シマンテックを騙る偽セキュリティ対策ソフトも - シマンテックレポート

シマンテックは、8月のインテリジェンスレポートを公開している。レポートでは、シマンテックを騙る偽セキュリティ対策ソフトも報告されている。

8月の全体的な傾向

まずは、全メールに占めるスパムの割合である。7月から4.7%増加し、72.3%となった。グラフからもわかる通り、増加傾向がみてとれる。1位は、83.3%を占めたサウジアラビアとなった。以下、2位がノルウェイ(78.1%)、3位が中国(77.8%)となった。発信元は、1位がサウジアラビアで25.7%、以下、インド(15.2%)、トルコ(5.3%)と続いている。

8月のフィッシング活動は0.109%減少し、312.9通に1通の割合となった。スパム同様、こちらも明らかな増加となった。1位は8月同様にオランダで、122.6通に1通の割合となった。2位に南アフリカ(140.3通に1通)、3位にイギリス(140.8通に1通)となった。フィッシングサイトの分布は、1位が米国で37.3%、以下、イギリス(28.9%)、ニュージーランド(15.9%)と続いている。なりすましに悪用された業種は、eコマース(39.31%)、情報サービス(32.31%)、銀行(27.01%)となり、これら上位の3つでほとんどを占めている。

メールトラフィックに占めるメール感染型ウイルスの割合は、233.1通に1通の割合となり、こちらも増加がみられた。8月は攻撃者の活動が全体的に活発化したとうかがえる。1位は、107.7通に1通でオランダとなった。2位はイギリス(115.1通に1通)、3位はオーストリア(178.3通に1通)となった。発信元は、1位がイギリスで53.2%、以下、米国(23.3%)、ブラジル(5.1%)と続いている。スパムとは、大きく異なるのが特徴的である。

シマンテックを騙る偽セキュリティ対策ソフト

この数年、非常に多くの偽のセキュリティ対策ソフトが、検知されている。しかし、その多くは、「Windows Defender」や「Anti Spyware」と一見するとそれらしいのであるが独自の名称を使うことが多かった。そして、もう1つの特徴は非常に亜種が多く、名称を変更したり、インターフェイスを頻繁に変更することも非常に短期間で行われる。そして、手口の多くは、勝手にウイルススキャンを行い、ユーザーにウイルスに感染している偽の警告を出す。さて、今回シマンテックで検知された偽セキュリティ対策ソフトでは、シマンテックの名前を騙るものである(図4)。

シマンテックのロゴは古いものであるが、実際に使われていたものである。常套手段であるが、本物と思わせる手口である。メールの内容は、W32.Swizzor.C-WORMというウイルスに感染していることを伝え、さらに無料のウイルススキャンやツールのダウンロードを促している。実際には、RemovalTool.exeという悪質なアプリケーションが実体である(もちろん、シマンテックではこのようなツールは、作成していないとのことである)。このツールを実行すると、図5のようなJavaアップグレードが行われる。

シマンテックでは、

• Sun Microsystemsとなっている(すでにSun MicrosystemsはOracleに買収され、存在しない)
• デジタル署名がなされていない

といった点に注意すれば、偽モノであることが推察できると指摘する。本物のJavaのアップデートは、図6である。Oracleのロゴが見てとれる。

さらにシマンテックの分析によれば、この偽のJavaをインストールしても、PCが感染したことは表示されない。何かがインストールされたことを視覚的に示すものは存在しないが、インストーラが完全なウイルス対策製品ではなく、たんなる削除ツールであると自称しているので、ユーザーは疑うことをしない可能性もあるとのことだ。このウイルスは、シマンテックの正規のスキャンではInfostealer4として検出される。最終的には、情報を盗み出すトロイの木馬をインストールする。

対策であるが、まずは正規のセキュリティ対策ソフトをインストールすることであろう。また、実際にこのような警告メッセージやメールがあっても、まずは偽と疑ってかかるのも重要である。今回の例では、トロイの木馬がインストールされ情報が奪取されるが、偽のセキュリティ対策ソフトを購入させようとして、クレジットカード番号などの個人情報を盗もうとすることもある。くれぐれも注意したいものである。