Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

RATの「PlugX」に新型亜種 - 隠蔽機能を強化

遠隔操作に用いられる「リモートアクセスツール(RAT)」のひとつである「PlugX」に、あらたな亜種が発見された。組織内部へ侵入後に検知されないよう機能強化が図られていたという。

標的型攻撃では、感染端末を外部から遠隔操作するために「Poison Ivy」や「PlugX」といった「リモートアクセスツール(RAT)」が用いられるが、6月中旬以降に発生している標的型攻撃で「PlugX」のあらたな亜種が利用されていた。トレンドマイクロが確認した。

「PlugX」は、「OSコマンドの実行」「画面キャプチャの窃取」のほか、端末の操作やネットワークの調査、コマンドの実行など多彩な機能を搭載している。

今回トレンドマイクロが確認した亜種では、セキュリティ対策ソフトの検知を逃れるため、不正コード内の一部文字列に対し、難読化の処理が行われていたという。

同社によれば、難読化解除処理をエミュレートすることで解析に成功し、詳細を調べたところ、通信に利用するHTTPヘッダの内容が変化しており、特徴的だった通信内容を変更していることが判明。検出を免れるための対策だと分析している。また、あらたにブラウザ「FireFox」の設定情報を窃取する機能も追加されていた。

対策が講じられることを避けるためか、検出数は数十程度と少ないが、継続的に攻撃が発生している。また毎月中旬から下旬にかけて検出数が増加する傾向を確認しており、同社は、組織内の人事通達など装った標的型メールなどへ悪用されている可能性もあると指摘している。

(Security NEXT - 2014/08/29 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

政府、自治体のセキュ対策見直し - 効率化やテレワークなど視野に
「Elasticsearch」を活用したテレワーク端末の可視化ソリューション
コロナ禍影響で自組織のデジタル化加速、7割 - ITR調査
パッチ適用で終わらぬ「Pulse Secure」脆弱性 - 数カ月後に侵害されたケースも
テレワーク需要に「F5 APM」入りHCIを展開 - TED
リモート環境のセキュリティ診断サービスを開始 - セキュアワークス
北朝鮮関与の複数マルウェア、米政府が分析情報
ドイツ政府が懸念する産業用制御システムの10大脅威とは
「Emotet」の脅威(1) - 組織やビジネスへの影響を考える
中国関与の「APT10」、マレーシアやベトナムの医療関連に攻撃展開