2016.07.01(金)

不正プログラムの通信を隠蔽する手法「偽装ヘッダ」を確認(トレンドマイクロ)

脆弱性と脅威 脅威動向

トレンドマイクロ株式会社は7月30日、従来とは異なる方法で検出を逃れる「偽装ヘッダ」という手法を7月中旬に確認したと同社ブログで発表した。偽装ヘッダは、特定のドメインに関連していそうなURLを表示するが、実際は異なるドメインへ接続されており、多くの場合は不正なドメインが使われている。他の偽装の手法とは異なり、偽装ヘッダはコンピュータやファイルの変更をせずにネットワークパケットを変更して偽装される。つまり、不正プログラムがサーバに接続しデータを送信する直前に、リクエストされるヘッダにドメインが新たに追加される。

この挙動を実行する興味深い不正プログラムに、「TROJ_RODECAP.SM」がある。ブログでは、ネットワークトラフィックの解析から、ドメイン「<省略>.104.93」から応答していることが判明した事例を紹介している。このドメインは、ロシアに拠点を置いており、Googleにはまったく接続されていない。そのため要求されたと思われるリンクは、正規のドメインでかつ単に画像ファイルへと誘導するだけのものであるため、ネットワーク管理者は、見逃してしまったり無害なものだと考えてしまう可能性がある。

この偽装は、不正プログラムとリモートサーバ間の通信をうまくカモフラージュする方法を備えている。そして、エンドユーザに正体を隠しつつ、最終的に表立ったあらゆる疑いを回避する。この手法は、独自の新しい方法でスパムメールを送信するボットネット「StealRat」により利用される。これらの事象は、どのようにして攻撃者が新たなツールとセキュリティベンダによる検出を回避する手法と共に出現するかを表しているとしている。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. スマホアプリ「スシロー」にSSLサーバ証明書検証不備の脆弱性(JVN)

    スマホアプリ「スシロー」にSSLサーバ証明書検証不備の脆弱性(JVN)

  2. Apache Commons FileUpload のマルチパートリクエストの処理に起因する DoS の脆弱性(Scan Tech Report)

    Apache Commons FileUpload のマルチパートリクエストの処理に起因する DoS の脆弱性(Scan Tech Report)

  3. ガンホーゲームズを騙るメールに注意、本文に“流失”のミス(フィッシング対策協議会)

    ガンホーゲームズを騙るメールに注意、本文に“流失”のミス(フィッシング対策協議会)

  4. 複数の「ひかり電話ルータ」および「ひかり電話対応機器」に重大な脆弱性(JVN)

  5. NAS用OS「QNAP QTS」におけるクロスサイトスクリプティングの脆弱性(ラック)

  6. トレンドマイクロ「Deep Discovery Inspector」にコード実行の脆弱性(JVN)

  7. Apache Struts 2 において REST プラグインの実装不備により任意のコードが実行されてしまう脆弱性

  8. 2013年にサポートが終了している「Apache Struts1」に複数の脆弱性(JVN)

  9. Microsoft Windows の Win32k.sys ドライバの実装に起因する整数オーバーフローの脆弱性(Scan Tech Report)

  10. 「Apache Struts 2」に深刻な脆弱性、バージョンアップを強く推奨(ラック)

アクセスランキングをもっと見る

★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします(BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます)。

×