「Security Essentials 2010」にバンドルされていたことが知られています。^[2]ドロッパーが実行されると、最初に印刷スプーラサービス (spoolsv.exe) をハイジャックして、マスターブートレコードを更新し、変更されたブートストラップルーチンを実行します。次に、 PATA操作 (atapi.sys)を担当する低レベルのシステムドライバに感染して、ルートキットをインストールします。

Alureon はインストールされると、Windows レジストリを操作して、 Windows タスクマネージャー、Windows Update、デスクトップへのアクセスをブロックします。また、ウイルス対策ソフトウェアを無効にしようとします。また、Alureon は検索エンジンをリダイレクトしてクリック詐欺を行うことでも知られています。Google は、悪意のあるアクティビティをスキャンし、検出された場合はユーザーに警告することで、ユーザーのためにこの問題を軽減する措置を講じています。^[6]

このマルウェアは、コード内のソフトウェアバグが原因で、セキュリティ更新プログラム MS10-015 のインストール時に一部の 32 ビット Windows システムがクラッシュしたことで、世間の注目を集めました。 ^{[2]このマルウェアは、カーネル内の}ハードコードされたメモリアドレスを使用していましたが、このアドレスは修正プログラムのインストール後に変更されました。その後、Microsoft は、Alureon 感染が存在する場合はインストールされないように修正プログラムを修正しました。 ^[7]マルウェアの作成者も、コードのバグを修正しました。

2010年11月、報道によると、ルートキットはWindows 7の64ビット版の必須カーネルモードドライバ署名要件を回避するまでに進化したという。ルートキットはマスターブートレコードを改ざんすることでこれを実行したため、^[8]すべてのシステムでウイルス対策ソフトウェアによる検出と削除が特に困難になった。

TDL-4

TDL-4は Alureon と同義語として使用されることもあり、ボットネットを実行するルートキットの名前でもあります。

2008年に初めて登場し、2008年4月にカスペルスキー研究所によってTDL-1として検出されました。その後、バージョン2が登場し、2009年初頭にTDL-2として知られるようになりました。TDL-2が知られるようになってからしばらくして、バージョン3が登場し、TDL-3と名付けられました。^[9]これが最終的にTDL-4につながりました。^[10]

2011年にはジャーナリストから「破壊不可能」とよく言われていたが、カスペルスキーのTDSSKillerなどのツールを使えば削除できる。 ^{[11]標的マシンの}マスターブートレコードに感染し、検出や削除が困難になる。主な進歩としては、通信の暗号化、 Kadネットワークを使用した分散制御、その他のマルウェアの削除などがある。^[12]^[13]

除去

ルートキットは一般に検出を回避できますが、パケットアナライザーを使用してネットワークトラフィックを検査したり、 netstatなどのツールを使用して送信接続を検査したりすることで、感染の状況証拠が見つかる場合があります。コンピューター上の既存のセキュリティソフトウェアがルートキットを報告することもありますが、検出されないことがよくあります。マルウェアはセキュリティソフトウェアの更新を阻止しようとするため、 WinPEなどの別のオペレーティングシステムを起動した後、感染したシステムのオフラインスキャンを実行すると役立つ場合があります。ウイルス対策ツールが感染を検出して駆除する前に、ルートキットの機能を無効にするには、 Windows 回復コンソールの "FixMbr" コマンドと "atapi.sys" の手動置換が必要になる可能性があります。^{[引用が必要]}

さまざまな企業が、Alureon を削除しようとするスタンドアロンツールを作成しています。人気のある 2 つのツールは、Microsoft Windows Defender Offline と Kaspersky TDSSKiller です。

逮捕

2011年11月9日、ニューヨーク南部地区連邦検事局は、ゴーストクリック作戦に関連してエストニア当局に逮捕されたエストニア国民6人とロシア国民1人を起訴したと発表した。^[14] 2012年2月6日現在、このうち2人がアルーリオンを使って何百万台ものコンピュータを感染させる高度な作戦を実行したとしてニューヨークに引き渡されている。^[15]

参照

参考文献

^ ab 「Win32_Alureon 脅威の説明 – Microsoft セキュリティインテリジェンス」。microsoft.com。2007 年 3 月。2010 年 2 月 10 日時点のオリジナルよりアーカイブ。2010年 2月 18 日閲覧。
^ abc 「Microsoft セキュリティ情報 MS10-015 – 重要」。Microsoft。2010年 3 月 17 日。2011 年 6 月 5 日時点のオリジナルよりアーカイブ。2011年 4 月 25 日閲覧。
^ 「MS10-015 再起動の問題はルートキット感染の結果である (threatpost)」 2010 年 2 月 18 日。2012 年 10 月 21 日時点のオリジナルよりアーカイブ。2010年 2 月 19 日閲覧。
^ 「Alureon に関する詳細情報」。Symantec。2009年1月19日時点のオリジナルよりアーカイブ。
^ 「2Q10 で最も活発なボットネットファミリー」(PDF)。Microsoft 。p . 24 。2015 年8 月 19 日閲覧。
^ Berkow, Jameson (2011-07-20). 「Google が大規模なマルウェア発生を警告」. Financial Post . 2011-11-25閲覧。
^ 「更新プログラム – MS10-015 および Alureon ルートキットのインストール後の再起動の問題」。Microsoft セキュリティレスポンスセンター。2010 年 2 月 17 日。
^ Goodin, Dan (2010-11-16). 「世界で最も高度なルートキットが64ビットWindowsに侵入」The Register。 2010年11月21日時点のオリジナルよりアーカイブ。 2010年11月22日閲覧。
^ 「TDSS」。Kasperskyの Securelist。2010年 8 月 5 日。
^ Golovanov, Sergey; Igor Soumenkov (2011年6月27日). 「TDL4 – Top Bot」. Securelist by Kaspersky . Securelist . 2020年5月19日閲覧。
^ Herkanaidu, Ram (2011年7月4日). 「TDL-4は破壊不可能か?」. KasperskyのSecurelist . securelist . 2020年5月19日閲覧。
^ Reisinger, Don (2011 年 6 月 30 日)。「TDL-4: 破壊不可能なボットネット? | The Digital Home – CNET News」。CNET。2011年10 月 15 日閲覧。
^ 「『破壊不可能な』TDL-4ボットネット？」Techno Globes、2011年7月2日。2011年10月12日時点のオリジナルよりアーカイブ。2016年3月16日閲覧。{{cite web}}: CS1 メンテナンス: 不適切 URL (リンク)
^ 「ゴーストクリック作戦：数百万台のコンピュータを感染させた国際サイバーリングが解体」FBI.gov 2011年11月9日2015年8月14日閲覧。
^ Finkle, Jim (2015年7月5日). 「ウイルスにより約25万台のPCがブラックアウトする可能性」ロイター. 2015年8月14日閲覧。

外部リンク

TDSSKiller ルートキットとブートキットを検出して削除するツール、Kaspersky Lab
- TDSS 除去、2011 年 6 月 6 日、TrishTech.com
ウイルス:Win32/Alureon.A (Microsoft セキュリティインテリジェンス)
シマンテックの Backdoor.Tidserv

[MSTE-1] 「Win32_Alureon 脅威の説明 – Microsoft セキュリティインテリジェンス」。microsoft.com。2007 年 3 月。2010 年 2 月 10 日時点のオリジナルよりアーカイブ。2010年 2月 18 日閲覧。

[:0-2] 「Microsoft セキュリティ情報 MS10-015 – 重要」。Microsoft。2010年 3 月 17 日。2011 年 6 月 5 日時点のオリジナルよりアーカイブ。2011年 4 月 25 日閲覧。

[3] 「MS10-015 再起動の問題はルートキット感染の結果である (threatpost)」 2010 年 2 月 18 日。2012 年 10 月 21 日時点のオリジナルよりアーカイブ。2010年 2 月 19 日閲覧。

[4] 「Alureon に関する詳細情報」。Symantec。2009年1月19日時点のオリジナルよりアーカイブ。

[5] 「2Q10 で最も活発なボットネットファミリー」(PDF)。Microsoft 。p . 24 。2015 年8 月 19 日閲覧。

[6] Berkow, Jameson (2011-07-20). 「Google が大規模なマルウェア発生を警告」. Financial Post . 2011-11-25閲覧。

[7] 「更新プログラム – MS10-015 および Alureon ルートキットのインストール後の再起動の問題」。Microsoft セキュリティレスポンスセンター。2010 年 2 月 17 日。

[8] Goodin, Dan (2010-11-16). 「世界で最も高度なルートキットが64ビットWindowsに侵入」The Register。 2010年11月21日時点のオリジナルよりアーカイブ。 2010年11月22日閲覧。

[9] 「TDSS」。Kasperskyの Securelist。2010年 8 月 5 日。

[10] Golovanov, Sergey; Igor Soumenkov (2011年6月27日). 「TDL4 – Top Bot」. Securelist by Kaspersky . Securelist . 2020年5月19日閲覧。

[Herkanaidu-11] Herkanaidu, Ram (2011年7月4日). 「TDL-4は破壊不可能か?」. KasperskyのSecurelist . securelist . 2020年5月19日閲覧。

[12] Reisinger, Don (2011 年 6 月 30 日)。「TDL-4: 破壊不可能なボットネット? | The Digital Home – CNET News」。CNET。2011年10 月 15 日閲覧。

[13] 「『破壊不可能な』TDL-4ボットネット？」Techno Globes、2011年7月2日。2011年10月12日時点のオリジナルよりアーカイブ。2016年3月16日閲覧。{{cite web}}: CS1 メンテナンス: 不適切 URL (リンク)

[14] 「ゴーストクリック作戦：数百万台のコンピュータを感染させた国際サイバーリングが解体」FBI.gov 2011年11月9日2015年8月14日閲覧。

[15] Finkle, Jim (2015年7月5日). 「ウイルスにより約25万台のPCがブラックアウトする可能性」ロイター. 2015年8月14日閲覧。