ドークボット（マルウェア）

Dorkbotは、インスタントメッセージ、USBドライブ、ウェブサイト、 Facebookなどのソーシャルメディアチャネルを通じて拡散するマルウェア ワームのファミリーです。Code Shikaraは、ソーシャルエンジニアリングを通じて攻撃する、Dorkbotファミリーに関連するコンピュータワームです。特に2015年に流行したDorkbotに感染したシステムは、スパムの送信、DDoS攻撃への参加、ユーザーの認証情報の収集など、さまざまな目的で使用されました。^[1]

Dorkbot のバックドア機能により、リモート攻撃者は感染したシステムを悪用することができます。Microsoft と Check Point Research の分析によると、リモート攻撃者は次のことができる可能性があります。^{[2] [3]}

• 指定された URL からファイルをダウンロードして実行します。
• フォームグラビング、FTP、POP3、またはInternet ExplorerおよびFirefoxのキャッシュされたログイン詳細を通じてログイン情報とパスワードを収集する。
• 特定のドメインや Web サイト (セキュリティ サイトなど) をブロックまたはリダイレクトします。

Dorkbotに感染したシステムは、スパムを送信したり、DDoS攻撃に参加したり、銀行サービスを含むオンラインサービスのユーザーの認証情報を収集したりするために使用される可能性があります。 ^[2]

2015年5月から12月にかけて、マイクロソフトマルウェア保護センターは、毎月平均10万台の感染マシンでDorkbotを検出しました。^[4]

2015年、米国国土安全保障省はドークボット感染の修復のために以下の措置を勧告した。^[2]

• ウイルス対策ソフトウェアの使用と保守
• パスワードを変更する
• オペレーティングシステムとアプリケーションソフトウェアを最新の状態に保つ
• マルウェア対策ツールを使用する
• 自動実行を無効にする

2011年、Code Shikaraはデンマークのサイバーセキュリティ会社CSISによって初めて特定されました。AV会社Sophosは2011年11月に、この脅威は主にソーシャルネットワークFacebookの悪意のあるリンクを通じて拡散していると報告しました。^{[5] [6]}

2013年、Bitdefender Labsは、ユーザーのブラウジング活動をスパイすると同時に、個人のオンライン/オフライン情報や認証情報を盗む、いわゆるサイバー犯罪の能力を持つこのワームを捕捉し、ブロックしました。この感染は、当初、オンライン バックアップ サービスのMediaFireによってフラグが立てられ、ワームが画像ファイルに偽装されて配布されていることが検出されました。誤解を招く拡張子にもかかわらず、MediaFire は悪意のある画像を.exeファイルとして識別しました。悪意のある Shikara コードは.jpeg画像を装っていますが、実際には実行可能ファイルです。IRCボットとして、このマルウェアは、攻撃者によって制御およびコマンド サーバーから簡単に統合されます。ユーザー名とパスワードを盗むだけでなく、ボット ハーダーは追加のマルウェアのダウンロードを指示することもあります。^[要出典]

MediaFireはその後、アップデートで不正確で誤解を招くファイル拡張子に対処する措置を講じ、特定のファイルタイプを識別して短い説明を表示するようにした。この特定の脅威からユーザーを保護するため、ファイル共有サービスは、.jpg.exe、.png.exe、.bmp.exeなどの二重拡張子を持つファイルもブロックした。通常のマルウェアと同様に、Backdoor.IRCBot.Dorkbotは被害者のコンピュータやその他の関連デバイスにインストールされると、自動的に更新される可能性がある。^[7]

最大のリスクは、誰かの Facebook 連絡先のアカウントがすでに侵害されている可能性があり (パスワードのセキュリティが不十分であったり、不正なアプリケーションへのアクセスを許可したりしたため)、アカウント ユーザーが友人の 1 人が投稿したと思われるリンクをクリックして誘惑されていることです。^{[引用が必要]}

リンクは画像を指しているように見えますが、実際には、2 人の金髪女性のアイコンの背後に悪意のあるスクリーンセーバーが隠されています。コードが起動されると、侵害された特定のイスラエルのドメインにホストされている悪意のあるソフトウェアをさらにダウンロードしようとします。現在、このマルウェアはイスラエルの Web サイトには存在しません。残っているのは、侵入者からのメッセージと思われる内容だけです。

ExpLodeMaSTer と Ufuq によってハッキングされました

彼らはサイバー攻撃を広め続けるために、追加のウェブサイトや他のウェブサイトを利用している可能性が高い。ユーザーを騙して悪質なリンクをクリックさせる他の一般的な餌には、リアーナやテイラー・スウィフトの セックステープなどがある。^{[6] [8]}

2015年12月7日、FBIとマイクロソフトの合同タスクフォースがドークボットボットネットを摘発した。^[9]

• 警告 (TA15-337A)  – インスタント メッセージングを通じて拡散するマルウェア ワームのファミリーPages displaying short descriptions of redirect targets
• コンピュータワーム – 自己複製型マルウェアプログラム
• HackTool.Win32.HackAV
• マルウェア – 悪意のあるソフトウェア
• 米国CERT

• アラート (TA15-337A) @ 米国コンピュータ緊急対応チーム ( US-CERT )
• 技術情報 @ Microsoft
• Microsoft は Dorkbot ボットネットの破壊を支援するために法執行機関を支援します @ technet.microsoft.com