Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

RATの「PlugX」に新型亜種 - 隠蔽機能を強化

遠隔操作に用いられる「リモートアクセスツール(RAT)」のひとつである「PlugX」に、あらたな亜種が発見された。組織内部へ侵入後に検知されないよう機能強化が図られていたという。

標的型攻撃では、感染端末を外部から遠隔操作するために「Poison Ivy」や「PlugX」といった「リモートアクセスツール(RAT)」が用いられるが、6月中旬以降に発生している標的型攻撃で「PlugX」のあらたな亜種が利用されていた。トレンドマイクロが確認した。

「PlugX」は、「OSコマンドの実行」「画面キャプチャの窃取」のほか、端末の操作やネットワークの調査、コマンドの実行など多彩な機能を搭載している。

今回トレンドマイクロが確認した亜種では、セキュリティ対策ソフトの検知を逃れるため、不正コード内の一部文字列に対し、難読化の処理が行われていたという。

同社によれば、難読化解除処理をエミュレートすることで解析に成功し、詳細を調べたところ、通信に利用するHTTPヘッダの内容が変化しており、特徴的だった通信内容を変更していることが判明。検出を免れるための対策だと分析している。また、あらたにブラウザ「FireFox」の設定情報を窃取する機能も追加されていた。

対策が講じられることを避けるためか、検出数は数十程度と少ないが、継続的に攻撃が発生している。また毎月中旬から下旬にかけて検出数が増加する傾向を確認しており、同社は、組織内の人事通達など装った標的型メールなどへ悪用されている可能性もあると指摘している。

(Security NEXT - 2014/08/29 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

偽取引アプリなどで暗号資産を窃取 - 北朝鮮関与か
Windows向け「Zscaler Client Connector」に権限昇格の脆弱性
SonicWall、VPN製品向けに追加アップデート - すぐに更新を
SonicWall、VPN製品のゼロデイ脆弱性に対処 - 早急に更新を
SonicWallのリモートアクセス製品にゼロデイ脆弱性 - 高度な攻撃も
12月21日より「Emotet」感染メール増加 - あらためて警戒を
米政府、北朝鮮関与「BeagleBoyz」に注意喚起 - 金融機関狙う「FASTCash 2.0」を展開か
VPN認証情報漏洩に見る脆弱性対策を浸透させる難しさ
米政府、マルウェア「BLINDINGCAN」のIoC情報を公開 - 北朝鮮関与か
MS、「Windows 8.1」「WS 2012 R2」に修正パッチを急遽公開