---

CrySiS身代金要求型マルウェア用のマスター復号キーと復号プログラムがリリースされた
BleepingComputer : News>Security （2016/11/14）
　驚きの行動であった。CrySiS身代金要求型マルウェア用のマスター復号キーが今朝早くBleepingComputer.comのフォーラムへの投稿としてリリースされた。おそらく、午前一時（米国東部時間）、crss7777と名乗るメンバーが、実際のマスター復号キーを含むCヘッダーファイルのあるPatebin（【訳注】 テキストデータを保存し公開することができる、ウェブアプリケーションサービス（Wikipediaより））へのリンクと、それを利用するための情報と共にBleepingComputerのCrySiSサポート トピックに投稿した。
　これらのキーは既に、Kasperskyが、彼等のRakhniDecryptorプログラム（CrySiSの犠牲者のファイルを復号するために使用される）をアップデートするためにKaspersky Labsによって使用されていた。

　crss7777が誰なのかは、現在分かっていないが、マスター復号キーの構造に関して持っている詳細な知識と、Cヘッダーファイルとして、このキーをリリースしたという事実は、彼等がCrySiS身代金要求型マルウェアの開発者の一人であるかもしれないことを示している。
　このキーがリリースされた理由は定かでないが、身代金要求型マルウェア感染と背後の開発者に関する法執行機関による圧力の高まりに起因しているのかもしれない。

　このリリースされたキーはKaspersky Labsによって検証され、正当なキーであることが判明した。これらのキーを使用して、Kasperskyは、彼等のRakhniDecryptor復号プログラムをアップデートしたので、CrySiSで暗号化されたファイルは、現在復号することができる。

CrySiSで暗号化されたファイルをRakhniDecryptorで復号するには

　CrySiS身代金要求型マルウェアの犠牲者は、暗号化され、[filename].id-[id].[email_address].xtblの形式にリネームされた彼等のファイルによって特定される。例えば、最も最近の変種は、test.jpgという名前のファイルをtest.jpg.id-ABADG125.alex-king@india.com.xtblにリネームさし暗号化する。
　今までに確認された幾つかの他の変種は、Vegclass@aol.com.xtbl, gerkaman@aol.com.xtb, johnycryptor@hackermail.com.xtbl, Milarepa.lotos@aol.com.xtblを含んでいる。
　CrySiS身代金要求型マルウェアによって暗号化されたファイルを復号するには、最初にRakhniDecryptorをダウンロードする必要がある。ダウンロードすると、このプログラムを解凍し実行しなければならない。実行すると、このプログラムは、以下に示したようなメイン画面を表示する。

　始める前に、あなたは、必ずバージョン1.17.8.0を使用していなければならない。このバージョンから、CrySiS身代金要求型マルウェアがサポートされている。RakhniDecryptorのバージョンをチェックするには、上の画面の左下隅にあるAboutリンクをクリックしなさい。これは、RakhniDecryptorのバージョンを示す小さなウィンドウを表示する。

　あなたがバージョン1.17.8.0、もしくは、それ以降を使用しているのであれば、Start scanボタンをクリックしなさい。RakhniDecryptorは、あなたに暗号化されたファイルを選択するように促してくる。CrySiSで暗号化されたファイルを含むフォルダに移動し、.Word, Excel, PDF, ミュージック, 画像ファイルを選択しなさい。テキストファイルは、あなたのファイルの残りを復号するために使用することができないので、選択してはならない。

　ファイルを選択したら、Openボタンをクリックする。RakhniDecryptorは、ここで暗号化されたファイルに関してコンピュータ全体をスキャンし、それらを復号する。

　このプロセスは、かなり長い時間が掛かる。この復号プログラムが、あなたのコンピュータをスキャンし、ファイルを復号する間は、どうか我慢しなさい。
　終了すると、RakhniDecryptorによって復号されたファイルのリストが表示される。あなたは、ここで、RakhniDecryptorを終了する。あなたは、再びファイルへのアクセスが可能になっているはずである。

---

4億1千200万ユーザの記録が、Adult Friend Finderの親会社から盗まれていた
BleepingComputer : News>Security （2016/11/14）
　アダルトをテーマとする49,000のWebサイトの親会社Friend Finder Networks（FFN）がハックされており、412,214,295ユーザに関するデータが、先月のハッキング地獄で変更されていた。
　この漏洩の公開は最近実行されたものであり、6つのFriend Finder Network（Adultfriendfinder.com, Cams.com, Penthouse.com (現在はPenthouse), Stripshow.com. iCams.com, 及び未知のドメイン）の過去20年間の履歴データを含んでいた。サイトあたりのセキュリティ侵害状況は以下である。

Webサイト名	影響を受けたユーザの数	平文パスワードの数
Adultfriendfinder.com	339,774,493	103,070,536
Cams.com	62,668,630	21,422,277
Penthouse.com	7,176,877	495,720
Stripshow.com	1,423,192	342,889
iCams.com	1,135,731	272,409
未知のドメイン	35,372	--

　盗まれたファイルに含まれていた最終ログイン日は、2016/10/17である。これは、十中八九ハッキングが行われた日付である。

このハッキングの起源

10月18日、CSO Onlineは、TwitterでRevolverもしくは@1x0123（現在停止されているアカウント）と名乗る自称セキュリティ研究者の話題（彼は、Adult Friend FinderのWebサイトにLocal File Inclusion（【訳注】 ローカル・ファイル・インクルージョン。攻撃者がWebサイトに想定外のファイルを読み込ませる攻撃）の脆弱性が存在していることを特定し通知したと発言していた）を取り上げた。
　興味深いのは、Revolverが、この問題をFNNに通知し、彼がTwitterに書き込む一日前には、「顧客の情報は彼等のサイトに残ったままである」、もし「彼等が再びこれをデマであると言うのであれば、私は全てをリークするだろう」と発言していた。
　昨年、Revolverは、彼がNaughty America（【訳注】 米国のサンディエゴにあるポルノ制作会社）のWebサイトにアクセスしたと主張し、Twitter上にスクリーンショットを投稿した。一週間後、Naughty Americaユーザ データベースは、TheRealDeal暗黒Web市場で売りに出された（Peace of Mindとして知られる別のハッカーによって売りに出されたとされているが）。
　夏の間、Revolverは、PornHub（【訳注】 アダルトサイト）のサーバーにアクセスしたと主張したが、PornHubの代表者は全くのデマだと発言した。本日、新しく作成したTwitterアカウントで、RevolverはRedTube（【訳注】 アダルトサイト）のサーバーにアクセスしたことを示すスクリーンショットをポストした。

FFNは、十中八九2016/10/17にハックされた

　実際、Adult Friend Finderがハックされた噂は、RevolverがFFNにこの問題を通知したにも拘わらず、CSO Onlineが少なくとも1億のユーザアカウントが盗まれたことを嗅ぎつけた10月20日に沸き起こった。
　このハックのデータは最終的に、LeakedSource（公開された漏洩データに索引を付け、そのデータをこのサイト上で検索可能にしているWebサイト）の所有することろとなる。
　LeakedSourceが解析した後に初めて、世界は、1997年以来の複数のFFN Webサイトでのデータ損失で、この攻撃の本当の広がりを発見した。
　SQLテーブル スキーマファイルに基づくと、このデータベースは、性的嗜好やデートでの習慣のような詳細な個人情報は含んでいない。
　2015年に、同じAdult Friend FinderのWebサイトは、同様の漏洩を受け、390万ユーザの詳細な個人情報を失った。
　今回は、ユーザ名、eMail、ログインした日付、言語選択、パスワード、他に幾つかだけである。

大部分のアカウントは平文パスワードを含んでいた

　パスワードに関しては、LeakedSourceが、パスワードの99%はクラックされると主張している。LeakedSourceは、パスワードの大部分は平文テキストで格納されていたが、この会社は過去のある時点でSHA-1アルゴリズムに切り替えていたと発言している。それであるにも拘わらず、FFNは重大な失敗を犯していた。
　「何れの方法も、如何に想像を逞しくしても安全であるとは考えられない、そして更に、ハッシュされたパスワードは格納される前に全て小文字に変換されたいたかのように思われる。これは攻撃することを大幅に容易にするものであるが、この認証は、悪意あるハッカーが現実世界で乱用するには多少役に立たないものにすることを意味している」と、LeakedSourceの代表は発言している。
　使用されている大部分のパスワードの解析は、250万を超えるユーザが、"12345"あるいは、その変形形式の簡単なパスワードを使用していたことを明らかにした。

　データの解析はまた、"email@address.com@deleted1.com"のようなフォーマットでの15,766,727のeMailの存在を明らかにした。この種のフォーマットは、ユーザがアカウントを削除した後にもデータを維持したい企業によって採用されている。
　LeakedSourceは、さしあたり、検索可能データ漏洩の索引にこのデータを追加していない。
　記述している時点で、FFNは、この件に関するパブリック ステートメントを発行していない。LeakedSourceは、これが2016年最大のデータ漏洩であると発言している。2016年9月に明るみに出たYahooの5億のユーザアカウントの漏洩は、実際には2014年に発生している。

---

WordPressとJoomlaサイトはSpamTorteボットネットの復活を刺激している
BleepingComputer : News>Security （2016/11/10）
　犯罪者達は、7つの異なるサーバー・レイヤーに跨る複雑なボットネット構造を使用して大量のスパムを送信するために、WordPressとJoomlaのサイトを使用している。 　このボットネットは、2014年以降セキュリティ企業に認識されていたが、最近生まれ変わっており、今までのバージョンより小さくなっているにも拘わらず、このボットネットを同定することが困難になっている。
　何らかの胡散臭さを発見した最初のセキュリティ企業はSymantecである。2014年、この企業のエンジニアが、セキュリティ侵害されたLinuxサーバー（彼等はある種のスパム・オペレーションに使用されたと推定していた）上にSpalookiマルウェアを探していた時のことであった。
　詳細は、2015年11月に公開されたAkamai SIRTのレポート（これは、Torteと名付けられた、総数83,000のボットネットのオペレーションを詳細に説明している）のおかげで明るみにでた。Akamaiは、犯罪者達は脆弱なテーマとプラグインを介してWordPressとJoomlaのサイトをセキュリティ侵害し、スパムを送信するために使用していると発言している。

Torteボットネットは、基盤構造を改良したSpamTorteとして再び現れた

　今週リリースされたレポートでは、サイバーセキュリティ企業Verint（米国を本拠とする）は、Torteボットネットの新しい、そして、改良されたバージョンが現れ、現在僅か数千のボットで構成されていると発言している。彼等は、これをSpamTorteと名付けている。
　その2015年のレポートでは、Torteボットネットは、スパム・オペレーションを実行するために4つのレイヤー構造を使用していると説明している。Verintは、この新しく改良されたSpamTorteは、7つのレイヤー・システム（一番上にコマンド&コントロール・サーバー、この下にアッセンブリ サーバのレイヤー、そして、スパム・キャンペーン活動のためのデータ格納用の5つのサーバー・レイヤー）を使用していると発言している。

　Verintは、感染プロセスを説明するために上の画像を提供している。総てのオペレーションは、WordPressとJoomlaインストレーション中に犯罪者が（彼等が様々な脆弱性を活用してハッキングできる）脆弱性を発見することで始まる。
　ボットネット・オペレーションは、Linuxサーバにだけ関心を示し、Windowsシステムは完全に無視されている。32-bitシステムも64-bitシステム共にサポートされている。

使用されているアッセンブリ サーバーは、スパムメッセージを集めている

　このマルウェアがサーバに感染すると、第一段階は、「第一レベル」のサーバーから悪意あるELF（【訳注】 Executable and Linkable Formatの略。コンパイラが生成するオブジェクト、および、ライブラリとリンクされた実行ファイルのファイルフォーマット（Wikipediaより））バイナリをダウンロードし、再ダウンロードするcronjob（クロンジョブ）を作成することである。この繰り返されるダウンロードは、このマルウェアの作者が彼のボットをアップデートしたい場合に、自動アップデート システムとして挙動する。
　ELFマルウェアがダウンロードされインストールされると、「第二レベル」のサーバと連絡をとる。この第二レベルのサーバは、eMailテンプレートのコレクションを、このマルウェアに提供する。
　同じ操作が「第三レベル」のサーバに連絡を取ることによって繰り返される。これは、eMailアドレスをこのマルウェアに提供する。
　次のステップは、「第四レベル」のサーバに連絡を取る。これは、ボットネットのオペレータが別のスパム実行の結果を追うことができるようにするためのキャンペーンIDと共に、eMailテンプレート中に挿入する必要のあるURLのリストで応答する。
　最後のステージは、eMailテンプレートを集め、base64とXORテキストとして、それらを、このボットネットのオペレータが、現実のスパム送信の処理をする高度なメール・スクリプトをインストールした「第五レベル」のサーバに送信することである。

SpamTorteボットネットはアダルトと医薬品スパムを活用している

　様々なレベルに広がるこれら全てのサーバは、ハックされたWordPressとJoomlaサイトである。Verintは、様々なアダルトと医薬品サイトに代わってスパムを送信しているSpamTorteボットネットを検出したと発言している。
　このボットネットが、Akamaiが2015年に確認した最初のバージョン程大きくないのは、このマルウェアが適切なコンパートメント化が行われているためであり、同定し、停止することが困難になっている。 　「このような巨大なスパム・オペレーションが依然として活動的であるのは驚きであるが、ボットネットのレイヤー化された構造は、素晴らしい支援を提供している」と、Verintは、SpamTorteの挙動に関するレポートで記述している。「この郵送者がブロックされブラック・リスト入りすると、コマンド&コントロール・サーバは、秘密のまま、手付かずのまま残る。」

---

DDoS攻撃は、フィンランドの小さな町の二つの建物の暖房システムをダウンさせた
BleepingComputer : News>Security （2016/11/08）
　フィンランドのLappeenranta（ラッペーンランタ）の二つの建物の居住者は、サービスプロバイダを狙ったDDos攻撃が、彼等の共同住宅に設置されているコンピュータ化された建物暖房システムに間接的に影響を与えたために、数日を寒さの中で費やすことになった。
　フィンランドのメディアによると、この攻撃は短いものであったが、コンピュータ化された住居管理システムを妨害する不幸な結果をもたらした。このシステムは繰り返し再起動され、最終的にシャットダウンした。
　Yle UutisetとTiviは、この攻撃は、建物の暖房システムを管理しているValtiaと呼ばれる地方企業を狙ったものであると伝えている。

DDoS攻撃は、建物の暖房システムを直接ターゲットにしたものではなかった

　Simo Rounela（ValtiaのCEO）が、Metropolitan.fiに告げたところによると、このDDoS攻撃は10月末から先週の11月03日まで継続した。RounelaがまたViceに告げたところによると、この攻撃は、この会社が使用しているDNSサーバーを標的にしたものであった。
　これは、コンピュータ化された住居管理システムがサーバに接続できなくなり、再起動することとなり、最終的にシャットダウンを引き起こした。
　DDoS攻撃の気紛れな性質と、技術者が通常ローカルソフトウェアとハードウェア問題を探すことに起因して、この会社が、発生していることを認識するまでに数日間を要した。
　Rounelaは、コンピュータ化された住居管理システムをインターネットから切り離した後に、このシステムは通常通り動作し始めたと発言している。

この会社は、これが居住者に不便をかける前に問題を修正した

　一年のこの時期、ラッペーンランタの気温は摂氏0度以下である。
　Rounelaは、この攻撃が二つの建物の居住者に過大な不快感を発生させておらず、あらゆるテナントを移転させる必要もなかったと発言している。
　この事件は、Twitter, Imgur, Reddit, GitHub, Etsy, Soundcloud, Spotifyのような多数のサービスと、Dynがジャンク トラフィックで攻撃されることを原因として接続できなくなった人々に間接的に影響を与えた、Dyn（管理されたDNSサービス）への攻撃を思い起こさせる。

---

Tesco Bankは、2万アカウントから現金を奪われた後、オンライン取引を凍結した
The Guardian : Business （2016/11/07）
　Tesco Bankは、顧客が不正な行為で影響を受けた後、オンライン取引を凍結し、週末にかけて影響を受けた口座から金銭を奪われた顧客への返済を誓約した。
　Benny Higgins（このスパーマーケット チェーンの銀行部門の最高責任者）は、オンライン取引停止の決定は、顧客を保護するためであったと発言している。彼は、4万の顧客が影響を受け、彼が「オンライン犯罪行為」として説明している行為によって、この内の半分が現金を引き出されていたと発言している。Tescoの株はFTSE（ロンドン株価指数）で大きく下げている（3%の下落）。
　週末にかけて、顧客は、700万の顧客を持つこの銀行への電話が繋がらなかったとする不満付きで、金銭が口座から無くなっていることを報告した。
　「我々は顧客に与えた心配と不便について謝罪し、顧客のアカウントを保護するために、あらゆるステップを取っていることを強調できるだけである。これが、予防措置として、我々が当座預金からのオンライン取引を一時的に停止することを本日決定した理由である」と、Higginsは発言している。
　「オンライン取引が利用できない間、当座預金の顧客は今まで通り、カード、ICカードを使用して現金引き出すことは可能であり、そして、既存の全ての請求書の支払いと自動引き落としは、通常通り行われる。我々は可能な限り早急に、当座預金のサービスを復旧するために一生懸命作業している」と、彼は発言している。
　Tesco Bankは、急速に成長し、Lloyds, RBS, HSBC and Barclaysの「ビッグ4」から当座預金マーケット・シェアを奪おうとしていた。他行が自称チャレンジャーと称していた時点では、銀行（特にSantander）は、当座預金に支払う利率を減少しているが、Tesco Bankは、3000£（約39万円）を超える残高に 3% の利息を提供し、顧客が二つの口座を持つことを可能にしている（【訳注】 ここで言う当座預金（Current Account）は、日本の普通預金口座に近いもので、日常の金銭の出し入れや自動引き落としに利用される口座です。また、小切手帳もついてきます）。
　Higginsは、アカウントがセキュリティ侵害された理由に関する詳細を提供していない。
　「我々は、この詐欺を解決するために当局や監査機関と共に作業している。我々は、Webサイト、Twitter、直通通信を定期的にアップデートすることで顧客に情報を提供し続けるだろう」と、彼は発言している。
　「我々は、この問題の結果としてのあらゆる経済損失は、Tesco Bankによって完全に解決されるだろう、そして、可能な限り早急に、詐欺の対象となった口座に返金するために作業している」と、Higginsは発言している。
　この銀行は、複数の口座で不審な行動が検出された土曜日遅くに、口座所有者にテキストでの警告を送信した。顧客は、600£も口座から消滅していたと報告していた。
　FCA（金融行動監督機構）は、状況を見守っている。NCA（国家犯罪対策庁）は、この問題はTesco Bankによって通知され、法執行機関の間で対応を調整していたと発言している。

---

未パッチのWIX.COMの脆弱性は数百万のサイトを危険に晒している
Kaspersky : Threatpost （2016/11/02）
　クラウドベースのホストWix.comは、DOMベースのクロスサイト スクリプティングに対する脆弱性がある。これは、攻撃者が、このプラットフォームにホストされている数百万全てのWebサイトの制御を奪取可能な脆弱性である。
　「Wix上に作成された任意のサイトに対し単一のパラメータを追加するだけで、攻撃者は、ターゲットWebサイトの一部として彼等のJavaScriptをロードし実行させることができる」と、Contrast Securityの上席セキュリティ研究技師Matt Austinは発言している。
　Austinが水曜日に語ったところによると、10月初旬以降、この脆弱性は繰り返しWix.comに警告され通告されているにも拘わらず未パッチのままである。Wix.comの見積もりによれば、このプラットフォームには8600万ユーザが存在している。
　OWASPによると、従来のクロスサイトスクリプティング（HTTP(s)リクエストに対するレスポンス中のページにペイロードをドロップする）の悪用とは異なり、DOMベースのXSS攻撃は、クライアントサイド スクリプトを使用しているブラウザ中のDocument Object Model環境をセキュリティ侵害し、悪意あるコードは、クライアントサイド コードの実行に影響を与える。
Austinは、二つのReflected型DOMベースの攻撃シナリオを説明している。一つは、ターゲットのブラウザセッションをハイジャックできるように、特別に細工されたJavaScriptをロードする悪意あるURLを訪問するように誘導されたそのWebサイトのオーナーに関連するものである。そこで攻撃者は、認証されている犠牲者のブラウザセッションを装うことができる（そのユーザとして、あらゆる行動を実行することが可能となる）。これは、犠牲者によって制御されているWix Webサイトをセキュリティ侵害することを含んでいる（Webサイトの管理者権限を第三者に与えることになる、あるいは、クレジットカード番号を盗むためにWixの電子商取引サイトに侵入することができるようになる）。
　「Wix.comサイトの管理者コントロールは、広汎にマルウェアを拡散するために、ダイナミックで拡散型のブラウザベースのボットネットを作成するために、仮想通貨を採掘するために、その他の点では、それを使用しているユーザ同様にそのサイトのコンテンツを、一般的に制御するために使用することができる」と、Austinは発言している。
　二つ目のシナリオは、特別に細工されたURLでWix Webサイトにユーザが誘導された場合を説明している。このURLは、DOMベースのXSS攻撃を介してターゲットにしたWix WebサイトにJavaScriptをロードできる。一つのシナリオでは、Wix.comベースのファンによって作成されたWebサイトは、特定のブラウザセッションが、音楽のダウンロードの代わりにマルウェアのダウンロードを提供したり、PayPalへの支払いをサードパーティのアカウントに振り向けられるような、セキュリティ侵害される可能性がある。
　このDOM XSS攻撃の例では、攻撃者が実行する必要のある唯一のことは、サーバに悪意あるJavaScriptをホストし、URLでそれに差し向けることである。例えば、“http://matt4592.wixsite.com/music?ReactSource=http://m-austin.com” とするようなことである。この例では、ルートドメイン “http://matt4592.wixsite.com/music” は、Reflected型DOMベースXSS攻撃が、ペイロードを配布するための条件を作成するために付随している “?ReactSource=http://m-austin.com” URLによる影響を受ける。
　Contrast Securityが発言している最悪のことは、サイバー犯罪者がこのフローを使用して、攻撃を拡大でき、それを、ソーシャルネットワーク サイトに伝搬するように設計されている全てのWixサイトに拡散するワーム（悪名高き2005 SamyワームやMySpaceワーム類似の）に変換できることである。
　「MySpaceワームがガイドであるのなら、Wixにホストされている数百万のWebサイト全てを乗っ取るのに、長くはかからないだろう」と、Austinは発言している。

---

Nymainマルウェアが、メジャー アップグレードしていると、Verintが述べている
The Register : Security （2016/11/01）
　Nymainマルウェア ドロッパーの背後にいる悪漢共は、彼等のコードをアップデートした。このアップデートは、より適切な難読化とセキュリティ ソフトウェアをブラックリストへ記載することを含んでいる。
　解析チームVerint（この最新のバージョンを発見し、コチラにその解析を提供している）は、新しいコードベースが、このマルウェアの最初のバージョンによって気に入られていたアプローチであるドライブ-バイ-ダウンロードよりはむしろフィッシングをターゲットにしていると、発言している。
　Nymainは、2013年から徘徊しているが、バージョンアップを繰り返そうともせず、脅威の研究者の前に居座っていた。Verintは、この攻撃は前年比63%の増加であると主張している。
　この変種は、「新しい配布メカニズム、難読化方法、PowerShellの使用、『アンチ-セキュリティ ソリューション / 解析』をブラック・リストする興味ある形態さえ」搭載していると、彼等は記述している。
　このブラック・リスト チェックは、このペイロードが起動すると間をおかずに発生する。これは犠牲者のマシンがインターネットに接続している方法を学習するためにMaxmindクエリーを使用している、そして、このクエリーが戻してきた、一般的なセキュリティ ソリューション名（Fortinet, Cisco, Trend Micro等のような）をチェックしている。
　このチェックがブラック・リスト中の文字列に一致すると、Nymainペイロードは、次の段階のペイロードをダウンロードすることなく停止する。
　Verint研究者が手にしたサンプルは、セキュリティ侵害するためのWordドキュメント中のマクロとして到着している。

---

Google：　既に攻撃されているMicrosoftカーネル脆弱性を公開
Kaspersky : ThreatPost （2016/11/01）
　Windowsの0-Dayの脆弱性は、不確定な数の攻撃に使用されていることを、Googleが本日（この問題を、内密にMicrosoftに通知した10日後）公開した。
　Microsoftは、未だに、このフロー（Googleによると、Windowsカーネル中のローカル特権の昇格に関する脆弱性）に関するアドバイザリもパッチも公開していない。この脆弱性は、Sandboxをエスケープするために使用することができ、セキュリティ侵害したマシンでコードを実行することができる。Microsoftは、Googleの公開は顧客をリスクに晒すものであると発言している。
　「我々は、脆弱性の公開を協調してできると信じている、Googleによる本日の公開は、顧客に潜在的なリスクを与える。Windowsは、報告されたセキュリティ問題を調査し、可能な限り早急に影響を受けるデバイスを積極的にアップデートするという顧客への献身をしている唯一のプラットフォームである。」　更に、「我々は、最高の防御のために顧客にWindows 10 と Microsoft Edge ブラウザを使用するように推奨している」と、Microsoftのスポークスマンは発言している。
Googleの追加コメントの要請に関しては、現時点で回答は発表されていない。
　Google Threat Analysis GroupのNeel MehtaとBilly Leonardは、10月21日に、この脆弱性をMicrosoftに公開し、同日、Googleは、Adobeに対してFlash Playerのコード実行フローを公開したと発言している。Adobeは、先週の水曜日、CVE-2016-7855に関する緊急のパッチをリリースした。この脆弱性は、標的型攻撃で組織に対しても使用されていた。このFlash Playerのバグは、Windows 7, 8.1, 10に影響を与えると、Adobeは発言していた。
　Googleは、本質的にユーザとその存在を共有し、同時に独自の修正を大急ぎでリリースするようMicrosoftに圧力を掛けるために、このバグに関する詳細を共有していない。Googleのこのバグに関する不十分な説明：
　Googleは、この脆弱性は、Chromeブラウザでは緩和されていると発言している。
　「ChromeのSandboxは、Windows 10に関してwin32kロックダウン（【訳注】 セキュリティ強化のために、OSやアプリケーションなどの機能やリソースを制限すること（大塚商会IT用語辞典より））緩和を使用しているので、win32k.sysシステムコールをブロックする。これは、このSandboxをエスケープする脆弱性の悪用を妨げる」と、Googleは発言している。
　Googleの公開ポリシーは、緊急の脆弱性のパッチ、もしくはリスクに関するユーザへの通知と任意の解決策や一時的な緩和措置に関して、ベンダに60日間の猶予を与えている。このポリシーは2013年に公開され、積極的な悪用の下にある緊急のフローに関するデッドラインは7日間とすることも含まれている。
　「この特別な指定の理由は、毎日、活発に悪用されている脆弱性が公に公開されずに、あるいは未パッチのまま残ることが、より多くのコンピュータをセキュリティ侵害することになるからである。」、同時に「7日間はアグレッシブなタイムラインであり、一部のベンダにとっては製品のアップデートには短すぎるかもしれないが、可能な緩和策に関するアドバイス（一時的なサービスの無効化、アクセス制限、そのベンダが多くの情報に接するような）を公開するには十分な期間である」と、Googleは発言している。
　Googleは、彼等の厳しいデッドラインに基づいて行動することを厭わない。2015年の初め、Googleは、Patch Tuesdayの数日前に三つのWindowsのバグの詳細を公開した。これは、改善された協調的な公開を要求するMicrosoftから厳しい対応を強制するためであった。数週間後、Googleは、Macがコード実行に対して晒されているとする三つのOS X のバグに関する詳細を公開した。しかしながら、これらの脆弱性は何れも、本日の脆弱性のように、公に攻撃されているものではなかった。
　「我々は、自動アップデートが既にFlashをアップデートしていることを検証するよう（【訳注】 ChromeがFlashを自動アップデートすることを意味している）、もしもアップデートされていないのであれば、手動でアップデートするようにユーザに要請する。そして、今回のWindowsの脆弱性に関するMicrosoftからのパッチが利用できるようになれば、適用するようにユーザに要請する」と、Googleは発言している。

---

開発中の身代金要求型マルウェアは、コンピュータのロックを解除する前にサーベイすることを強制する
BleepingComputer : News>Security （2016/10/28）
　最早、サーベイは煩わしいことではないかもしれないのだろうか、新しい身代金要求型マルウェアは、犠牲者のコンピュータを解除する前に犠牲者にサーベイさせるためにFileIceサーベイ プラットフォームを利用している。GDataのセキュリティ研究者Karsten Hahnによって最初に発見されたこの身代金要求型マルウェアは、現在開発段階であり、現時点で、積極的に拡散していないことは間違いない。

　このマルウェアが起動すると、上の画像に示した、犠牲者のコンピュータのロックを解除するために選択しなければならない幾つかのサーベイを含む、サーベイ選択フォームを表示する。この身代金要求型マルウェアは、以下のソースコードに見られるように、URL： www.fileice.net/download.php?t=regular&file=3lhzu から、これらのサーベイを取得している。

　犠牲者がサーベイを完了すると、このマルウェアは、ThxForYurTyme.txt と呼ばれるファイルをダウンロードする。このファイルは、"Thank you for supporting me." メッセージを表示する。

　私の推測は、最終的に、このファイルがロック画面を解除し削除するために使用されるコードを含むということである。

全てが機能するわけではない

　この身代金要求型マルウェアは現在開発モードであるが、今のところ動作しない様々な機能を実行するためのコードを含んでいる。例えば、あなたがログインした時に、このプログラムが稼働するように自動実行を作成できるが、キチンと実行されない他の多くの機能を含んでもいる。例えば、[Ctrl]+[Alt]+[Del] を無効にするコードや、このマルウェアを削除することを困難にするために、様々なWindowsポリシーを設定するためのコードを持っているが、私のテストでは、作成することに失敗している。
　有効にしようとしているポリシーは以下である。

　これが依然として開発段階であることを真に示しているとは、このUnlock Your PC画面である。この画面は、この身代金要求型マルウェアをテストするために使用された多くのデバッグ オプションを含んでいる。

　例えば、このStartupボタンは、この身代金要求型マルウェア用の自動スタートエントリを有効にし、Closeボタンは、このプロセスを終了するだろう。Clear Ctrl Altチェックボックスは、このポリシーを有効化 / 無効化する。 Disable keysチェックボックスは、キーが動作しないようにキーボードをフックしようとする。
　発見されている多くの他の身代金要求型マルウェアのように、この身代金要求型マルウェアが、決して拡散しないことは十分に可能性のあることだが、例え、拡散させようとしても、簡単に打ち負かされるだろう。

このサーベイ身代金要求型マルウェア関連ファイル

このサーベイ身代金要求型マルウェア関連レジストリ エントリ

このサーベイ身代金要求型マルウェア関連ネットワーク トラフィック

ハッシュ

---

Adobeは、マルウェアが今当に悪用しているFlashのセキュリティホールに対するパッチを発行した
The Register : Security （2016/10/26）
　Adobeは、Flash Playerをアップデートするようにアドバイスしている。これは、マルウェアが、Windows PCをハイジャックするためにインターネットの虫除けドア中に新たに発見された穴を悪用しているためである。
　この緊急のパッチは、一つの脆弱性CVE-2016-7855を解決している。この解放済みメモリの使用（use-after-free()）プログラミングの大失敗は、ユーザが特別に細工されたFlashメディア ファイルを閲覧している時に、攻撃者にリモートコード実行の達成を可能にする。
　この脆弱性は、GoogleのThreat Analysis GroupのNeel MehtaとBilly Leonardによって発見され報告されていたが、パッチは、攻撃者がインターネットで悪用するまでリリースされなかった。
　Adobeは、現在マルウェア感染させるためにWindowsマシン（Windows 7及び、それ以降）を標的にしている攻撃を認識していると発言している。
　Windows、macOS、LinuxでFlash Playerを実行しているマシンのユーザと管理者は、更なる攻撃を回避するために可能な限り早急に、彼等のソフトウェアをアップデートするようにアドバイスされている。
　Google Chromeブラウザを使用している人々は、自動アップデートされるだろうし、Microsoft EdgeとInternet Explorerのバージョン 11 以降を使用している人々は、Microsoftから直接この修正を得るだろう。
　その他のユーザに関しては、WindowsとOS X/macOSのFlash Playerのパッチされたバージョンは、23.0.0.205 である。Linuxのパッチされたバージョンは、11.2.202.643 である。
　このアップデートは、人気のあるブラウザ プラグイン用にCVEにリストされている12の異なるセキュリティ フローを解決したFlash Playerの定例アップデートの後、丁度2週間で出現している。
　この最新の脆弱性攻撃は、バグだらけのFlash Playerを削除し、より新しい物（より安全なマルチメディアWebコンテンツに関するHTML5規格）を選択しなさいとするセキュリティ コミュニティーの議論を更に強調することになるだけだろう。
　Webコンテンツ制作者は、FlashからHTML5アプリケーションへの統合を大規模に始めているが、Mozilla Firefoxチームのようなブラウザ開発者は、更に一歩進み、Falshファイルが、彼等のブラウザ ウィンドウ中で実行できる方法に関してより厳しい制限を設け始めている。
　Mozillaは来年までに、Firefoxが、ユーザが実行することを明確に選択したコンテンツだけは許可するが、Defaultでは、全てのFlashコンテンツをブロックするだろうと発言している。

---

Joomla!アップデートは、二つの緊急の問題と二要素認証を修正している
Kaspersky : ThreatPost （2016/10/26）
　Joomla!コンテンツマネジメントシステムを運営しているWeb開発者は、彼等のサイトで即座にアップデートするよう強く要請している。
　Joomla!プロジェクトによって公開されたリリース アップデートによると、この企業は火曜日に、アカウントの作成と権限の昇格に繋がる二つの緊急の問題を修正したJoomala!の最新バージョン 3.6.4 をリリースした。
　この企業に大変厳しい烙印を押したこの二つの問題は、今月初旬に発見され、影響を受けるバージョンは、3.4.4から3.6.3までである。
　不十分なチェックのために、アカウント作成のバグは、その登録が無効にされている時でも、そのユーザが新規ユーザとして登録することが可能であった。権限の昇格バグは、登録を脱線的に処理していた。Joomla!は、「フィルターされていないデータの不正使用は、そのサイトに昇格された権限での登録をユーザに可能にしていた」と述べている。
　このアップデートはまた、先週このCMSで浮上した二要素認証も修正している。10月18日、直前のバージョン 3.6.3 のリリースの後、二要素認証を使用している少数のユーザは、彼等のWebサイトにロックアウトされたとJoomla!のGithubのページにレポートした。これらのユーザは、"Must match character set"エラー通知を表示され、アクセスを取得するために彼等のサイトのデータベースを介して二要素認証を削除することを強制されたと主張している。
　この問題は、Joomlaが最近FOF（Framework on Framework、このCMS用のサードパーティ高速アプリケーション開発フレームワーク）を新しいバージョンにアップグレードしたことに起因している。このCMSは、FOFEncryptAesMcryptを使用していたが、ユーザのMcryptキーを無効にするために、このアップデートでFOFEncryptAesOpensslに移行した。
　JoomlaのProduction Leadership Teamの一人であるRobert Deutzによると、Joomlaは、この問題を修正し、データが、Mcryptで暗号化された場合には、現在データをOpenSSLに変換しているとしている。

---

中国のWebカメラメーカーは、サイバー攻撃に関連した後、デバイスをリコールしている
The Guardian : Tech （2016/10/24）
　中国の電子機器会社Xiongmai（雄邁）は、米国東海岸の多くのインターネットを引きずり倒し、金曜日には欧州にも影響を与えた巨大なハッキング攻撃の後、製品のリコールを始めている。
　分散型DDoS攻撃の形態を採ったこの攻撃のルートは、Xiongmaiによって製造された多くのWebcam、デジタルレコーダのようなハックされたIoT（Internet of Things）デバイスのネットワークであった。
　研究者達は、基本的なセキュリティエラー（接続の一部形式に関してパスワードの設定ができない。これは、"Mirai"ボットネット（ハッキングされたデバイスの数百万のネットワーク）に勝手に用いられた）と共に、この製品を出荷した企業を告発している。
　この告発の後、Xiongmaiは、米国で販売された一部の製品に関してのリコールをアナウンスした。
　監視カメラ用に多くの部品を製造しているこの電子部品企業は、公式のマイクロブログ上のステートメントで、米国で販売された早期の製品の一部をリコールし、強力なパスワード機能と、昨年4月以前に製造された製品に関しては、パッチをユーザに送信するだろうと発言している。
　最大の問題は、ユーザがDefaultパスワードを変更していないことにあると、更に、全体的に、その製品はセキュリティ漏洩から良く保護されているとも発言している。この企業は、彼等の製品がこの攻撃においてターゲットにされた殆どであるとするレポートは、虚偽であると発言している。
　「セキュリティ問題は、全ての人々が直面する問題である。業界最大手は、それを経験してきたので、Xiongmaiもまた、このような問題を一回経験することを恐れない」と、この企業はステートメントで述べている。
　金曜日のサイバー攻撃は、この新しいタイプの脅威が、Webcamのような単純なデジタルデバイスの増加に根差しているために、セキュリティ専門家を警戒させた。この問題は、しばしば適切なセキュリティの欠如があり、そして、ハッカーがターゲットに処理できない程の大量のトラフィックを送りつけるために数百万のIoTを悪用する方法を発見したことにある。
　Xiongmaiがリコールした主たる製品は、全てWebcamモデルであると、Xiongmaiは発言している。
　セキュリティ ジャーナリストBrian Krebsが語ったところによると、Flashpointの研究者Zach Wikholmは、多くの脆弱性のあるデバイスには基本的なセキュリティエラーが存在していた。「これらの特定のデバイスでの問題は、ユーザが、このパスワードを都合よく変更できないことである」と、WikholmはKrebsに告げている。続けて「このパスワードはファームウェア中でハードコードされており、これを無効化するための必須のツールが存在していない。更に悪いことには、このWebインターフェースは、これらの認証情報が存在していることさえ認識していない。」
　このボットネットを作成するために使用されたMiraiマルウェアは、影響を受けたデバイスを単純に再起動することでクリアすることができる。しかし、インターネット上には大変多くのハッキングされたデバイスが存在し、他の防御が適切に配備されている場合を除き、脆弱性のあるシステムは再起動後5分以内に再感染させられるだろう。
　この脆弱性のあるデバイスの制御を奪うためのコードを最初に記述したハッカーは、10月になって、他の日和見主義的攻撃者が、彼等の所有するハッキングしたWebcam、ルータ、デジタル ビデオレコーダのネットワークを、彼等の思うがままにすることができるように、そのソースコードを公開した。

---

Microsoftは、邪悪なSecurity Essencialsに関しミレニアル世代を観察している
The Register : Security （2016/10/25）
　Microsoftは、Security Essentialsのインチキのコピーを警告している。これが実行されると、そのマシンにインチキのBlue Screen of Deth（死のブルースクリーン）が投入され、ユーザを技術サポート詐欺に導く。
　Microsoftは、典型的には同梱されているソフトウェア インストーラやドライブ-バイ-ダウンロードを介して、PCをセキュリティ侵害する重大な脅威であるHicurdismosと呼ばれる脅威に注意を払っている。
　Microsoftのアンチ・マルウェア担当者Francis Tan Sengとセキュリティ担当者Alden Pornasdoroは、顧客にHicurdismosは全画面表示のBleu Screen of Dethを投げ、ユーザがこれをバイパスすることを妨げるために、タスクマネージャを起動するための[Ctrl]+[Alt]+[Del]キーコンビネーションを無効にし、正当であるように見せかけるために、マウスカーソルを非表示にしていると警告している。
　Hicurdismosは、ユーザを誤誘導し、「インチキの技術サポート詐欺に導く番号に電話するようにユーザを誘惑している」と、この二人は発言している。
　「技術サポート詐欺の脅威は、数年に渡って存在しているが、最近増加していることが観察されている」
　「我々は、攻撃者がより高度になってきている（ソーシャルエンジニアリングを使用してユーザに技術サポートに電話するように誤誘導し、そのPC上に存在しない「問題を修正する」ために支払いを要求する戦略）ことを確認している」
　このBlue Screen of Deathは、正当なものの、そして毛嫌いされているカーネルパニックのキチンとしたクローンであり、以下の一行を追加している。"If you would like to resolve the issue over the phone you can call our support at 1-800-418-4202."（この問題を電話で解決したいのであれば、我々のサポート 1-800-418-4202 に電話しなさい）
　この記事のライターは、詐欺師たちのオペレーションを密告するために彼等を金で操ろうとして詐欺師達に電話したが、この番号は不通であった。
　Webブラウザ スクリプトブロッカーやゴミソフト インストーラ回避が、これに遭遇する可能性を減少する支援となるが、適切なアンチウィルス製品は、この脅威を削除する。
　Microsoftは、この警告をスラングとGIFで撒き散らしている。先週リリースしたMicrosoftの技術的概説は、ミレニアル世代が、年老いた人達より技術サポート詐欺に関するあらゆることに陥りやすい存在であることを発見している。
　これは、現在破滅させられたKick Ass Torrentsのような人気あるTorrentサイト上のBlue Screen of Deth 技術サポート詐欺の増加と、依然として流通しているPirate Bayによって判明したことでもある。
　一部のセキュリティ マニアは反撃している。8月、Ivan Kwiatkowskiは、技術サポート詐欺師が彼の仮想マシンにアクセスすることを許可し、彼のマシンをLocky身代金要求型マルウェアに感染させたファイルを開かせることで、このオペレータを欺いた。

---

Joomla!は、話せない程緊急な中核的脆弱性をパッチする準備をしている
The Register : Security （2016/10/25）
　世界で二番目に人気のあるコンテンツ マネージメント システム Joomla!は、その開発者が何を修正したのか言えない程酷い緊急のセキュリティホールを警告している。
　The Registerは、ミステリーなセキュリティホール用のパッチが、バージョン 3.6.4 と名付けられていることと、本日（10月25日）の協定世界時 14:00 くらいに公開されるであろうことを理解している。
　Joomla!は、7500万回を超えてダウンロードされており、McDonalds, Ikea, General Electric, Linux.com, その他メジャーなニュースサイトを含む大きなチケットサイトで稼働している。
　WordPressは、凡そ1億4000万ダウンロードでオープンソース コンテンツ マネージメント パックを主導している。
　Joomla!のセキュリティ出撃チームは、「大変重要なセキュリティ フィックスである」ところの「Joomla!コア中の緊急のセキュリティ問題を通知する」としか発言していない。
　「このリリースが公開されるまで、我々は如何なる詳細な情報も提供することはできないことを理解されたい」と、このセキュリティ チームは述べている。
　可能性ある脆弱性に関して思いを巡らすことや、管理者が、来るパッチのリリースに関しての準備に慎重なステップを採ることは困難である。
　しかしながら、パッチする前に詳細を公開することに対するJoomla!の寡黙さは、この問題が、データ吸い上げのバグもしくはサーバへのセキュリティ侵害の何れかを可能にするとされる緊急のバグの説明と結びついて発生している。
　このケースが、何れかのシナリオであれば、管理者は、悪者共が悪用を構築できるようになると直ぐに、このフローを攻撃してくることを予期しておかなければならない。
　そこから（歴史的メジャーな脆弱性の悪用に基づき）、攻撃者共は、その後の数日もしくは数週間に未パッチのままのJoomla!インスタンスの改竄を拡げることができる。

---

MBRをセキュリティ侵害する身代金要求型マルウェアに対抗するMBRFilterをテストする
BleepingComputer : News>Security （2016/10/20）
　あまり一般的ではないが、マスターブートレコード（MBR）を暗号化する、あるいはセキュリティ侵害する身代金要求型マルウェアに攻撃されると悲惨な結果を引き起こす。これは、このようなマルウェアが、実際のファイルを暗号化するのではなく、代わりに、そのドライブのマスター ファイル テーブル（MFT）を暗号化するのが理由である。これで本質的に、身代金が支払われるまで犠牲者のファイルの一切にアクセスできなくなる。
　この種のマルウェアと戦うために、Cisco Talosは、プログラムがMBRをセキュリティ侵害しようとしていることに聞き耳を立て、そのようなプログラムをブロックするMBRFilterと呼ばれるWindowsディスク フィルター ドライバをリリースしている。MBRFilterは、これらの種類の身代金要求型マルウェアがインストールされたり、MBRを暗号化しようとする行為を効果的にブロックする。
　以下は、MBRFilterがインストールされているシステムにSatana, Petya, Petya+Mischaをインストールしようとした時に発生することをデモした、私が作成したビデオである。

ビデオ（Youtube）へのリンク

　ビデオを見て分かるように、MBRFilterは、MBRに感染しようとする全ての身代金要求型マルウェアをブロックする優秀な仕事を行っている。テストとして、私はまたPetya+Mischa 結合インストーラをインストールし、UAC（ユーザ アカウント制御）プロンプトで No を押した。これは、Mischaをインストールさせた、このことは、そのコンピュータのファイルの暗号化を可能にした。
　Mischaが稼働できたという事実は、MBRFilterの価値を減じるものではない。これはこの種の身代金要求型マルウェアをブロックするようにデザインされていないためである。けれども、MBRFilterは、身代金要求型マルウェアのインストーラが、MBRをセキュリティ侵害しようとし、このインストールに失敗した場合には、代わりにファイルを暗号化する身代金要求型マルウェアがインストールされる可能性があることを示唆した。

MBRFilterのインストールは簡単である

　MBRFilterをインストールするには、単純にこのプロジェクトのリリースページを訪問し、そのドライバの32-bitもしくは64-bit バージョンのどちらかをダウンロードする。ダウンロードしたら、フォルダを解凍する。あなたは二つのファイルを見るだろう。MBRFilter.infが、インストレーション inf ファイルであり、MBRFilter.sysはドライバである。

　このドライバをインストールするには、INFファイルの上を右クリックし、以下の画像に示したようにInstallを選択する。

　このドライバがインストールされると、Windowsはコンピュータを再起動するように促してくる。コンピュータを再起動すると、このドライバはインストールされ、あなたのMBRがセキュリティ侵害されることを防衛する。
　身代金要求型マルウェアや他の感染がコンピュータのMBRを改竄しようとした場合、このドライバは、この要求をインターセプトし、それをブロックする。次に、ブロックされたことを示す以下のようなメッセージを表示する。

　あなたが将来MBRFilterをアンインストールしたい場合には、このプロジェクトのGithubのページの the instruction に従いなさい。

---

ハッカーは、あなたのルータを狙っている
The Register : Security （2016/10/19）
　サイバー犯罪者は、消費者の家庭にあるルータを益々ターゲットにしている。
　Fortinetは、この種の攻撃が、7月以降の直近の3ヶ月で、一日あたりのTop 10 IPS（侵入防止システム）検出リストのエントリとして定期的に現れているとレポートしている。このセキュリティ ベンダは、家庭用のルータがサイバー犯罪者のお気に入りのターゲットになってきたと見做している。
　ハッカーは、とりわけ Netcore, D-Link, Asusデバイス中の未知の、あるいはパッチされていないフローを探している。ルータをハッキングすることは、悪党が、それらの背後にあるネットワークやデバイスに侵入することを可能にする。脆弱性のあるルータは、Miraiボットネット（8月後半にサイバーセキュリティ ブロガーBrian Krebsや、その他に対して巨大なDDoS攻撃の出発点になったボットネット）のコンポーネントの一つでもあった。
　Fortinetの警告は、ルータ、IPカメラ、デジタル ビデオレコーダのようなIoTデバイスは、サイバー犯罪者のためのプロキシになっていると発言した Krebs によって裏付けられている。
　これとは別に、セキュリティ ソフトウェア企業ESETは、12000を超えるホームルータのテストにおいて、殆どの場合、ユーザ名として "admin" を残したままにすると共に、15%が脆弱なパスワードを使用している。テストされたルータ中の 1/14（7%）は、深刻度が「高」もしくは「中」のソフトウェア脆弱性を示した。

---

DXXD身代金要求型マルウェアは、ユーザ ログインの前に法的通知を表示する
BleepingComputer : News>Security （2016/10/10）
　9月末以来、DXXD身代金要求型マルウェアが、サーバを標的にし、そのファイルを暗号化している。過去、Michael Gillespieは、彼のID-Ransomwareサービスに提出された暗号化されたファイルに基づき復号プログラムを作成していたが、開発者が暗号化アルゴリズムを修正したために、この復号プログラムは短命に終わった。
　良いニュースは、我々が、このサンプルを追跡して捕らえ、研究者が、その弱点を現在解析していることである。それ故、あなたが、この身代金要求型マルウェアに感染しているのなら、身代金を支払わないようにしなさい。その代わりに、アカウントを登録し、DXXD Help and Supportトピックに応答しなさい。これで、復号プログラムが作成されると、あなたは通知されるだろう。
　一般的に、脅迫文を表示する興味ある方法を除き、この身代金要求型マルウェアに目を惹くものは何もない。典型的には、身代金要求型マルウェアは、様々な脅迫文を作成し、コンピュータの周りに、それらを撒き散らす。これに加えて、DXXD身代金要求型マルウェアはまた、Windowsレジストリ キーを改竄し、ユーザがWindowsにログインする前に脅迫文を表示する。

DXXD身代金要求型マルウェアは、Windowsにログインする脅迫文を表示する

　この身代金要求型マルウェアは、コンピュータを暗号化するとき、暗号化されたファイル全てに dxxd を追加し、ReadMe.txtと呼ばれる脅迫文も作成する。この脅迫文は、犠牲者が支払いの指示を受けるためにrep_stosd@protonmail.com もしくは rep_stosd@tuta.io に接触するための指示を含んでいる。このマルウエアが検索し、ネットワーク共有上（それらが感染したコンピュータにマップされていない場合でさえ）のファイルを暗号化することにも注意を払う必要がある。

　この身代金要求型マルウェアの興味あることは、人々が、このコンピュータにログインする時に、法的通知を表示するように、Windowsレジストリを設定していることである。これらレジストリ キーを設定することで、この身代金要求型マルウェアの開発者は、サーバにログインしようとしているユーザ全てが、この脅迫文を確認することを認識している。
　法的通知の設定例を以下に示す。

　この脅迫文は、HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeCaption と HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\LegalNoticeText のレジストリ値を設定することによって表示される。これらの設定が構築されると、ユーザが、このコンピュータにログインしようとすると、ユーザはログイン プロンプトの前に、このメッセージを表示される。

マルウェア開発者は、助力者を愚弄するためにBleepingComputerフォーラムに参加していた

　暗号化アルゴリズムが変更された後、数日経った10月06日、この開発者は、復号を困難にした新しいバージョンを作成し、犠牲者と研究者を愚弄するために BleepingComputer.com にアカウントを登録した。

　サーバへの彼のハッキングについて尋ねると、彼は 0-Dayの脆弱性を使用していると主張した。

　発見された情報に基づいて、私は、この身代金要求型マルウェアの開発者が、Remote Desktop Servicesを使用し、パスワードをブルートフォースすることでサーバをハッキングしたと確信している。あなたが、DXXD身代金要求型マルウェアに感染しているのであれば、あなたは、影響を受けているマシンの全てのパスワードをリセットしなければならない。

次は何か ？

　研究者達は現在、サンプルを解析し、弱点を探している。誰かが発見したなら、復号プログラムは無料でリリースされる。それ故、DXXD身代金要求型マルウェアに感染した全ての者は、支払いをする理由が存在しない。
　代わりに、アカウントを登録し、DXXD Help and Supportトピックに応答しなさい。これで、復号プログラムがリリースされたなら、あなたは通知されるだろう。

DXXD身代金要求型マルウェア関連ファイル

DXXD身代金要求型マルウェア関連レジストリ エントリ

DXXD身代金要求型マルウェア関連eMailアドレス

---

我々のインスリン ポンプはハックされる可能性があると、Johnson & Johnsonが警告している
ESET : WeLiveSecurity （2016/10/06）

Animas OneTouch Pingインスリン ポンプは、悪意あるハッカーが、インスリン注射を遠隔から発生させるように悪用することのできる脆弱性を含んでいる。
　セキュリティ研究者Jay Radcliffe（彼自身がI型糖尿病患者である）は、このフローを発見し、彼の発見したことに関して記述した。
　Radcliffeが発見したことは、この医療機器が無線で通信する方法中にセキュリティ上の脆弱性があったというものである。取り分け、暗号化の欠落は、指示が平文で送信されていたことを意味している。リモートとポンプの間の弱い組み合わせは、リモートの攻撃者がコントローラに成り済まし、無許可のインスリン注射を誘発する機会を開くことになる。
　このユーザが、ポンプのインスリン放出をキャンセルしない場合、潜在的には、攻撃者が危害を加えたり、低血糖反応を引き起こす可能性が存在している。
　このフローが広汎に悪用されるリスクは、相対的に低いと考慮されているし、パニックになる必要はないが、Animasの親会社Johnson & Johnsonは、インスリン輸注ポンプのユーザに対してアドバイザリをリリースした。

ユーザへのアドバイス ？

　もちろん、あなたが、このポンプの無線機能をOFFにすることで、この脅威を軽減することはできる。しかしながら、これは、あなたのポンプとメーターが、もはや相互に通信しないことを、そして、血糖レベルを、ポンプに手動で入力しなければならないことを意味している。これは、明らかに全く満足のいく解決策ではない。
　Animasはまた、OneTouch Pingユーザにバイブレーション警告機能を有効にするように提案している。バイブレーション機能は、服用が遠隔管理されていて、ユーザにキャンセルのオプションが与えられている場合、ユーザに連絡してくる機能である。また、投与可能なボーラス インスリン投与（【訳注】 短時間で薬物を投与すること（Wikipediaより））の量を制限するために、OneTouch Pingポンプをプログラムすることも可能である（最大もしくは特定期間の何れかで）。
　これらの軽減措置は、まことに結構であるが、根本的な問題（暗号化された通信と適切な認証を使うことに関する、このデバイスの怠慢）の修正にはならない。彼等のセキュリティを改善するためにデバイスをアップデートするユーザのための簡単な方法の欠落も問題とされている。
私は、ESETのセキュリティ スペシャリストMark Jamesに、このような脆弱性が医療機器で見つかっていることをどのように感じているのか尋ねた。

　彼の発見にも拘わらず、Radcliffeは、糖尿病患者が、脆弱な機器を使用していることはないという理由から、セキュリティ問題の軽減策を使用する必要があると、信じていないと発言している。

【訳注】 JVN（Japan Vulnerability Notes）に、この件に関する報文（JVNVU#95089754 Animas OneTouch Ping に複数の脆弱性）があります。

---

Kaspersky： TeamXRatの身代金要求型マルウェアを復号
BleepingComputer : News>Security （2016/09/29）
　Kasperskyが、TeamXRat身代金要求型マルウェアの解析と、その犠牲者のための復号プログラムを、どのようにして作成できたのかに関する素晴らしい記事を投稿した。9月中旬に我々のフォーラムで報告があったが、私と他のセキュリティ研究者達は、このマルウェアの実際のサンプルを発見することができなかった。この理由は、このマルウェアが手動でハックされたRDP（【訳注】 Windows Server 2008 R2 におけるサーバーの役割であり、リモート デスクトップ セッション ホスト サーバー上にインストールされたWindowsベースのプログラムへのアクセスや、完全なWindowsデスクトップへのアクセスを可能にするテクノロジを提供するもの（Microsoft Technetより））サービスを介してインストールされ、インストレーション終了後に手動でクリーンアップされていたためであると判明している。

ハックされたリモート デスクトップ サービスを介してインストールされる

　Kasperskyによると、この身代金要求型マルウェア（これらはXpan Ransomwareと名付けられている）は、TeamXrat あるいは CorporacaoXRat という名前で通っているブラジルのサイバー犯罪者によって作成された。このグループは、リモート デスクトップ サービスを稼働しているサーバとコンピュータをターゲットにし、アクセスを取得するために、パスワードを総当り攻撃（brute force）している。一旦アクセスを取得すると、彼等は手動で、この身代金要求型マルウェアをインストールし、犠牲者のデータを暗号化する。
　この身代金要求型マルウェアのバージョンに依存して、ファイルが暗号化される時、このマルウェアは、そのファイル名に ___xratteamLucked もしくは ____xratteamLucked 拡張子を追加する。脅迫文もまた Como descriptografar os seus arquivos.txt と名付けられて作成される。このファイルは、How to decrypt your files（犠牲者のファイルを復号する方法）として、ポルトガル語から英語に翻訳されている。
　以下が、この脅迫文の例である。

　この身代金要求型マルウェアはまた、デスクトップの壁紙をいかに変更する。

　犠牲者は、支払い指示を得るために、この身代金要求型マルウェアの開発者にeMailすることを要求される、ここで、この開発者は、1 Bitcoinの身代金を要求するだろう。この身代金要求型マルウェアに関連しているとしてKasperskyがレポートしているeMailは、xRatTeam@mail2tor.com と corporacaoxrat@mail2tor.com である。

Kasperskyによるレスキュー

　良いニュースは、Kasperskyが、Xpan Ransomware / TeamXrat 身代金要求型マルウェアによって使用されている暗号化をクラックできたことである。この身代金要求型マルウェアに感染した人々と、___xratteamLucked (アンダースコア 3つ)と、____xratteamLucked（アンダースコア 4つ）の拡張子の付いた暗号化されたファイルに関しては、身代金を支払う必要はない。代わりに、Kasperskyのサポートページにコンタクトしなさい。

　Kasperskyが、このサービスに課金しているか否かは不明であるが、今まで彼等は復号プログラムを無料でリリースしている。Kasperskyは、この身代金要求型マルウェアを開発したサイバー犯罪者の復号アルゴリズム中の弱点を学習することを妨げるために、この復号プログラムを公開していないのではないかと、私は推測している。

---

妃殿下（Princess Locker身代金要求型マルウェア）の紹介
BleepingComputer : News>Security （2016/09/28）
　本日、我々は皆さんにPrincess Lockerを届ける。この身代金要求型マルウェアは、ロイヤリティだけを愛している。暗黒世界のフォーラムでSenseCyによって最初に発見され、その後に、Michael GillespieのID-Ransomewareプラットフォームを介して彼によって発見されたPrincess Lockerは、犠牲者のデータを暗号化し、復号プログラムを購入するために、3 Bitcoin（もしくは、凡そ $1，800 USD、約18万円）という大変高額な身代金を要求する。支払いが指定の期間中に行われなかった場合は、身代金は倍の 6 Bitcoin になる。
　Princess Lockerに関しては、幾つかの暗号化されたファイルと脅迫文が、ID-Ransomewareにアップロードされた以外は、殆ど知られていない。収集された収穫物から、人々が感染すると、この身代金要求型マルウェアは、犠牲者のファイルを暗号化し、暗号化されたファイルにランダムな拡張子をつけ、その犠牲者用の一意のIDを作成する。このID、拡張子、暗号化は、十中八九、この身代金要求型マルウェアのコマンド&コントロール サーバに送信される。
　脅迫文はまた、!_HOW_TO_RESTORE_[extension].TXT と !_HOW_TO_RESTORE_[extension].html と名付けられて作成され、表示される。

　これらの脅迫文は、犠牲者のIDと、犠牲者が支払い情報を確認するためにログインする場所であるTOR支払いサイトへのリンクを含んでいる。

Princess Locker支払いサイト

　Princess Locker支払いサイトは、特別な機能もない標準的な身代金要求型マルウェアのサイトである。犠牲者が、Princess Locker支払いサイトにアクセスすると、犠牲者は、Cerberの言語選択ページと殆ど同じに見える言語選択要求ページで歓迎されるだろう。

　犠牲者は次に、この脅迫文で提供されている犠牲者IDを入力する必要のあるログイン プロンプトを表示されるだろう。ログインすると、犠牲者は、メインの支払いサイトを表示されるだろう。此処では、身代金額、支払いを送信する Bitcoinアドレス、一般的な質問に関する回答のような情報を含んでいる。

　この支払いサイトはまた、1つのファイルを無料で復号する能力も提供している。残念ながら、我々は、この身代金要求型マルウェアのサンプルを持っていない、そして、私は、犠牲者が無料復号で時間を浪費することを望まないし、この機能が動作するか否かさえ知らない。

　この支払いサイトに欠落しているアイテムは、犠牲者が、このマルウェア開発者に接触するために使用することのできるサポートページである。この身代金要求型マルウェアが広汎に拡散された場合、この機能が追加されていても驚かないだろう。
　我々は、この身代金要求型マルウェアのサンプルを依然として積極的に探しているので、誰かが遭遇したなら、それを、こちらにアップロードしてほしい。

---

Nagini（ナギニ）身代金要求型マルウェアは、あなたのファイルにヴォルデモートをけしかける
BleepingComputer : News>Security （2016/09/26）
　過去数ヶ月に渡り、私は、多くの「マイナー」あるいは、然程拡散していない身代金要求型マルウェア感染が、彼等のロック画面を、支払いを中心にするよりむしろポップカルチャーを含めることに専念していることを確認した。これは、ヴォルデモート（人気のハリーポッター シリーズの悪者）に敬意を表するMichael Gillespieによって発見された新しい身代金要求型マルウェアに見ることができる。

　ヴォルデモートのペットの蛇に因んでNagini（ナギニ）と名付けられたこの身代金要求型マルウェアは、現在開発下にあり、特別なテストシステム上だけで動作するように設計されている。関心を惹くことは、Bitcoinで身代金を要求する代わりに、犠牲者にクレジットカード番号を入力することを要求することである。
　実行ファイル中の文字を閲覧している時に、我々は興味ある幾つかのことを発見した。例えば、埋め込まれているPDB（プログラム データベース）文字は、この身代金要求型マルウェアを作成した開発者がColosseumの名前で通っていることを示している。

　更に、この身代金要求型マルウェアは、現在開発モードなので、C:\Users\Colosseum\Desktop\files\ フォルダで発見される、.doc、.docx、.ppt、.pptx、.xls、.xlsx、.bmp、.png、.jpg、.jpeg、.exe、.pdf ファイル拡張子だけをターゲットにしている。大事なことを言い忘れていたが、この身代金要求型マルウェアは、C:\Temp\voldemort.horcrux と名付けられているファイルを探すが、このファイルの目的は現時点で分かっていない。

Nagini身代金要求型マルウェア関連ファイル

Nagini身代金要求型マルウェア関連レジストリ エントリ

IOC（Indicator of Compromise、脅威を示す痕跡）

---

MarsJoke身代金要求型マルウェアは、.EDU, .GOV 機関を標的にしている
Kaspersky : Threatpost （2016/09/26）
　研究者によると、新しい身代金要求型マルウェアが、国・地方政府機関と、脅威を撃退もしくは軽減するために多大な予算を持つ傾向の少ない教育機関をターゲットにしていることが表面化した。MarsJokeと呼ばれるこの身代金要求型マルウェアは、Kelihosボットネットを介して配布された、先週の巨大なスケールのeMailキャンペーンで検出されたと、Proofpointは説明している。
　「eMailは、明らかに、このキャンペーンをサポートする目的で最近登録されたドメインの様々なサイトにホストされている ‘file_6.exe’ と名付けられた実行ファイルへのURLリンクを含んでいる」と、土曜日のブログ ポストでProofpointは発言している。
　このテクニックは、Lockyのような変種で一般的に使用される大変一般的な悪意あるマクロベースのドキュメント攻撃とは異なっている。MarsJokeキャンペーンの特質は、人気のある航空輸送会社と船会社のブランドをハイジャックするための説得力のあるスパムメールである。一般的なメッセージは、「以下のファイルに提供されている問い合わせ番号を使用と簡単です」と記してある。
　このファイル（file_6.exe）は、ダウンロードされ実行されると、即座にファイルを暗号化するMarsJokeマルウェアをインストールするが、本来のファイル拡張子を変更することはない。しかしながら、暗号化プロセスの間に、ファイル名の拡張子は、一時的に “.a19” と “.ap19” に置き換えられると、Proofpointは発言している。
　MarsJokeでの感染は、Windowsデスクトップの背景を、脅迫文を表示した黒い画面（下の画像参照）に変更する。Proofpointによって提供された、この身代金要求型マルウェアのスクリーンショットによると、ダイアログボックスは、「ドキュメント、スクリプト、写真、他の重要なファイルが、強力な暗号化アルゴリズム AES-256と一意のキーでの暗号化が、このコンピュータで発生した」ことを示している。

　脅迫文は、Defaultでは英語で配布されているが、ロシア語、イタリア語、スペイン語、ウクライナ語を含んでいると、Proofpointは発言している。犠牲者は、ファイルが削除される前に、96時間の猶予があり、その間に身代金 0.7 Bitcoin（320 US$）を送金するように告げられている。
　MarsJokeの背後にいる攻撃者共は、CryptFile2身代金要求型マルウェアの作戦を盗んでいると、Proofpointは発言している。このCryptFile2身代金要求型マルウェアのスパム キャンペーンもまた、Kelihosボットネットを介して拡散していた。MarsJokeに似て、CryptFile2もまた、類似の政府・教育機関をターゲットにし、受信者が悪意あるファイルをダウンロードするように導く埋込み型の悪意あるURLを使用していた。
　この二つの主たる相違は、CryptFile2では、悪意あるファイルは、悪意あるマクロの付いたWordドキュメントであり、暗号化アルゴリズムは異なっていた。Proofpointは、このマルウェア コード中に発見された文字列 “HelloWorldItsJokeFromMars” に基づいてMarsJokeと名付けた。
　「けれども、MarsJokeは、『ありきたりの身代金要求型マルウェア』であるとは思えない。このメッセージの量と、このキャンペーンに関連付けられているターゲットは、攻撃者が新しい変種を収益化しようとするので、より詳細なモニタリングが必要である。そして、古い株の潜在的犠牲者は飽和している」と、Proofpointは発言している。

---

Donald Trump（ドナルド・トランプ）身代金要求型マルウェアは、あなたのファイルの周りに壁を構築しようとしている
BleepingComputer : News>Security （2016/09/26）
　Hillary Clinton（ヒラリー・クリントン）とDonald Trump（ドナルド・トランプ）による今夜の大統領候補討論会の熱狂の中で、私は、これらの対立する候補者に基づいた何らかのマルウェアを発見できるか否か確認することにした。私は、Hillary Clintonに関しては何も発見することができなかったが、Donald Trump身代金要求型マルウェアの開発版を見つけた。

Donald Trump身代金要求型マルウェアは、現在開発段階であるが、最初のコンパイルは一月以上前であり、積極的に拡散していない可能性が高い。この身代金要求型マルウェアは、AESを使用してファイルを暗号化する機能を含んでいるが、現在の形式では、実際に何も暗号化できない。
　代わりに、暗号化フォルダ中のファイルを探し、ファイル名をBase64エンコードし、次に特定のファイル拡張子にマッチした、あらゆるファイルに .ENCRYPTED 拡張子を追加する。このプログラムによってターゲットにされる拡張子は、以下である。

　このバージョンでは、ファイルをオリジナルのファイル名に戻すには、Unlockボタン（【訳注】 上の画像の右上）を一回クリックするだけである。
　私は、これらの候補者に対応する如何なる深刻な感染も発見していないが、私は、全ての人に選挙期間中に受け取る如何なるeMail添付ファイルにも特別な注意を払うように促す。マルウェアの開発者が、現在のニュースに関連した内容を装って悪意ある添付ファイルを送信してくることは大変一般的なことである。

Donald Trump身代金要求型マルウェア関連ファイル

IOC

---

無制限のアップロードを可能にするWordPressテーマ中の脆弱性が修正された
Kaspersky : Threatpost （2016/09/20）
WordPressのテーマのパブリッシャーDynamic Pressは、月曜日にフローを修正した。このフローは、誰もが、ビジネステーマNeosense WordPressテンプレートを実行しているサイトに悪意あるファイルをアップロードすることを、そのサイトと、可能なら、それをホストしているサーバをセキュリティ侵害することを可能にするものであった。
　オランダを本拠とするセキュリティ企業Silkのセキュリティ研究者Walter Hopは、先週これを発見した。このフローは、Neosenseテーマのバージョン 1.7 に影響を与える。月曜日、DynamicPressは、この脆弱性をパッチしたアップデート バージョン 1.8 をリリースした。Hopは、この脆弱性を月曜日に一般に公開した。
　「顧客が、サイトをアップデートするには時間がかかるが、可能な限り早急に実行することが重要である。Neosenseの最新のアップデートなしでは、顧客は、自分自身を攻撃に晒したままにすることになる」と、Hopは発言している。
　DynamicPressは本日、Neosense中のフローを確認した。このWordPressテンプレート メーカーは、Envato Marketのようなサードパーティのサイトを介して、凡そ14の異なるテーマを販売している。DynamicPressの代表者は、このバグがNeosenseテーマのみに限定され、彼等の他のテーマには影響を与えないとThreatpostに告げた。
　この脆弱性は、DynamicPressが使用しているオープンソースのソースコード“qquploader”（セキュリティ無しで実装されているAjaxベースのファイル アップローダ）に関係している。攻撃者は、.php もしくは .phtml 拡張子の悪意あるPHPスクリプトを、そのサイトのダウンロード ディレクトリにアップロードすることによって、バージョン 1.7 のNeosenseテーマをターゲットすることができる。Neosenseテーマは、アップロード ディレクトリへのアクセスに、ユーザ名もパスワードも要求しない。
　「攻撃者は、簡単にファイルをアップロードでき、WordPressのサイトの制御を取得するために、これを実行することができる」と、Hopは発言している。Neosenseサイトがサンドボックス化されていなかったり、コンテナ中に存在していない場合には、攻撃者は、ホストしているサーバへのアクセスを取得することができる。「ユーザの認証なしで、このサイトを誰もが訪問でき、あらゆるものをアップロードすることができる。彼等はCurlを使用してバックドアをアップロードでき、次に、そのURLをクリックすることで、即座に、そのバックドアを実行することができる」と、Hopは発言している。

---

HDDCryptor身代金要求型マルウェアは、オープンソース ツールを使用してMBRを上書きする
BleepingComputer : News>Security （2016/09/18）
　HDDCryptor（HDD Cryptorとも書かれ、Mambaとしても特定される）は、コンピュータのMBR（Master Boot Record）ブートセクタを書き改め、ユーザをPCから締め出す新しい身代金要求型マルウェアの変種である。我々は、Petyaのクローンとして、これを分類するための確認を急いでいたが、HDDCryptorは、PetyaとSatanaの両方に先立っていた（BleepingComputerのフォーラムで今年の1月末にスポットを当てられていた）。
　この身代金要求型マルウェアは、巨大な拡散キャンペーンのようなフォーカスポイントを決して存在させなかった。これが、セキュリティ ベンダや個人のセキュリティ研究者の如何なる注意も惹かなかった理由である

改良されたHDDCryptorの回帰

　入手可能な、Morphus LabsのRenato MarinhoとTrend Microチームの研究で、8月末日に開始されたと思われる活動のうねりは、HDDCryptorに注目を集めることとなった。
　Trend Microは、この身代金要求型マルウェアは、ユーザが悪意あるWebサイトからファイルをダウンロードすることでコンピュータに到達すると発言している。悪党共は、直接コンピュータに、もしくは、後のステージでダウンロードされた中間ペイロードを介して、悪意あるバイナリをドロップする。
　この初期化のバイナリは、ランダムな3桁の数字を使用して 123.exe の形式で名付けられている。ファイルのハイブリッド解析は、殆ど手がかりを露わにしなかった。
　実行されたこの初期化のバイナリは、コンピュータのシステム ルートのフォルダに以下のファイルをドロップする。

dcapi.dll
dccon.exe （ディスクドライブを暗号化するために使用される）
dcrypt.exe
dcrypt.sys
log_file.txt （マルウェアの挙動をログする）
Mount.exe (マップされているドライブをスキャンし、ドライブに保存されているファイルを暗号化する)
netpass.exe （今までにアクセスされているネットワーク フォルダをスキャンするために使用される）
netuse.txt （マップされているネットワーク ドライブに関する情報を格納するために使用される）
netpass.txt （ユーザ パスワードを格納するために使用される）

　これらのファイルのうちの二つは、フリーで利用可能であり、正当なツールである。Netpass.exeは、フリーのネットワーク パスワード復元ツールであり、dcrypt.exeは、DiskCryptor（オープンソース ディスク暗号化ユーティリティ）のための実行ファイルである。
　boot persistence（【訳注】 説明はこちら（英文）を参照してください）を獲得するために、HDDCryptorは、"mythbusters"と名付けられた新しいユーザを、パスワード"123456"で作成し、如何なるブートであっても実行される"DefragmentService"と呼ばれる新しいサービスを追加する。このサービスは、この身代金要求型マルウェアのオリジナルのバイナリ（三桁の数字の exe ファイル）をコールする。
　この netpass.exe ツールは、最初に今までにアクセスされたネットワークフォルダのスキャンを実行し、認証を抽出する。これらのネットワーク ドライブの情報は、二つのローカル テキストファイル（マップされているドライブの詳細、存在している場合には、あらゆる認証を維持している）に格納される。

HDDCryptorは、ファイルを暗号化し、MBRを上書きする

　この感染プロセスは、dccon.exe と Mount.exe を続ける。これら二つのファイルは、DiskCryptorを使用してユーザのファイルを暗号化する。dccon.exe は、ユーザのハードドライブ上のファイルを暗号化し、Mount.exe は、マップされている全てのネットワーク ドライブ（現在接続されていないものでさえ。物理的には到達可能なので）のファイルを暗号化する。
　暗号化が終了すると、この身代金要求型マルウェアは、カスタム ブートローダーの存在する全てのハードドライブ パーティションの全てのMBRを書き直す。次に、ユーザと対話することなく、ユーザのコンピュータを再起動し、以下のメッセージを表示する。

　この身代金要求型マルウェアの1月版は、以下のメッセージを、別の言葉と別のeMailアドレスを使用して表示していた。

　1月のバージョンは、4桁の数字の犠牲者IDを使用していたが、8月-9月の感染は、代わりに、6桁の数字の同定子を使用している。
　1月では、この身代金要求型マルウェアの作者は、700 US$と等価のBitcoinを要求していたと、Bleeping Computerに投稿した犠牲者の一人が暴露している。身代金要求のeMailの全文は、以下である。

　9月にMarinhoによって受信されたこの脅迫文は、1月のものと比べると冗長でもなく、あまり役に立たないものになっている。この悪党は、現在、1 Bitcoin（~600 US$）を要求している。

　記述している時点で、この9月のキャンペーンに関連するBitcoinウォレット アドレスは、4人の犠牲者が今までに支払いしたことを示している。
　ユーザが身代金を支払うと、そのユーザは、プレブート画面で入力するためのパスワードを受け取ることになる。
　この感染に関するリサーチの殆どは、Marinhoによって実行された。彼は、ブラジル、インド、アメリカの子会社のコンピュータが影響を受けた多国籍企業に、大量感染を調査、修正することを依頼されたことがあると発言している。

---

攻撃者は、どのようにしてWindowsセーフモードを悪用し、ユーザパスワードを盗んでいるのか
GrahamCluley : News （2016/09/18）
　セーフモードは、Windowsオペレーティング・システムを適切に機能させるために重要なソフトウェアだけを実行するものなので、ユーザが、通常モードで一般的に解決できない問題を解決することを可能にする、Windowsコンピュータの素晴らしい機能である。
　しかし、セーフティーとセキュリティは、同じものではない。
　Windowsセーフモードは、PCのブートに必須ではないサードパーティ製ソフトウェア（アンチウィルス ソフトウェアを含む）の実行を妨げる。従って、攻撃者共は、通常モードでは、実行することを妨げられるかもしれない攻撃を、セーフモードでは、これを悪用して実行することができる。
　この点を説明するために、CyberArk Labsの研究者達は、攻撃者共がPCのセーフモードを悪用して、pass-the-hash攻撃（【訳注】 本来の認証で使うパスワードではなく、パスワードハッシュを用いて認証を行う手法のこと。パスワードの使い回しを行っている場合、一度何らかの方法でパスワードハッシュを取得してしまえば、他のホストについても芋づる式に侵入できる（@ITより））や、他のキャンペーンを実行する方法を説明している。
　攻撃は、企業ネットワーク上の少なくとも一つのマシンのローカル管理者権限を取得するために、悪意あるハッカーによって開始される。彼等が攻撃を実行する方法は重要なことではないが、彼等が選択する必要があるのなら、悪意あるeMailで組織の特定の個人をターゲットにすることを選択するかもしれない。
　そこから、ハッカー共は、ネットワーク全体をLateral Movement（【訳注】 最初に入り口となるコンピュータのセキュリティを侵害し、マルウエアが攻撃者との通信を確立したあとの段階を指す。Lateral Movementでは、攻撃者は通常、コンピュータの標準機能を使って、気づかれないようにネットワーク内を動き回る（IT Proより））し、盗んだログイン認証を再使用できる攻撃可能なエンドポイントを探す必要がある。
　これが、Dron Naim（CyberArkの上級セキュリティ研究者）によって説明されているように、セーフモードが出現するところである。

　ハッカーは、この攻撃を引き起こすために三つのことを実行しなければならない。

1.　感染したマシンをセーフモードで再起動するための遠隔からの設定。これはBCDEditを使用して実行できる。
2.　攻撃ツールがセーフモードで実行するための設定。ハッカーは、彼等の当初のペイロード（【訳注】　一つのマルウェアが搭載することのできる悪意の総量くらいの意味）にセーフモード中でだけ実行する悪意あるサービスを含むことができる。代わりに、彼等は、explorer.exeが実行される度に、悪意あるCOMオブジェクトを実行するよう登録することができる。
3.　マシンをセーフモードで再起動する。攻撃者は、次の再起動を待っているだけ、もしくは、犠牲者にコンピュータの再起動を促す、インチキのアップデート ウィンドウを作成することができる。

　そこから、攻撃者は、幾つかの成果を達成する（Lateral Movementや、認証を盗むことさえ含む）。Naimの観察として、

　インターネット中のマルウェアは、彼等の活動を隠すために、その種の1-2のアップデート計画を示していた。これには、Cerber身代金要求型マルウェアの変種の一部が含まれる。
　テストで、CyberArkの研究者達は、彼等がMinimal Safe Mode（最小構成（ネットワーク機能なし）でセーフモードを起動）でレジストリキーを改竄すると、彼等はMimikatz（WinDbg のデバッガーエクステンション。mimikatz を使用すると、lsass.exe のプロセスダンプから、ユーザーパスワードの抽出が可能になる）を実行し、これらの悪意あるプログラムをマシンから削除するためのセキュリティ ソフトが存在していないので、認証を盗むことが可能になる。
　この種のタイプの攻撃（Naimは、システム管理者の権限を制限するように推奨している）に関連するリスクが与えられた場合、セーフモードで動作するセキュリティ ツールを使用し、セーフモードに入ってくる者と、その者がそこで何を実行しているのかを全体的に監視することである。彼等が実行できる全てのことは...、この一連の行動を起動するためには、誰かがマシンをセキュリティ侵害していなければならないとして、Microsoftは、修正することを拒否していた。
　私見であるが、それが第二弾の攻撃ベクトルとして提供されている場合を含み、セキュリティホールは、セキュリティホールである。

---

Stampado身代金要求型マルウェア、仁義なき段階に
BleepingComputer : News>Security （2016/09/15）
　身代金要求型マルウェアに感染し、あなたのファイルの全てを暗号化されることは恐怖である。犠牲者は、冒涜され、失望し、恐怖し、怒りを感じていると、私は告げられてきたが、更に悪いことに、現在、犠牲者がファイルを取り戻すには、或る犯罪者に多額の金銭を支払う必要がある。
　一般的に、身代金要求型マルウェア感染は、暗号化のために特定のファイル拡張子をターゲットにしている。これは、特定の身代金要求型マルウェアが、ドライブ上の全てのファイル タイプを暗号化する場合を除き、既に暗号化されているファイルは、連続して身代金要求型マルウェアに感染したとしても暗号化されないことを意味している。
　私見ではあるが、身代金要求型マルウェアによって既に暗号化されているファイルを具体的にターゲットにすることによって身代金要求型マルウェアを過去最低にした者（Stampado開発者）が現れた。EmsisoftのFabian Wosarは、Stampadoの新しいバージョンに対応するために彼の復号プログラムを改良している間に、Stampadoの新バージョンが、身代金要求型マルウェアで暗号化されたファイル拡張子をターゲットに追加していたことを発見した。これは、誰かが既に身代金要求型マルウェア感染に対応している最中に、Stampadoに感染した場合には、犠牲者はファイルを取り戻すために、現在二倍の金額を支払う必要があるだろう。

　上のソースコードの断片において、我々は、Stampadoの開発者が、他の身代金要求型マルウェアよって暗号化されたファイルとして知られる50以上の異なる拡張子を積極的にターゲットにしていることを確認できる。私は、Kimcil, Cerber, TeslaCrypt, LeChiffre, Locky, Coverton, PadCrypt、その他多くの身代金要求型マルウェアの拡張子を確認している。
　Stampadoは、Fabian WosarのStampado Decryptor（Stampado復号プログラム）を使用して簡単に復号できるが、これは、Stampado開発者に関しては、盗人社会の仁義を持っていないことを我々に示している。

---

殆どの接続されているSeagate Central デバイスは、Moner採掘トロイに感染していた
BleepingComputer : News>Security （2016/09/13）
　Sophosは、感染したコンピュータに NsCpuCNMiner32.exe と呼ばれる仮想通貨採掘プログラムをインストールし、それ自体を他のコンピュータとFTPサイトに拡散するトロイに関して最近レポートした。この採掘プログラムは、Monero（Bitcoinより追跡される可能性が少ないので犯罪地下サイトの間で人気になっている）と呼ばれるデジタル・コインを採掘する。

　特に注目すべき点は、このトロイが、殆ど全てストレージ デバイスに装着されインターネットに接続されたSeagate Centralネットワークに対して拡散していることにある。これは、Seagate CentralデバイスがDefaultで、もしもインターネットに接続していたなら、誰もがそこにファイルを格納することが可能であり、何処からでも書き込み可能なPublicフォルダを持っていることが理由である。このトロイが実行されると、FTPサイトに関してインターネットを検索し、共通のユーザ名とパスワードを使用してログインすることを企てる。
　Seagate　Central FTPサイトは、匿名ユーザ名を使用して、ユーザがPublicフォルダにアクセスすることを可能にしているので、この感染は、Photo.scr や Info.zip のようなそれ自体のコピーをPublicフォルダにアップロードすることができる。Photo.scrは、フォルダのように見せかけたアイコンを持っている。これは、人々が、それをフォルダと思い、その上をダブルクリックさせ、それ自体に感染させようとするものである。

　この自己増殖テクニックの一部として、このトロイはまた、特定のファイルがセキュリティ侵害されたFTP サイトに存在するか否か確認する。存在すれば、このトロイは、Photo.scr実行ファイルに向けられたiframeを含んでいるので以下のファイルタイプを改竄するだろう。

　そこで、誰かが、このWebサイトを訪問すると、このページは、このトロイ自体を更に拡散するために自動的に Photo.scr 実行ファイルのダウンロードを促してくる。

NsCpuCNMiner32 Minerは、このトロイの開発者のために多額の金銭を生成する

　Sophosのレポートは、このトロイに関連した一意のIPアドレスが3150存在していることを示しているだけだが、これは、マルウェア開発者が金儲けしていないということを意味してはいない。このレポートによると、このソフトウェアは、58，577 XMR（もしくは、Moneroコイン）を採掘している。現在のレートでは、1XMRあたり $10.99なので、凡そ $640,000 USD（約6400万円） となる。更に、Sophosは、彼等の現在の採掘力は、さらに 327.7 コイン以上（1日あたり $3,600）を作成することが潜在的に可能であると述べている。

　上の価格チャートに見られるように、Moneroは、この一ヶ月間で顕著な成長を見せている。これが犯罪地下組織による受け入れに起因するのか否か不明であるが、犯罪者が身代金の支払いをMoneroに切り替えるとすれば、Moneroは更に価格を押し上げるだろう。

採掘トロイは実際のダメージをコンピュータに発生させることができる

　このトロイがMineroコインを採掘するとき、犠牲者のCPUパワーを使用するだろう。このトロイは、NsCpuCNMiner32.exe を犠牲者の %Temp% フォルダに解凍し、次に、これを以下のコマンドで実行することによって、採掘を実行する。

　一旦起動すると、この採掘プログラムは、常にそのコンピュータのCPUパワーの殆どを使用する。

　これは、そのコンピュータをほとんど使用不能にするだけでなく、プロセッサに発熱と常時使用に起因する損傷を発生させるだろう。それ故、犠牲者は、このトロイを、できる限り早急に削除することが重要である。

---

バックドアが、Microsoft Publisherファイルを介して企業データを標的にしている
Graham Cluley : News （2016/09/13）
　聞き間違いではない！　悪いハッカーが、バックドアを企業に感染させ、彼等の企業データを盗もうとしてMicrosoft Publisherを悪用している。
　Bitdefenderの研究者達は、中国、英国、他の国の中小企業に勤務する従業員からと称するスパムeMailに遭遇した。
　これらのeMailは全て、共通の一つの物（注文書もしくは送り状を装うMicrosoft Publisherファイル）を持っている。

　今日では、ファイルが、それらが主張しているものではなくても、驚くにはあたらない。Bitdefenderの研究者達は以下のように説明している。

　攻撃者がファイルを復号してしまうと、一巻の終わり。彼等は、この時点で、感染したマシンへの完全なバックドア アクセスを持っている。これは、彼等が、キーストロークをログしたり、ログイン認証を盗んだり、重要な企業データを持ち去ることができることを意味している。

　明確化のために、このバックドア（Bitdefenderはサウジアラビアかチェコ共和国からのものと確信している）は、悪漢共がMicrosoft officeドキュメントをスパム キャンペーンに組み込んだ初めてのことではない。例えば、不審なWordやPowerPointドキュメントは、長年に渡り身代金要求型マルウェアや他の悪意ある攻撃を配布してきた。
　しかし、悪意あるMicrosoft Publisherとは？　これはチョットしたBitdefenderのAdrian Mironで、滅多に見られない：

　このスパムや、それに似た他のキャンペーンによるマルウェア感染を回避するために、ユーザは、彼等のコンピュータのアンチウィルス ソフトのアップデートを維持し、常に不審なリンクとeMail添付ファイルに警戒すべきである。
　また、キチンとした企業が、Publisher（パブリッシングとレイアウトアプリケーション）を介してあなたに送り状を送信する理由は何処にもない。送り状と主張するあらゆる種類の .pub ファイルを受け取ったなら、即座に警告が発されなければならない。

---

USBをイーサネット アダプタに欺くと、ロックされているラップトップでも認証を窃取できる
The Register : Security （2016/09/07）
　セキュリティ コンサルタントでありブロガーでもあるRob Fullerは、ロックされているマシンでさえSoC（【訳注】 System-on-a-chipは1つの半導体チップ上に必要とされる一連の機能を集積する集積回路の設計手法（Wikipediaより））ベースのデバイスを認証窃取デバイスに変換してみせた。
　Fullerの攻撃は、ドングル（【訳注】 コンピュータに接続する小さな装置（Wikipediaより））を改竄する（これを差し込み、インストールし、それ自体を犠牲者のネットワークゲートウェイ、DNSサーバ、WPAD（【訳注】 ウェブブラウザのプロキシ設定を自動化するためのプロトコル（Wikipediaより））サーバにする）ことによって動作する。インストールを試みているプロセスで考えられていることは、イーサネット アダプタにすることであり、ターゲット マシンは、盗聴ネットワークを介して、その認証を送信するだろう。
　改造されたイーサネット アダプタはまた、ターゲットマシンが、このアダプタを介してネットワークに接続しようとするとき、それが提供する認証を捕獲するようにセットアップされている必要がある。
　このアダプタが捕獲したパスワードは、犠牲者のマシンがストレージにどのようなハッシュを適用していても、それは、サーバが確認するものでもある。
　Fullerの説明では、これは、動作してはならない攻撃であったが、彼は、この攻撃が動作することを認識しているし、Windows 10 Enterprise と Home までのWindows（Windows 8 を除く）で、この攻撃をテストしていた。この攻撃は、OS X El Caption でも動作したが、Fullerは、彼独自のセットアップの特異性に依存しているのか否か定かでないとしている。
　彼の説明では、マシンがワイアレスと有線の両方のネットワークを確認した場合、どちらか高速な方に接続しようとする（USBキーは、クライアントからサーバへリクエストを渡すのではなく、サーバからのネットワーク レスポンスを提供する）。
　彼は、この攻撃に関して二つのドングル（USB Armory と Hak5 Turtle）をテストした。
　この攻撃はターゲットへの物理的なアクセスを必要とするが、Fullerは、認証の平均取得時間は 13秒であったと発言している。

---

WordPressブロガーは、セキュリティ アップデートを即座に適用するよう「強く推奨」されている
Graham Cluley : News （2016/09/08）
　WordPressは、以下のように記述している。

　簡単に、グズグズするな。
　WordPressを実行している多くのサイトがあり、攻撃者が悪意ある攻撃を起動するためにWordPressプラットフォームの脆弱性を悪用する頻度から、セルフホストしているブロガーは可能な限り早急に彼等のシステムをアップデートすることが肝要である。
　セキュリティ上の脆弱性は、しばしばサードパーティのWordPressプラグインで露見されるが、上述の修正は、メインのWordPressコンテント マネージメント システムそれ自体のバグを解決するものである。これは、WordPressを実行しているあらゆるサイトに、リスクがあることを意味している。
　幸いにも、アップデートは大変簡単である。WrodPress管理パネルに進み、Dashboard > Updates を選択しなさい。
　もちろん念の為に、最初にあなたのサイトを非ライブ バージョン（ステージング サイトとして知られる）で、このソフトウェアの新しいバージョンをテストすることは常に適切な行動である。
　WordPress 3.7 が、2013年10月にリリースされて以来、このソフトウェアは自動セキュリティ アップデートのオプションを搭載してきた（上手くいけば、多くのサイト管理者が、彼等のソフトウェアのアップデートが維持されているか否かに関して、それほど心配をする必要がなくなることを確実にする）。
　もちろん、自動アップデートを有効にしようとしない人々や、このニュースに気が付かない人々は常にいる。

　注意 WordPress.orgのWordPressのセルフホスト バージョンを実行しているサイトは、WordPress.com上で実行している何百万ものブログとは別物である。WordPress.com（Automaticになっている）は、あなたに代わってWordPressのインスタレーションを管理し、あなたに代わってセキュリティの世話をしている。

　WebサイトのオーナーがWordPress.comで実行できることには幾つかの制限があるが、常にWordPressの最新のバージョンが常に実行されていることは間違いない。
　名前が紛らわしいと心配することはない。皆、名前が紛らわしいと思っているのだから。なんだかムカツク。

---

身代金を支払っても、データを取り戻せるとは限らない
The Register : Security （2016/09/07）
　Trend Microの新たな研究によると、身代金を支払った企業の1/5が、彼等のデータを取り戻すことに失敗していた。
　Trend Microによる支援を受けている300の英国企業のITマネージャによる投票は、英国企業の44%が、最近の2年間で身代金要求型マルウェアに感染していたことが分かった。
　この研究はまた、身代金要求型マルウェア感染に直面した英国企業の凡そ2/3（65%）が、彼等のデータを取り戻すことを希望して身代金を支払っていた。
　英国で要求されている身代金の平均額は £540（73,288円）であるが、20%の企業が、£1,000（135,671円）以上の身代金を支払ったと報告されている。大多数（57%）の企業は、24時間以内に支払いを実行したと報告されている。
　身代金要求型マルウェアによって影響を受けた組織は、この問題を修正するために平均33人時（【訳注】 人時とは、一人の人間が一時間働く分の仕事量（コトバンクより））を費やしたと見積もられている。
　身代金要求型マルウェア問題は増加中である。Trend Microは、2015年全体では29であったのに比べ、今年今までに、79の新しい身代金要求型マルウェア ファミリーを同定している。
　「誘拐された状況に直面すると、多くの組織は、単純に暗号化されたデータを手放すことができないので、一度ならずも、要求される金額を支払うことを強いられている」と、Trend Microのサイバーセキュリティ コンサルタントBharat Mistryは発言している。彼は更に、「サイバー脅迫者の要求に屈することは、この戦略で彼等を安心させることになり、脅威のサイクルを恒久化することになる。これが、企業が身代金要求型マルウェアに対して十分に彼等自身を守らなければならなず、攻撃者の言いなりになることを回避しなければならない理由である」と続けている。
　身代金の支払いを決定するにあたっての動機に関する質問に、多くの企業（37%）は、データを失った場合の罰金を心配していた。他の理由は、暗号化されたデータが高度な機密を含む（32%）と、支払うほうが簡単で身代金額が低い（29%）であった。
　支払いを拒否した大多数の企業（66%）は、原則としてサイバー犯罪者と交渉しないと発言している。更に60%は、バックアップファイルからデータを修復することが可能であったと主張し、データが暗号化されたと信じられている凡そ1/4（26%）は、データに価値がなく、重要でもなかったので、支払う価値はなかったと発言している。

---

CryLocker身代金要求型マルウェアは、UDPを使用して情報交換し、Imgur.comにデータを格納している
BleepingComputer : News>Security （2016/09/05）
　CryLocker身代金要求型マルウェア（Central Security Treatment Organizationという偽の組織からだと装う）と呼ばれる新たな感染が、MalwareHunterTeamのセキュリティ研究者によって発見された。Central Security Treatment Organization（もしくは、Cry）身代金要求型マルウェアは、コンピュータに感染し、犠牲者のファイルを暗号化し、暗号化したファイルに .cry 拡張子を追加する。このマルウェアは次に、復号キーを取得するために凡そ1.1 Bitcoin（もしくは、625 US$）を要求する。

　私自身（Lawrence Abrams）、MalwareHunterTeam、Daniel Gallagherの解析に基づくと、この感染は身代金要求型マルウェア中で一般的には確認されない幾つかの興味ある特徴を示している。例えば、Cerberのように、この身代金要求型マルウェアは、UDPを使用してコマンド&コントロール サーバーに犠牲者に関する情報を送信する。更に、このマルウェアは、各犠牲者の情報をホストするために Imgur.com や Pastee.org のような公開サイトを使用している。最後に、大事なことを言い忘れていたが、犠牲者の居住地を決定するために近くのワイアレスSSIDを使用して、Google Maps API をクエリーする。
　この身代金要求型マルウェアは、現在解析中であり、復号方法が発見される可能性がある。従って、犠牲者は、更新情報に関してCentral Security Treatment Organization Support Topicに注目してほしい。
　多くの身代金要求型マルウェアによる感染があるので、このマルウェアに説明的名前を提供するのは難しいが、この身代金要求型マルウェアの公式の名前はCryLockerであり、Central Security Treatment Organization Ransomware, CSTO Ransomware, Cry Ransomware としても参照される。
　Update 9/6/16: 新しいサンプルが壁紙をセットにしてリリースされた。この壁紙は現在、この身代金要求型マルウェアの名前と同じCryLockerの名前を使用している。

コマンド&コントロールサーバー コミュニケーション方法

　犠牲者が感染すると、この身代金要求型マルウェアは、Windowsのバージョン、インストールされているサービスパック、Windowsのbitタイプ、ユーザ名、コンピュータ名、コンピュータに装着されているCPUのタイプのような様々な情報を収集する。この情報は、UDPを介して4096の異なるIPアドレス（これらの一つは、この身代金要求型マルウェアのコマンド&コントロールサーバーである）に送信される。UDPパケットの使用は、多分、執行機関が彼等のコマンド&コントロールサーバを捕まえることができないようにするために、コマンド&コントロール サーバの位置を紛らわしくするために実行されている。

　このCryLocker身代金要求型マルウェアはまた、同じ情報並びに暗号化したファイルのリストをImgur.comにアップロードする。これは、全ての情報を偽のPNGイメージファイルにコンパイルし、次に、指定のImgurアルバムに、それをアプロードすることで実行されている。このファイルが首尾よくアップロードされると、Imgurは、このファイル名用の一意の名前で対応する。このファイル名は、感染した新しい犠牲者の存在をコマンド&コントロール サーバに通知するために、UDPを介して4096のIPアドレスにブロードキャストされる。

近くのSSIDに基づき犠牲者の場所を発見する

Google Maps APIを使用すると、ユーザは、近くのワイアレスネットワークのSSIDによってデバイスをクエリーし、その場所を決定することができる。CryLockerは、近くのワイアレスネットワークのリストと、それらのSSIDを取得するためにWlanGetNetworkBssList関数を使用している。次に、このマルウェアは犠牲者の場所を特定するためにこれらのSSIDを使用してGoogle Maps APIをクエリーする。
　現在、このマルウェアが、これを使用しているか否か不確かであるが、この情報は、Google Mapsを使用して犠牲者の場所の画像を生成するために使用されることが可能である。

CryLockerがファイルを暗号化する方法

　CryLockerがコンピュータに感染すると、犠牲者のWindowsデスクトップに特定のショートカットのバックアップを作成し、それらをold_shortcutsと呼ばれるデスクトップ上のフォルダに保存する。このフォルダの目的は、現在分かっていない。
　この身代金要求型マルウェアは、現在犠牲者のファイルを暗号化し、暗号化したファイルに .cry 拡張子を追加する。この身代金要求型マルウェアによってターゲットにされているファイルは現在、以下である。

　このプロセスの間、このマルウェアは、以下のコマンドを使用してシステムのシャドー ボリューム コピーを削除する。

　永続的に提供せよというコマンドで、この身代金要求型マルウェアは、ユーザが、Windowsにログインした時、トリガーとなるランダムに名付けられたスケジュール タスクを作成する。

　この犠牲者のデスクトップ壁紙はまた、脅迫文に変更される。この脅迫文は、割り当てられることになった名前 CryLocker を含む唯一のものである。

　最後に、この身代金要求型マルウェアは、犠牲者のデスクトップに、!Recovery_[random_chars].html と !Recovery_[random_chars].txt と名付けられた脅迫文を作成する。

　この脅迫文は、犠牲者のパーソナルIDと、上に示したTOR支払いサイトにアクセスする方法に関する指示を含んでいる。この支払いサイトに関する情報は、次のセクションで見出される Central Security Treatment Organization の支払いサイトを発見することができる。

CryLockerのTOR支払いサイト

　CryLockerによって作成されたこの脅迫文は、ウィンドウ タイトル User Cabinet を持つTOR支払いサイトへのリンクを含んでいる。ユーザがこのサイトを訪問すると、彼等は脅迫文中のパーソナルコードを使用してログインすることを促される。

　犠牲者がログインすると、彼等は Central Security Treatment Organization と呼ばれる偽の組織の一部であることを宣言し、犠牲者が支払わなければならない身代金額を含むページを表示する。

　このサイトの他のセクションは、身代金を送らなければならないBitcoinのアドレスをリストしている支払いページを含んでいる。また、犠牲者が、このマルウェアの開発者とコミュニケーションするために使用することのできるサポートページも存在している。

　この支払いサイトはまた、悪意ある者共が犠牲者のファイルを実際に復号できることを示すために、一つのファイルを無料で復号するテスト機能を含んでいる。

　ファイルが無料の復号に提出されると、即座に、そのファイルは復号されるだろう。

　けれども、私のテストでは、無料の復号は失敗し、復号されたファイルは利用できるものではなかった。そうは言うものの、あなたが身代金を支払うつもりであるなら、この復号をテストし、身代金の支払いを実行する前に、この機能が動作することを確認したいだろう。

CryLocker身代金要求型マルウェア関連ファイル

CryLocker身代金要求型マルウェア関連レジストリ エントリ

IOC

ネットワーク コミュニケーション

---

Sophosを利用しているWindowsユーザは、誤検出による大失敗の後、ブラック画面に直面している
The register : Security （2016/09/05）
　Sophosセキュリティ ソフトウェアのユーザは、先週末にかけて、滅茶苦茶なアンチウィルス アップデートの結果として、彼らのWindows PCを起動したときブラック画面（新しいBSODのこと）に直面していた。
　下手な仕事のアップデートは、Windows ７ の winlogon.exe を悪意の可能性のあるものとして間違った分類をした。結果として、至る所で混沌と混乱が発生した。
　Sophosによると、この問題は、32-bit Windows 7 SP1 を実行しているユーザに限定される。
　Sophos Enterprise Console, Sophos Central もしくは、Sophos Home のユーザは、以下のメッセージに直面するかもしれない。 Sophosは即座に、この誤警告に対応した。Sophosのナレッジベースの記事における説明では、日曜日の朝、この問題を解決するためのアドバイスと共に改定したアップデートをリリースした。
　誤検出は、アンチ-マルウェア製品で良く知られているアキレスの踵であり、何年にもわたり、この問題は存在し続けている。全てのベンダが、時々、語検出で苦しんでいる。このような失敗の影響は、Windowsのコア アプリケーションが悪意あるものとして誤診断され、隔離部屋に移し変えられたときに最も鋭敏となる。
　ベンダが、身代金要求型マルウェアの増加傾向に対応するために毎日発行することを強いられる大量のアップデートは、品質管理手順の改善にも拘らず、誤検出問題を残したまま発行されている。
　この最新の大混乱の詳細な解説は、業界のベテラン Graham Cluley によるブログポスト中に見出すことができる。

---

Sneaky技術サポート詐欺師達は、Google Chromeユーザに対する新しいトリックを開発した
BleepingComputer : News>Security （2016/08/30）
　技術サポート詐欺師達は、疑うことを知らないGoogle Chromeユーザを欺くことを希望して沢山の新しいトリックを立案した。
　Malwarebytesの指導的マルウェア情報アナリストSegureは、このテクニックの一つが、伝統的なアンチスパム アドバイスの一部に対して動作すると説明している。そのサイトが正当なものであるか否かを確認するにはアドレスバーのURLをチェックしなさい。
　この特定のスパムは、Microsoftのテックサポート チャンネルのように見える。何か間違っている唯一の兆候は、ドメインの"ru-ru"（ロシア語-ロシア）である。

Segureは確信した。彼はブログ ポストで説明している。

　なんとも、コソコソしている。
　このスカムの一つのバージョンは、ユーザのコンピュータがスパイウェアに感染したと警告するポップアップ ウィンドウを表示する。ユーザが、このウィンドウの下部に着目したなら、彼等は、"Prevent this box from creating additional dialogues"（このページによる追加のダイアログ表示を抑止する）と記されているチェックボックスを見るだろう

　チョット待って？　Dialogues？　これはdialogを意味しようとしているのでは？
　あなたが、（【訳者挿入】 このページによる追加のダイアログ表示を抑止する）チェックボックスにチェックを入れ、OKを押したところで、何の安らぎもない。これを実行することは、実際には逆の効果をもたらす。即ち、ユーザがイライラし、詐欺の電話番号に電話を掛ける状態に陥るまで、一連の追加のダイアログをロードする。
　それに反して、このスカムの他のバージョンは、正しい綴を使用している。

　しかし、これらのバージョンは、ユーザが"Esc"キーを押すことを当てにしている。この操作を行うと一連の追加のダイアログをロードするだろう。
　そこには、技術サポート詐欺師によって開発された幾つかの最新のトリックがある。この数カ月だけで、詐欺師達は、詐欺を合法的に見せかけるために、ユーザのインターネットプロバイダ（ISP）とGlobal Privacy Enforcement Network（世界プライバシー執行機関）に成り済ましている。彼等はまた、ユーザのコンピュータをロックするという点において身代金要求型マルウェアを真似る詐欺を開発している（この戦略は、Fantom（Windows Updateを装ってファイルを暗号化する身代金要求型マルウェアの一形式）の開発者に部分的に触発されている）。
　技術サポート詐欺の持続的脅威を与えられた一部のセキュリティ研究者は、彼等が愛している人々を詐欺師達がターゲットにするという間違いを犯した時に、自ら対処した。
　ユーザは常に、技術サポート用の a 1 (800) 番号に電話させようとするランダムな警告に目を光らせていなければならない、そして、ユーザは、彼等に電話させ、コンピュータをクリーンアップするためにアンチ-マルウェア ソフトを購入する必要があると主張する技術代表者の言葉に決して耳を傾けてはならない。技術サポートは、ユーザ ドリブンの行為である。ベンダによって開始されることは、まず無い。それはそれとして、あなたのコンピュータに疑わしい警告を含んでいる問題が発生したなら、その会社に直接電話し、担当者と話しをしなさい。これを実行することは、この警告がインチキであることの良い証明となるだろう。

---

Dropboxのハッキングは、インターネット上に6800万ユーザのパスワードを晒すことになった
The Guardian : tech （2016/08/31）
　人気あるクラウド ストレージ企業Dropboxがハッキングされており、6800万ユーザのeMailアドレスとパスワードがインターネット上に晒された。
　この攻撃は、2012年に実行された。その時点で、Dropboxは、ユーザのeMailアドレスのコレクションが盗まれたとレポートしていたが、同様にパスワードが盗まれていたとはレポートしていなかった。
　パスワードの流出は、このデータベースがセキュリティ通知サービスLeakbaseによって取得され、それがMotherboardに送信された時に明るみにでた。
　Have I been pwned?データ リーク データベースの独立系セキュリティ研究者でありオペレータであるTroy Huntは、データを検証し、彼と彼の妻のアカウントの詳細を発見した。
　Huntは、「このデータの漏洩が正当なDropboxのパスワードを含んでいることに疑いの余地はない。あなたは、この種のものを、でっち上げることはできない」と、発言している。
　Dropboxは、2012年以来パスワードを変更していない全てのユーザに対して先週通知を送信した。Dropboxは、この時点で、凡そ 1億の顧客を持っていたので、このデータ漏洩は、そのユーザアカウントの2/3以上に当たる。この時点で、Dropboxは、適切なユーザセキュリティ実践（パスワードの暗号化）を実施し、SHA1規格からbcryptと呼ばれるより安全な規格に暗号化をアップグレードするプロセスの途中であったかのようである。
　パスワードの半分は、盗まれた時点でSHA1で暗号化されたままだった。
　「（パスワード）を保護するbcryptハッシュ アルゴリズムは、クラッキングに対して弾力性がある。率直にいうと、最悪のパスワードが選択されている場合を除いて、全てのパスワードは、公に晒された場合でさえ安全なままである」と、「依然として、明らかに、あなたが未だ実行していないのであれば、あなたのパスワードを変更しなさい。そして、未だ二要素認証を有効にしていないのであれば、あなたがDropboxに存在している間に、必ず二要素認証を有効にしなさい」と、Huntは発言している。
　最初の漏洩は、Dropboxの従業員が、LinkdIn（パスワードを露わにされる侵害を被り、ハッカーがDropboxの共同ネットワークに入ることを可能にされた専門的なソーシャルネットワーク）で以前使用したパスワードを再使用した結果のようである。そこから、彼等は暗号化され、ソルトされた（ソルトは、復号を困難にするために暗号化の間にランダムな文字列を追加する）パスワードのユーザデータベースへのアクセスを取得した。
　Dropboxは、この時点で、かなりのユーザのパスワードをリセットしているが、この会社は、正確な数に関して発言していない。
　このハックは、強力なセキュリティ（ユーザエンドとしては、強力なパスワード、二要素認証、パスワードを再使用しないこと、そして、ユーザデータを格納している企業の両方で）の必要性を強調している。強固な暗号化が、ユーザパスワードを安全している場合でさえ、Dropboxはパスワードの再使用に巻き込まれ、この企業のネットワークに入られている。
　一流のセキュリティ エキスパートは、毎日の生活のために必要とされる様々なログインの詳細を適切に安全にするのに必要な、多数の一意で複雑なパスワードを確固たるものにするためにパスワードマネージャの使用を推奨していた。しかし、ブラウザメーカーOpera（ユーザパスワードを保管し、パスワードマネージャOneLoginと同期している）を含む企業に対する最近の攻撃は、パスワードマネージャを使用することの危険性を露わにした。
　正しいパスワードマネージャを選択することは、極めて重大であり、最初の段階では、パスワードマネージャを使用しなさい。

---

Fantom身代金要求型マルウェアは、Windows Updateを装ってファイルを暗号化する
BleepingComputer : News>Security （2016/08/25）
　Fantomと呼ばれる新しい身代金要求型マルウェアが、AVGのマルウェア研究者Jakub Kroustekによって発見された。このマルウェアは、EDA2身代金要求型マルウェア プロジェクトに基づいている。Fantom身代金要求型マルウェアは、Windowsが新しい緊急のアップデートをインストールしようとしていることを装うインチキのWindows Updateを表示する興味ある機能を使用している。けれども、バックグラウンドで、Fantomは、犠牲者の目につかないように犠牲者のファイルをコッソリ暗号化している。
　残念ながら、Fantom身代金要求型マルウェアを現在復号する方法はなく、EDA2ベースの身代金要求型マルウェアのキーを取得するための通常の方法は、この変種に関しては利用できない。この身代金要求型マルウェアを議論したい人々や、サポートを必要とする人々は、Fantom Ransomware Help Support Topic を使用することができる。

Fantomは、緊急のWindows Updateを装う

　Fantom身代金要求型マルウェアの背後にいる開発者は、その悪意ある行動を隠蔽するために、このプログラムが緊急のWindows Updateであることを装う特別な努力をしている。正当性を追加するために、この身代金要求型マルウェアのファイル プロパティは、Microsoftからと宣言し、critical update（緊急のアップデート）と名づけている。

　実行されると、以下に示したように、この身代金要求型マルウェアは、Windows Update画面を表示する WindowsUpdate.exe と呼ばれる別の埋め込まれたプログラムを解凍し実行する。この画面は、アクティブなWindowsの全てを覆い、あなたが、他の開いているアプリケーションの何れにも切り替えることを許さない。

　上のインチキのUpdate画面はまた、この身代金要求型マルウェアがバックグラウンドで犠牲者のファイルをコッソリ暗号化している時にインクリメントされるパーセンテージ カウンタを含んでいる。これは、インチキのUpdateが、インストールされているように見えるようにするために、犠牲者のハードドライブに順調に進行しているように見せかけるために提供されている。
　[Ctrl]+[F4]キーコンビネーションで、この画面を閉じることはできる。これは、インチキのWindows Updateプロセスを終了し、通常のWindows画面を表示するが、この身代金要求型マルウェアは、バックグラウンドで、あなたのファイルを暗号化することは継続する。

Fantomは、どのようにコンピュータを暗号化するのか

　Fantomのコードを解読し、幾つかの分析を提供したMalwareHunterTeamのおかげで、我々は、この身代金要求型マルウェアが暗号化を実行している方法を簡単に確認することができる。他のEDA2身代金要求型マルウェア同様に、このマルウェアは、ランダムな AES-128キーを生成し、RSAを使用して、それを暗号化し、次に、それを、このマルウェアの開発者のコマンド&コントロール サーバにアップロードする。
　次に、このマルウェアは、下に示すターゲットにしているファイル拡張子を含むファイルに関してローカルドライブのスキャンを開始し、AES-128暗号化を使用して、これらを暗号化する。このマルウェアがファイルを暗号化するとき、暗号化したファイルに .fantom 拡張子を追加する。例えば、apple.jpg が暗号化されると、ファイル名はapple.jpg.fantom になる。このマルウェアがファイルを暗号化している各フォルダに、DECRYPT_YOUR_FILES.HTML 脅迫文も作成する。
　Fantomは、暗号化が完了した時に実行される二つのバッチファイルを作成する。これらのバッチファイルは、シャドー ボリュームコピーとインチキのWindows Update実行ファイルを削除するものである。

　最後に、この身代金要求型マルウェアは、犠牲者のIDキーと、支払い指示を受けるために、fantomd12@yandex.ru もしくは fantom12@techemail.com にeMailするための指示を提供するDECRYPT_YOUR_FILES.HTML と呼ばれる脅迫文を表示する。

　私は、文法と言語選択において、私が今までに見てきた脅迫文でも最悪の一つであることから、このユーザが明らかに、英語に堪能ではないと指摘しなければならない。
　最後に、この身代金要求型マルウェアは、画像をダウンロードし、%UserProfile%\2d5s8g4ed.jpg に保存する。この画像は、以下のURLからダウンロードされる。このことは、このマルウェアの開発者の個人情報の手がかりを提供するかもしれない。

　この画像は、以下に示したようにWindowsの壁紙として使用される。

Fantomによって作成されるファイル

Fantomによって作成されるレジストリ エントリ

ネットワーク コミュニケーション

ハッシュ

ターゲットになっているファイル拡張子

---

Windows 10 のコンピュータにAmazon Kindleを装着するとクラッシュする
The Guardian : tech （2016/08/25）
　多数のMicrosoft Windows 10 ユーザが、Amazon Kindleを装着した時、コンピュータがクラッシュすると報告している。
　この問題は、最近のWindows 10 Anniversary Updateによって発生しているようである。書籍の転送やUSB経由でのデバイスの充電を試みようとしているAmazonのPaperwhiteとVoyageユーザは、彼等の様々なWindows 10 ラップトップやデスクトップが動かなくなったり、再起動を要求される羽目に陥っている。
　Pooka（トラブルシューティング フォーラムTen Forumのユーザ）は、「私はKindle Paperwhiteを数年間持っているが、これをUSBに接続しても何ら問題はなかった。しかしながら、最近のWindows 10 Updateの後、私のコンピュータは、私のKindleを差し込むと直ちに、BSOD（blue screen of death、死のブルースクリーン）を発生させ、再起動を強制する」と、発言している。
　Microsoftのフォーラムで、Rick Haleは、「火曜日、私はWindows 10 Anniversary Editionにアップグレードした。昨晩、アップグレードして初めて、私は、USB2ポートに私のKindleを装着してマウントした。即座に、QRコードの付いたブルースクリーンになった。私は再起動し、別のUSBケーブルを使用したりして数回試みたが、同じことが発生した」と、発言している。
　他のフォーラムのユーザTuscat（ヒューレットパッカードのラップトップとDellのデスクトップの両方共が、この問題の影響を受けたことを見つけた）は、「私は、息子の学級のためにKindleに幾つかのPDFを転送する必要があったので、物凄いフラストレーションがあった」と、発言している。
　この問題は、定例のWindows 10 Anniversary updateのユーザと、プレリリースされたソフトウェア テストをするMicrosoftのインサイダー プログラムの人々に影響を与えているようである。
　一部のユーザは、コンピュータに差し込んだままにしておいた場合には、Windows 10 を再起動すると通常通りKindleが現れるが、Kindleを取り外し再装着する、あるいはコンピュータを再起動した場合には、この問題は再び発生すると報告している。
　他のユーザSeanHsiは、「私のKindle Voyageを装着したい場合、私は、先にKindleを差し込み、その後に私のラップトップを起動する。例えば、コンピュータをブートする前にKindleを差し込む、あるいは、ラップトップがスリープしている時にKindleを差し込む。これで、コンピュータを起動すると、Windows 10 Anniversary Update上でもブルースクリーンを発生することなくキチンと動作する」と、発言している。
　他の人も幸運が訪れているわけではないし、このクラッシュに関する支援がないことも分かっている。一部の人は、コンピュータがスリープしているか、ブートアップしている時に、Kindleを差しこむと、Windows 10 のBSOD問題の発生なしに、使用したりチャージしたりできると提案している。正確に、Anniversary Update中の何がこの問題を発生させているのか、ユーザのフラストレーションを解決するための永続的な修正は、未だ分かっていない。
　これは、Windows 10 へのMicrosoftの最新のビッグ アップデートでの二つ目の重要課題である。このAnniversary Updateは通知の改善、Microsfot EdgeとCortanaの強化、並びに、ユーザビリティの全面変更をもたらした。これは概ね好評であった。
　しかし、これはまた、ユーザのWebcamを不能（Microsoftの所有するビデオチャット用のSkypeを使用するときでさえ実行できなくなる）にするバグをもたらした。Microsoftは謝罪し、これらの問題を修正すると発言している。この問題は、MJPEGやH.264ビデオ フォーマットのどちらかを使用している多くの人気あるWebcamに影響を与えている。この問題の修正は9月に予定されている。
　Microsoftは、コメントの求めに応じていない。

---

新しいAlma Locker身代金要求型マルウェアはRIG Exploit Kitを介して拡散している
BleepingComputer : News>Security （2016/08/22）
　Alma Lockerと呼ばれる新しい身代金要求型マルウェアが、Proofpointの研究者Darien Hussによって発見された。この身代金要求型マルウェアは、犠牲者のデータを暗号化し、5日以内に身代金 1 Bitcoinを要求する。最近多くの身代金要求型マルウェアがリリースされているが、有難いことに、それらの多くは、実装を破壊されたり、コマンド&コントロール サーバを停止させられたりしてきた。Alma Lockerは、その実装中に幾つかのバグがあるものの、最近リリースされたもので、TORコマンド&コントロール サーバで動作し安全な暗号化アルゴリズムを持つ数少ないものの一つである。
　残念ながら、現時点で、犠牲者のファイルを無料で復号するために利用可能なAlma Lockerの弱点は知られていない。そうは言うものの、私と他の者は、弱点を探し続けるだろう、あなたが、疑問やコメントを持ったのであれば、Alma Locker Ransomware Help & Support Topicに遠慮無く投稿しなさい。

Alma Lockerは、どのようにコンピュータを暗号化するのか

　Alma Locker身代金要求型マルウェアは、現在RIG Exploit Kit（サイバー攻撃大辞典へのリンク）を介して拡散している。一旦インストールされると、Alma Lockerは、暗号化されたファイルに追加するランダムな5文字の拡張子と、8文字の犠牲者IDを生成する。この犠牲者IDは、C:\ ドライブのシリアル番号と、最初のネットワークインターフェースのMACアドレスに由来している。
　Alma Lockerは、特定の拡張子の付いたファイルに関して犠牲者のドライブレターを検索し、AES-128暗号化を使用して、それらのファイルを暗号化する。ファイルを暗号化すると、この身代金要求型マルウェアは、暗号化したファイルに、事前に生成していた拡張子を追加する。例えば、犠牲者に関連付けられている拡張子が .a5zfn であれば、このファイル名が test.jpg であるとすると、暗号化されたファイルの名前は、test.jpg.a5zfn になるだろう。
　Alma Lockerによってターゲットにされているファイルは以下である。

　ファイルを暗号化している間、Alma Lockerは、以下の文字列を含むフォルダ中に配置されているファイルをスキップする。

　暗号化プロセスの間、Alma Lockerは、Base64でエンコードされた情報（AES-128秘密復号鍵、暗号化されたファイル拡張子、ユーザ名、アクティブなネットワークインターフェースの名前、システム ロケールID（LCID）、オペレーティングシステムのバージョン、犠牲者ID、Windowsに登録されているセキュリティソフトウェア、この身代金要求型マルウェアが起動した時のタイムスタンプ）を、この身代金要求型マルウェアのコマンド&コントロール サーバに送信する。
　これが終了すると、この身代金要求型マルウェアは、犠牲者のファイルに発生したことを説明する脅迫文を表示する。

　この脅迫文は、TOR身代金支払いサイトへのリンクと、復号プログラムをダウンロードするためのリンクを含んでいる。この復号プログラムが実行されると、このプログラムは、コマンド&コントロール サーバに接続し、現在の身代金額、支払いが受け取られたか否か、5日間（120時間）のカウントダウン中で残り何時間なのかのような情報を取得する。

　現時点で、120時間のカウントダウンが完了すると、身代金額がどれくらい増加するのかは分かっていない。

Alma Locker支払いサイト

　この脅迫文は、犠牲者がファイルを復号することができることを証明するために幾つかのファイルの復号を実行できるTORサイトへのリンクを含んでいる。

　残念ながら、この無料の復号は、以下に示すように、internal server errorを示すだけなので、現在動作していないことは明らかである。

Alma Locker関連ファイル

IOC

---

Windows　10　のアップデートはWebcamの動作を停止する
The BBC : Technology （2016/08/22）
　Windows 10 のアップデートが多くの人気あるWebcamの動作を停止していた。
　今月の定例アップデートは、Skypeやブロードキャストとストリーミング ビデオ用に使用されている多くのカメラを停止していた。
　この問題は、Windows 10 が、一度に複数のプログラムによって使用されることができるように、ビデオを取り扱う方法を変更したためのようである。
　Microsoftは、修正で動作するようにすると発言しているが、このパッチが利用可能になる日時は与えていない。

「拙い仕事」

　8月上旬、Windows Update 1607が配布されると直ぐに、多くの人々が、Microsoftのサポートサイトを介してWebcamの問題を報告し始めた。このトラブルは、USBケーブルを介して接続されたWebcam、もしくは同一ネットワーク上に接続されている両方のWebcamに影響を及ぼした。これは、ビデオがストリームされない、もしくは、暫く画像がフリーズすることを意味していた。
　この問題は、SkypeとLync（両社ともMicrosoftによって所有されている）でのWebcamの動作にさえ影響を与えた。
　このサポートスレッド上でのコメントは、数百万の人々が、このバグによって不便を被っていることを示している。幾つかの会社は、インターネットバンキング用にWebcamを使用している顧客が最早取引状況を確認できなくなったとするクレームをつけてきたと発言している。
　Analysisは、Windows 10 が動作するビデオ エンコーディング システムを変更したことを非難している。このアップデートは、撮影している時複数のアプリケーションがビデオを使用することを可能にしていた二つの広範に使用されていたエンコーディング システム用のサポートを終了している。このアップデートに先立って、Windows 10 は、一つのアプリケーションだけがストリームにアクセスできるようにしていた。
　このサポートスレッドでクレームに対応しているMicrosoftのカメラ・エンジニアは、Microsoftが人々に変更を知られてしまう「拙い仕事」をしたと発言している。
　「我々はヘマをしたので、私は、貴方がた全てに謝罪を申し出たい」と、彼は発言している。
　彼は、Microsoftが、この問題を修正する方法を作業中なので、再びWebcamは動作すると追加している。この修正は、多分9月にリリースされるだろう。
　Microsoftは、この問題に関する公式のコメントを未だリリースしていない。
　Microsoftがアップデートを取り扱う方法を変更したことはまた、この問題の修正をより困難にしているかのようである。Update 1607に先立って、Windows 10 ユーザは、それをインストールしてから30日以内に元のバージョンに戻すことができた。このアップデートは、人々がWebcamが動作していた早期のWindows 10 のバージョンに戻すには、殆どチャンスのない10日にしていた。

---

Cerber身代金要求型マルウェアの開発者は、Check Pointの復号サービスを打ち負かす変更を実行した
BleepingComputer : News>Security （2016/08/18）
　僅か一日で、Cerber身代金要求型マルウェアの背後にいる開発者は、犠牲者のファイルを無料で復号するCheck Point Softwareの復号サービスをブロックするように変更を行った。同時に、このCerber開発者は、彼等の支払いシステムにログイン用のキャプチャを追加した。このキャプチャは、彼等のサーバの欠陥の利用を自動化できないようにするものである。
　残念ながら、これは、CerberDecrypt.com サイトへの訪問者が、復号キーを取得することが可能であった有用なフォームに歓迎されないことを意味しており、このサービスは最早利用可能ではないと述べている。

　Check Pointが、Cerberのバージョン 1 と 2 を復号可能とアナウンスした時、我々は、Check Pointがマスター復号キーを手に入れたと思っていた。我々は間違っていた。Check Pointの方法は、身代金要求型マルウェアのコマンド&コントロールサーバ中の脆弱性を利用していたことはほぼ間違いない。
　私は、この開発者による何らかの変更やメッセージが存在するか否か確認するために、Cerberの支払いサイトに着目し、新しいキャプチャ システムに気がついた。このキャプチャ システムは、手描きの顔のようなもので満たされており、あなたは一致する顔を選択する必要がある。私が、これをテストした時、認証される前に、三つのステージを完了する必要があった。
　このCerberキャプチャシステムは、以下である。

　この新しいキャプチャは、本日追加されたのは、Check Pointの自動化されたサービスを妨げるために実装されたのではないかと、私は推測している。これはまた、このフローが依然としてアクセス可能であるので、キャプチャによって妨げたのか、単なる追加のセキュリティ機能なのか、分からないでいる。残念ながら、Check Pointは、彼等が使用したこの脆弱性を明らかにしていないので、彼等だけが、これを確かめることができる。

---

巨大な身代金要求型マルウェアのキャンペーンが、米国と日本の病院を攻撃していると、FireEyeが警告している
The Register : Security （2016/08/18）
　FireEyeの研究者Ronghwa Chongによると、危険で未だ打ち負かされていないLocky身代金要求型マルウェアが、巨大な数の攻撃を米国と日本の病院に浴びせている。
　Lockyは、身代金の支払い、もしくは、犠牲者のデータを損失させることをユーザに強制させるために、ファイルを暗号化するよく知られている身代金要求型マルウェアの変種である。
　今月既に、健康部門は、むき出しのLocky身代金要求型マルウェアのフィッシング攻撃の巨大なスプレーで、益々打たれている。
　「8月中ずっと、FireEye Labは、Locky身代金要求型マルウェアを拡散する幾つかの巨大いなeMailキャンペーンを観察していた」と、Chongは発言している。
　「このキャンペーンは、様々な産業に影響をあたえるが、我々の遠隔測定に基づくと医療産業が最も激しく攻撃されている。」
　「Locky身代金要求型マルウェア ダウンローダの量は、増加中であり、このキャンペーンに使用されているツールとテクニックは恒常的に変更されている。」
　Chongは、この活性化がLocky用のDridexトロイを変更するペイロード（【訳注】 一つのミサイルに搭載できる爆発物の総量を意味する言葉です。マルウェアに適用すると、一つのマルウェアが搭載できる悪意の総量くらいの意味になります）をスワップして来たためであるように思われると発言している。
　FireEyeが数字を示しているように、8月09と11日の巨大な攻撃と、小さめではあるが依然として大きな月曜日のフィッシング攻撃で、マルウェアの荷送人は、LockyをバンドルするためにJavaと決別し、添付ファイルをDCOMフォーマットに変更している。

　各eMailは、コマンド&コントロール サーバから犠牲者のマシンにLockyをダウンロードするために使用される一意のキャンペーンコードを持っていると、Chongは発言している。
　「これらの最新のキャンペーンは、eMail添付ファイルを開くときには、ユーザが注意しなければならないし、それらが感染のリスクを実行し、営業活動を破壊する可能性があることを思い起こさせる。」　先月、Lockyは、第二四半期においてeMailベースマルウェアで首座を奪い、Dridexを追い越した。
　セキュリティ企業Proofpointは、第二四半期において、悪意あるドキュメント添付ファイルを使用した69%のeMail攻撃が、Locky身代金要求型マルウェアを主役にしていた（第一四半期では24%）。
　これは、Lockyが、犠牲者と羊の皮を被った狼の間のコミュニケーション トラフィックを覗いてホワイトハットを止めるために、Pretty Good Privacy（【訳注】 メールの暗号化に使用されている暗号化プログラム）暗号化を使用することを可能にするようにLockyのアップグレードによるものである。
　Lockyはブラックハットだけのツールではない。セキュリティのIvan Kwiatkowskiは、ペテン師達が彼の両親から金品を巻き上げようとした後、このインドのテクニカルサポート ペテン師のコンピュータを感染させるためにLockyを使用した。

---

Check Pointが、Cerber身代金要求型マルウェア用の復号プログラムをリリースした
BleepingComputer : News>Security （2016/08/16）
　Cerber身代金要求型マルウェアに感染し、身代金を支払わないことを決定した人々のために、我々は素晴らしいニュースを得た。本日、Check Pointは、Cerber身代金要求型マルウェアのバージョン 1 と 2 用の復号サービスをリリースしたので、犠牲者は、復号キーを取り戻し、彼等のファイルを無料で復号することが可能になった。この身代金要求型マルウェアによって暗号化されたファイルタイプは、末尾に .CERBER と .CERBER2 拡張子を持っている。

　現時点で、Check PointがCerberファイルをどのように復号できるようにしたのかは未知であるが、彼等が、暗号化アルゴリズムの脆弱性を発見したのではなく、Cerberバックエンドへのアクセスに基づき、マスター復号キーを取得することができたものと思われる。このマスター復号キーを使用することで、彼等は、アップロードされた暗号化されたファイルから犠牲者の一意のキーを抽出することができる。

.CERBER と .CERBER2 ファイルを復号する方法

　このサービスを使用するには、犠牲者は、CerberDecrypt.comサイトを訪問し、1MB以下の暗号化された .CERBER もしくは .Cerber2 ファイルを アップロードしなければならない。このファイルをアップロードすると、Check Pointは、あなたのコンピュータに関連付けられている秘密鍵を抽出し、それをダウンロードできるようにする。犠牲者は、pk と名付けられた秘密鍵ファイルと復号プログラムを同じフォルダにダウンロードしなければならない。
　犠牲者が二つのファイルをダウンロードしたら、復号するためのファイルに関してコンピュータのスキャンを開始するために、この復号プログラムをダブルクリックする。

　このCheck PointのCerber復号プログラムは、暗号化されたファイルに関してコンピュータをスキャンし、それらを復号する。このネットワーク上の暗号化されたファイルが検出されたことを示すユーザインターフェイス中に、バグがあることが明らかになっていることに注意しなさい（ネットワークに接続していない人々の場合でさえ）。このバグは無視して差し支えない。
　あなたのファイルの復号が終了すると、犠牲者は、ディスクが復号されたと宣言するメッセージを表示される。臨時ボーナスとして、この復号プログラムは、Windowsデスクトップに配置されていない、あらゆる脅迫文を削除する。

　犠牲者のファイルは、これで復号されたはずである。

---

善意に基づくコンピュータのハッキングは、Windowsユーザ アカウント コントロールをログビューア データに表示した
The Register : Security （2016/08/16）
　Windows中のユーザ アカウント コントロール機能は、研究者Matt Nelsonによって、ターゲットマシンに .DLL を植え付けることさえせずに穴を開けられた。
　この投稿において（警告、大変難解）、Nelsonは、、レジストリプロセスをハイジャックする、PowerShellを起動する、コマンドを実行することで、Windowsイベント ビューアーを悪用できることを発見した。
　Matt Graeberとの作業で、Nelsonは、ターゲット システムを欺いて信頼性の高いプロセスとしてPowerShellを実行することができた（この概念の実証で「犠牲者」を効果的にp0wningしている）。そして、ターゲットに密告ファイルを残す必要なしにPowerShellへのアクセスを取得した。 　以下に、このハックが実行された方法を掲げる。 　概念の実証はGitHubに存在している。
　攻撃者は、このバイパスが動作するように既にセキュリティ侵害された犠牲者のマシンを必要とするだろうと、NelsonはThreatPostに告げている。
　システム上に悪意あるファイルを置く必要なしに動作するだけでなく、Nelsonは、彼の攻撃が、（セキュリティ ソリューションが気がつくかもしれない）如何なるプロセスも挿入することなく動作することを注意している。そして、「代わりにメモリでコードを実行するために既存の信頼されるMicrosoftバイナリを単純に使用することが可能である」ので、要求される特権ファイル コピーは存在しない。
　Nelsonは、PoC（Proof-of-Concept、概念の実証）がWindows 7 と Windows 10 でテストされたが、多分、UACを実行しているあらゆるWindowsで動作するだろうと発言している。彼は、UACを「常に通知する」に設定するように、そして、もちろん、現在のユーザを管理者として実行しないように提案している。

---

Windows認証リーク フローと、これを防御する方法を理解する
BleepingComputer : News>Security （2016/08/05）
　今週、訪問者のWindowsログイン名とパスワードへのアクセスをカンタンに取得するために、Webサイトによって使用可能なWindowsのフローに関する多くのニュースがあった。私が、このフローをテストした時、このフローは、完全な恐怖であった。このフロー用のテストサイトを使用してみると、このサイトは、私のテスト用のMicrosoftアカウント ログイン名と、そのパスワードのハッシュを数秒で取得することが可能であった。次に、このサイトはパスワードのクラックに30秒と掛からなかった。更に恐ろしいことには、このフローは新しいものではなく、1997年03月に発見されていたことである。

　このフローに関するニュースは、最近、VPN企業Perfect PrivateとValdikSS（ロシアのVPNサービスProtoVPNに属している）によって再び報告された。彼等は、訪問者が影響を受けるか否か、パスワードを変更しなければならないか否かを決定することができるように、このフローをデモするテストサイトをセットアップした。私は、このようなテストで彼等がどのような情報を保持しているのか分からないので、彼等が、あなたの情報を検出可能であったのであれば、あなたのパスワードを変更するだろう。あなたが、このフローに対する脆弱性があるのか否か、テストするために使用できるWebサイトは以下である。

　過去において、このフローは深刻であったが、多くの人々がWindows 10を使用しMicrosoftアカウントでログインしている現在、極めて危険なものになっている。Microsoftアカウントの使用で、インターネットで使用される認証は、現在、このフローを介してより簡単に露出される。更に、大変多くのユーザが、他のサービスを実行するとき、その認証に、彼等のMicrosoftアカウントを常用してしているので、ハッカーは、犠牲者が使用している多くの他のサイトへのアクセスを取得する可能性がある。これは、犠牲者のeMailアカウント、銀行口座、政府勘定、業務用顧客等がセキュリティ侵害される可能性があることを意味している。
　このバグは、ユーザがファイルにアクセスするためにリモートSMB共有ネットワークをなんとか取得しようとすることによって動作する。あなたが、SMB共有に接続した時、Windowsは、その共有に自動的にログインしようとして、あなたのユーザ名とハッシュされたパスワードを自動的に送信する。この問題は、この共有がネットワークやインターネットがOFFになっている場合でさえ、これが発生するということである。これで、この問題が分かっただろうか？
　本質的に、攻撃者が実行する必要のある唯一のことは、彼等の制御下にあるSMBサーバ上にホストされた画像へのリンクを含むWebページを作成することである。次に、彼等は、このサーバに対して渡された認証をモニターし、次に、明らかにされたパスワードハッシュをパスワード クラッキング プログラムで実行することができる。多くの人々が極端に脆弱なパスワードを使用しているために、これらのプログラムは、恐ろしく簡単にパスワードをクラックすることができる。先述した数秒とは、脆弱なパスワードが4秒以内にクラックされたということを、私は意味している。

　残念ながら、Microsoftは、このフローに関するアドバイザリをリリースしていない。私と他のサイトがMicrosoftに尋ねた時、我々全員同じ内容の対応を得た。

　残念ながら、このフローを軽減するための多くの適切な情報は世の中に存在していない。Microsoftは私が作業できる有用な情報を実際には何ら提供していない。Perfect Privateは、Microsoft Edge と Internet Explorerから極力離れるようにアドバイスしている。私は、適切な方法があることを認識した。私は、探しまわった、そして、この情報が漏洩されることを防ぐ幾つかの方法を発見した。

EdgeとInternet Explorerがログイン情報を明らかにすることを妨げるには

　以下は、Windowsとアプリケーションが、リモートサーバにログイン認証を明らかにすることを妨げるためにユーザが使用できるテクニックである。Windowsのあらゆるアプリケーションが、あなたの認証を明らかにすることを妨げるには、リモートサーバに対してアウトゴーイングNTLMトラフィックを無効にする特定のWindowsポリシーを設定する必要がある。Windows Homeユーザに関しては、これらのポリシーは、レジストリを介して設定する必要がある。Windows Pro以上のユーザは、グループ ポリシー エディタを介してこのポリシーを設定することができる。
　あなたが、このポリシーを有効にすると、NTLMトラフィックは、リモートサーバに対して送信されない。そして、これは、企業や共同環境で問題を発生する可能性がある。この問題を解決するには、あなたは、この制限に例外を追加することを可能にする別のポリシーを設定することになる。詳細な情報は、このセクションの後の方で発見されるだろう。

NTLM認証をリモートサーバに対して送信されることを防止するためにWindowsレジストリを使用する

　あなたがWindows Homeを使用しているのであれば、必要なWindowsポリシーを追加するためにグループ ポリシー エディタにアクセスする必要はない。代わりに、あなたはWindowsレジストリを介してそれらを追加することになる。Windowsレジストリ エディタを使用したくない人々のために、私は、NTML認証を、リモートサーバに対して送信することを無効にするために使用することのできるレジストリファイルを、こちらに作成した。あなたがサーバ例外を追加する必要があるのなら、以下の指示に従う必要があるだろう。
　これを実行するには、C:\Windows\regedit.exe プログラムを起動することで、Windowsレジストリ エディタを開きなさい。次に、以下に示したように、こちらのパス（HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\MSV1_0）に移動する。

　此処で、上に示したように MSV1_0 キーを右クリックし、新規作成、次にDWORD（32-bit）値を選択する。新しい値が作成され、Windowsは、以下に示したように、これに名前をつけることを促してくる。

　RestrictSendingNTLMTrafficと入力し、キーボードのEnterキーを押して名前付けを終了する。あなたは今、MSV1_0 キーの下にRestrictSendingNTLMTrafficと名付けられた新しいレジストリキーを確認できるはずである。ここで、RestrictSendingNTLMTraffic値をダブルクリックし、この値のためのデータを入力するダイアログを表示する。

　Value dataフィールドに、2 を入力する。これは、全てを拒否することを意味している。次に、OKボタンを押す。Windowsは最早NTLMトラフィックをリモートサーバに対して送信しない。あなたが他の認証リーク テストを実行したなら、そのテストは、最早脆弱性が存在していないと宣言するはずである。

　これで、Windowsレジストリ エディタを終了し、通常通りコンピュータを使用することができる。
　あなたが、特定のリモートサーバが、このコンピュータからのNTLMトラフィックを受け取ることを可能にする必要があるのなら、あなたは別のレジストリキーを作成する必要がある。今までの指示を使用して、あなたは、HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa\MSV1_0\ に ClientAllowedNTLMServers と呼ばれる新しい値を作成することになる。この値を作成するとき、MultiString Value もしくは REG_MULTI_SZ として、この値を作成しなさい。
　そのデータを入力するために、この値の上をダブルクリックすると、ボックスが表示されるので、テキストを追加することになる。表示されたボックスに、あなたがNTLMトラフィックを送信することを許可したいサーバの名前を追加する（夫々独自の行で）。

NTLM認証をリモートサーバに対して送信しないようにするためにグループ ポリシー エディタを使用する

　Microsoft EdgeとInternet Explorerが、あなたのアカウント認証をリークすることを防止するには、Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers（ネットワーク・セキュリティ： NTLM制限： NTLMトラフィックをリモートサーバに出力する）と呼ばれる特別なポリシーを有効にする必要がある。このポリシーは、SMB共有にアクセスする時、Windowsがリモートサーバに認証を送信することを妨げる。私のコンピュータでのテストでは何の問題もなかったが、これは共同環境では問題を発生させる可能性がある。それ故、この変更を生成する前にテストを実行しなさい。私が以下に説明する別のポリシー（あなたが特定のサーバをホワイトリストすることを可能にすることで、認証は通常通り送信される）がある。
　このポリシーを有効にするには、グループ ポリシー エディタを開き、以下に示すように、Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options > Network security: Restrict NTLM: Outgoing NTLM traffic to remote servers に移動しなさい。

　このポリシーを有効にするには、Network security: Restrict NTLM: Outgoing NTLM traffic to remote serversをダブルクリックし、以下に示すように Deny all に設定する。あなたはまた、あなたが、どのリモート サーバに認証を送信しているのかを示すWindowsイベントログを生成するために Audit All を選択することもできる。これは、この記事で後述する別のポリシーでホワイトリストを作成するために使用される。

　これで、あなたはアウトゴーイング NTLMトラフィックを規制したので、Windowsは最早、あなたのNTLM認証をリーモート共有に送信することはない。あなたは、この記事で先述した認証リークテストサイトの一つを訪問することによって、これをテストすることができる。このサイトは、このコンピュータには脆弱性が存在しないと告げてくるはずである。

　認証をリモートサーバに対して送信する必要のある人は、このポリシーを有効にするを通じて特定のサーバをホワイトリストに追加しなさい。グループ ポリシー エディタを開き、以下に示したように、Computer Configuration > Windows Settings > Security Settings > Local Policies > Security Options > Network security: Restrict NTLM: Add remote server exceptions for NTLM authentication に移動しなさい。

　このポリシーを有効にするには、Network security: Restrict NTLM: Add remote server exceptions for NTLM authentication をダブルクリックし、あなたがホワイトリストに希望するサーバを追加しなさい。この設定は、通常通り、認証はこれらのサーバに送信することを許可する。

　あなたのコンピュータは、NTLM認証リークから、これで保護され、同時に、必要なときにリモートSMBサーバを使用することができる。
　Internet ExplorerでインターネットWindows認証は無効化された。

---

Avastアンチウィルス アップデートの下でWindows 10 アニバーサリ アップデートはクラッシュする
The Register : Security （2016/08/09）
　Avastは、一部のシステムでWindows 10 をクラッシュさせるアップデートによって発生する「死のブルースクリーン」を取り去る緊急の修正をリリースした。
　このパッチされたパッチは、Intel Skylake Virtualization Technology マシン上のWindows 10 アニバーサリ アップデートとのコンフリクトによって発生するカーネルパニックを修正している。
　新しく、もしくは既存のAvastがインストールされている一部のマシンに送信されたMicrosoftのアップデートは、8月02日から「死のブルースクリーン」のスパイラルを発生させているが、ほとんどのユーザは影響を受けない。
　Avastの品質管理部長Petr Chytilは、ドライバ設定が予期しないクラッシュを発生させたと発言している。
　「我々の大多数のユーザは問題を持っていないが、特定のハードウェア構成は、このアップデートと上手く混在しない」と、Chytilは発言している。
「具体的に言うと、Windows 10 アニバーサリ アップデートは、BIOSで有効にされているIntel TVの付属するSkylakeファミリーのIntel CPU上の我々のaswvmm.sysドライバと結合する、その結果、『死のブルースクリーン』に帰結した」
　「これは、Windowsの以前のバージョンから、Windows 10 アニバーサリ エディションにアップグレードしている間に、そして、既にアニバーサリアップデートを実行しているシステム上にAvastアンチウィルスのクリーンインストールをしている間に発生する。」
　彼は、フォーラムで「死のブルースクリーン」を報告したユーザに感謝している。最終のパッチは、8月05日にリリースされた。
　「死のブルースクリーン」クラッシュは、アンチウィルス エンジンのお気に入りの道楽である。殆ど全てのアンチウィルスは、ユーザにカーネルパニックを配布している。

---

Windows 10アニバーサリ アップデートに、他のパーティションを削除する可能性
OMG! Ubuntu! : News （2016/08/03）
　ギャー、あなたのPCで、Windows 10 アニバーサリ アップデートを計画しているのであれば、特別な注意を払わなければならないかもしれない。
　MicrosoftのOSの最新バージョンは、このOSを望んでいないユーザにWindows 10を強制するという内容ではない注意問題を持っており、他のオペレーティングシステムを完全に殺すという思い切った措置さえ取っているかのようである。
　現在、例え逸話的であろうとも、ソーシャルメディアで浮上してきている報告は、Windows 10アニバーサリが、同じディスク上の他のパーティションに干渉し、影響し、削除する場合さえあるかもしれないことを示唆している。
　USBドライブに接続している内容が削除されたと不満を漏らしている者もいる。
　これらの情報が正確なら、様々な異なるファクターが、これらのケースにおいて作用しているかもしれない。これは大変ショッキングなシチュエーションである。
　アップデートの欠陥のあるブートローダーは、一つのことである（予期されていた）が、データの損失、パーティション全体の損失は思いもよらなかった。
　以下に特集したツイートしている一部の人々は、奇妙な言語で助言しているので、作業に潜在的危険があるかもしれない（あなたはデータのパーティション全体を失う可能性を予期しておかなければならない）。

H5Sのtweet　2016/08/03-6:44AM

Alan PopeのTweet　2016/08/03-9:23PM

Tamer ElsayedのTweet　2016/08/03

Tamer ElsayedのTweet　2016/08/03-9:06PM

　このレポートされている問題に関してMicrosoftからの公式の説明はない。これらの問題は、個別の問題の可能性もあるし、特定のセットアップ固有の問題かもしれない。
　あなたは、Linuxディストリビューションと並行してWindows 10アニバーサリ アップデートをインストールしたか？　何か影響があったか？　あなたの話を我々に知らされたい。
　OMG！ Ubuntuのフォロワーの一人二人が、不機嫌ではあるがユーモアのあるサポートアドバイスを素早く提供してくれた。

OMG! Ubuntu!

Dmitri Goosens　2016/08/03-9:36PM

---

Lockyの変種Zepto身代金要求型マルウェアがWSFファイルを介して拡散している
BleepingComputer : News>Security （2016/08/01）
　ここ一週間程に渡り、Zepto身代金要求型マルウェアと名付けられたLockyの変種に関する新たな拡散キャンペーンが進行中である。今まで、Zepto身代金要求型マルウェアのインストーラは、ZIP圧縮されたJSファイルを使用して拡散している。現在、このインストーラは、バンキング レポート、請求書、発送先情報を装うeMail中のZIP圧縮されたWSFファイルとして送信されている。

WSF（Windows Script Files）ファイルは、Windows Script Hostによって実行されるファイルであり、同一ファイル中に複数の言語を使用したコードを含むことができる。ZeptoキャンペーンはWSFファイルを使用しているが、私が確認した添付ファイルは、この身代金要求型マルウェアをダウンロードしインストールするためのJscriptコードをだけを使用していた。
　この身代金要求型マルウェアがインストールされると、あなたの全てのデータファイルを暗号化し、それらをリネームするので、もはや、オリジナル名は認識されず、.zept拡張子を含むことになる。暗号化されたフォルダの例を以下に示す。

　残念ながら、この時点で、無料でZepto / Locky 暗号化されたフォルダを復号するための方法は存在していない。

---

Chimera身代金要求型マルウェアの復号キーが、Petya開発者によってリリースされた
BleepingComputer : News>Security （2016/07/26）
　MischaとPetya身代金要求型マルウェア背後の開発者は、Chimera身代金要求型マルウェア用の約3500の復号キーをリリースした。これらのキーは、16進数フォーマットであるが、通常フォーマットに変換することができ、セキュリティ企業や専門家による復号プログラムで使用することができる。

　Chimera身代金要求型マルウェアは、もはや活動していないし、Chimera復号プログラムを作成するために、これらのキーを使用するだろうと宣言した者もいないが、わたしは、誰かが直ぐにリリースするだろうと期待している。
　Petya開発者によると、Mischaは、Chimera身代金要求型マルウェアのソースコードの一部を使用しているが、他には、この身代金要求型マルウェアとの提携はない。この開発者によると、ある時点で、彼等はChimera開発システムへのアクセスを取得した、そして、彼等独自のプロジェクト中にChimeraのコードの一部を使用した。
　彼等がアクセスを取得している間に、Chimeraのコードと共に復号キーも取得しているだろう。復号プログラムがリリースされたら、我々は、ここBleepingComputerで必ず皆に知らせる。

---

Stampado身代金要求型マルウェアは、キャンペーンを始める前に復号された
BleepingComputer : News>Security （2016/07/22）
　Stampadoが、Webの闇で僅か39 USDで販売されていることが発見されたが、利用可能なサンプルはなかった。私は本日、VirusTotal上にStampadoの二つのサンプルを見つけた。これらのサンプルがライブ拡散キャンペーンからのものなのか、配布者 / 開発者が、セキュリティプログラムによって、どのくらい検出されるのかテストするために登録したのか定かでない。面白いのは、Fabian Wosarによって既に復号プログラムが作成されているので、これらのサンプルは全く重要ではなかったことである。

　けれども、我々が認識していることは、Stampadoが完全に機能的であり、AutoITスクリプト言語で記述されていることである。インストールされると、このマルウェアは犠牲者のファイルをAES暗号を使用して暗号化し、次にファイルを取り戻すための身代金を要求する。私が発見した二つのサンプルは、kek.exeとWifiHack.exeと名付けられていた。この時点で、身代金額は現在未知であり、犠牲者は、支払い指示を得るために指定されているeMailアドレスにメールする必要がある。

Stampadoによって暗号化されたファイルの復号方法

　EmsisoftのFabian Wosarは、Stampadoのサンプルを解析し、この感染用の復号プログラムを作成している。Fabianの復号プログラムを使用するには、そのプログラムを、こちらのURL： https://decrypter.emsisoft.com/stampado からダウンロードする。ダウンロードしたら、この復号プログラムを実行する。ロックスクリーンに表示されている、あなたのIDとeMailアドレスを入力する必要のあるオプション画面が表示される。

　要求されている情報を入力すると、あなたはDecrypterタブに戻され、あなたのファイルの復号を開始する。

　復号プログラムが復号を終了したら、このプログラム終了する。

StampadoがJigsawと関係している可能性

　弱い可能性ではあるが、JigsawとStampado身代金要求型マルウェアの間には幾つかの面白い相関関係がある。
　Stampadoの不快な「機能」の一つが、ロシアン・ルーレット（6時間毎に暗号化されたファイルをランダムに削除する）である。このルーレットのカウントダウンが 0 になる度に、削除されるファイルの量は二倍になる。これは、カウントダウンの間にJigsaw身代金要求型マルウェアによって展示されるファイル削除の増加挙動と同じである。身代金要求型マルウェアにおけるファイル削除は非常に稀なので、二つの身代金要求型マルウェア間に同じ挙動を確認したことは興味あることである。
　偶然に一致して、Michael Gillespieは、eMailアドレス stampado@narod.ru を含むJigsawの変種を昨日発見している。偶然の一致か否か？

　大事なことを言い忘れていたが、Stampadoは、Jigsawと同じWebの闇サイトで販売されている。確かに、贔屓目に見ても、これらの関係性は弱いものであるが、私は、このことに言及することは、価値あるものだと感じている。

Stampadoが、犠牲者のファイルを暗号化している方法

　Stampadoがインストールされると、それ自身を %AppData%\scvhost.exe にコピーし、犠牲者の %UserProfile% フォルダの下に発見された特定のファイルタイプをAES暗号化を使用して暗号化する。ファイルを暗号化すると、暗号化したファイルに .locked 拡張子を追加する。これは、test.jpg と呼ばれるファイルが、test.jpg.locked と名付けられることを意味している。Stampadoによって現在ターゲットにされているファイルは以下である。 　暗号化プロセスの間に、Stampadoは、%AppData% フォルダに32文字の16進数の名前を持つ二つのファイルを作成する。このファイルのうちの一つは、暗号化されたファイルのリストを格納するために使用され、もう一つは、この身代金要求型マルウェアによって使用されたステータス情報を含んでいる。
　暗号化が終了すると、Stampadoは、犠牲者を関連付ける一意のIDと、支払い情報を取得するために必要なeMailアドレスを含むロック スクリーンを表示する。この身代金要求型マルウェアによって使用されている現在のeMailアドレスは、ransom64@sigaint.com と paytodecrypt@sigaint.org である。犠牲者は、支払い指示に関して関連付けられているeMailアドレスにメールするように告げられる。そして、支払いが実行されると、犠牲者は、ファイルを復号するためにロック スクリーン中に入力するためのキーを受け取る。

　このロック スクリーン上に、Next Russian Roulette file deletion と Time until total loss と名付けられたタイマーがある。ロシアン・ルーレット カウントダウンが、0 になると、ランダムに選択された暗号化されたファイルが削除される。Russian Roulette（ロシアン・ルーレット）カウントダウンが 0 になる度に、暗号化されたファイルが削除される量は、二倍になる。Time until total lossタイマーが 0 になると、そのコンピュータ上の暗号化されたデータの全ては、削除されているだろう。
　既に述べたように、復号プログラムが既に作成されているので、Stampadoに身代金を支払う必要はない。

Stampado身代金要求型マルウェア関連ファイル

Stampado身代金要求型マルウェア関連レジストリ エントリ

IOC

---

AVGが、Bart身代金要求型マルウェア用の復号プログラムをリリースした
BleepingComputer : News>Security （2016/07/21）
　AVGは、ファイルをパスワードで保護されたZIPファイル中に格納するBart身代金要求型マルウェア用の復号プログラムをリリースした。Bart身代金要求型マルウェアは、DridexとLockyの背後にいる同一の動作主体によって作成されており、コマンド&コントロールサーバーとコミュニケーションすることなく犠牲者のデータをパスワード プロテクトする。これは、そのコンピュータがインターネットに接続していない場合でさえ、この身代金要求型マルウェアが、犠牲者のファイルをパスワード プロテクトすることを可能にする。
　AVGの復号プログラムの使用は大変簡単であるが、犠牲者にパスワード プロテクトされたZIPフォーマット中のファイルと、同一のオリジナルのファイルの両方を要求する。AVG復号プログラムは、これら二つのファイルを比較し、そのZIPファイル用のパスワードを総当りする。例えば、この復号プログラムを使用するために、私は、Windowsのサンプル画像 desert.jpg と、Bartで zip された比較対象 desert.jpg.bart.zip を使用した。
　私が通常実行していることは、デスクトップにフォルダを作成し、比較に使用されるサンプル（【訳注】 オリジナルと、パスワードでZIPされたものの二つ）を、以下に示すように同じフォルダに配置することである。

　二つのサンプルを手にしたら、Bart復号プログラムをダウンロードし、実行する。あなたが、以下に示すオリジナルとZIPされたファイルが要求されるページに至るまでは、この復号プログラムの指示に従う。

　上の画面で、暗号化されたファイルとオリジナルのファイルを選択し、AVG Bart復号プログラムがZIPされたファイルのパスワードを試し、総当りする場所に至るまで Next ボタンをクリックし続ける。パスワードを総当りすることが可能になると、以下に示す画面が表示される。この復号ツールは、正しいパスワードを発見するには数日かかると述べているが、私のテストでは、51秒しかかからなかった。

　パスワードが発見されたら、ハードドライブ上のファイルの復号を開始するために、Next ボタンをクリックし続ける。ファイルの解凍が終了すると、この復号プログラムを閉じることになる。

　この復号プログラムをリリースしたAVGに多大な感謝を捧げる。

---

BloodDollyによって、ODCODC身代金要求型マルウェアの復号プログラムがリリースされた
BleepingComputer : News>Security （2016/07/20）
　ODCODC身代金要求型マルウェアによって暗号化された犠牲者のファイルを無料で取り戻すことを可能にする復号プログラムが、身代金要求型マルウェアのエキスパートBloodDollyによってリリースされた。コマンド&コントロールサーバーは、もはや利用できないにも拘わらず、多くの身代金要求型マルウェアの犠牲者は、身代金を支払うことなく、復号プログラムが作成されることに希望を持って暗号化されたファイルを持ちづつけていた。今、これらの犠牲者は、ファイルを取り戻すためにBloodDollyの復号プログラムを使用することができる。
　ODCODC身代金要求型マルウェアの影響を受けている人々は、こちらのリンクからODCODC復号プログラムをダウンロードできる。ダウンロードしたら、ZIPファイルを解凍する。次に、進め方についての説明をしてある readme.txt ファイルを読みなさい。

　BloodDollyの readme.txt での説明として、ODCODCは、それが暗号化している夫々のハードドライブ パーティションに関してコマンド&コントロールサーバーから一意のキーをダウンロードしようとする。このマルウェアがコマンド&コントロールサーバーに接続できない場合、このマルウェアは、代わりに、それらがオフラインである間に、犠牲者のファイルを暗号化できる200の固定暗号化キーの一つをランダムに選択する。
　犠牲者は、readthis.txt脅迫文中に指定されているPCIDに注目することによって、攻撃者がオフラインキーを持っているのかオンラインキーを持っているのか決定することができる。このPCIDがJANKO-16098513X1781のようにXを含んでいるのであれば、オフラインキーが使用されている。この復号プログラムは、組み込みのキーを使用してファイルを復号することができる。
　他方、PCIDがJANKO-L3710254317のように X を含んでいないのであれば、BloodDollyは、暗号化されたファイルを使用して、キーを再現することができる。キーを再現するために、BloodDollyは、暗号化されたファイルとオリジナルのファイルのペア、もしくは暗号化された .doc, .xls, .ppt（.docx, .xlsx, .pptx 等ではない）ファイルの何れかを必要とする。BloodDollyは、これらのファイルを彼に送信する方法に関する指示も含んでいる、こちら。
　適切なキーが決定されると、ユーザはODCODC復号プログラムを単純に実行することで、犠牲者のファイルは復号される。BloodDollyは、復号する前に暗号化されたファイルのバックアップを取るように、そして、全ドライブを復号をする前に、幾つかのファイルで復号テストするように推奨している。

　私とODCODC身代金要求型マルウェアトピックにおける人々のテストでは、ODCODC復号プログラムは、暗号化されたファイルを首尾よく復号することが可能であった。このツールをリリースしたBloodDollyに感謝する。

---

Petya身代金要求型マルウェアの新しいバージョンが、暗号化アルゴリズムを修正してリリースされた
BleepingComputer : News>Security （2016/07/18）
　Petyaディスク暗号化身代金要求型マルウェアの新しいバージョンが、その暗号化アルゴリズム中の幾つかの欠点を発生させていたバグを修正してリリースされた。Malwarebytesのセキュリティ解析者Hasherezadeによると、Petyaの今までのバージョンは、Salsa20暗号化アルゴリズムを適切に実装していなかった。これは、ドライブを暗号化するために、正しい身代金用のキーが入力されたことを検証するために、この身代金要求型マルウェアによって使用されていた。
　この新しいバージョンでは、Petya開発者のSalsa20アルゴリズム実装は修正されている。これは利用可能な弱点を削除している。
Petyaが依然としてPDFファイルを装うとしていることは明らかであるが、この身代金要求型マルウェアが拡散している方法や、これがどのようなファイル名を使用しているのかは定かでない。今までのバージョンのように、インストールされると、Petyaは、ディスク暗号化ツールをインストールするために、管理者権限取得しようとする。失敗した場合には、代わりに身代金要求型マルウェアを暗号化するMischaファイルをインストールする。

Petyaが今までのバージョンのように拡散しているのであれば、企業の人事部は、とりわけドイツ企業、Bewerbungsmappeのような名前を持つ履歴書を、あなたにダウンロードすることを要求するあらゆる申込者に対して用心深くなければならない。過去、この方法は人々を欺き、Petyaインストーラを実行するために使用された。

---

AVG, Symantec, McAfeeのセキュリティ製品中にフローが発見された
The Register : Security （2016/07/20）
　数百のセキュリティ製品は欠陥のあるコードフッキングの使用のおかげで、仕事になっていないかもしれないと、研究者達は発言している。
　この研究は、EnSiloの二人組Udi YavoとTommer Bittonの手仕事である。彼等は、来月のBlack Hat Las Vegasカンファレンスでの彼等のプレゼンテーションに先立って、アンチウィルスとWindowsセキュリティ ツール中のバグを顕にした。
　この二人は、AVG, Symantec, McAfeeの製品を含む15の製品が影響を受けると発言している。スコアは、彼等がMicrosoftのDetoursを使用しているおかげで低くなっているかもしれない。Microsoftによると、Detoursは、任意の Win32 関数を、x86、x64、IA64 の各種マシン上で計測するためのライブラリであり、ディスク上ではなく、メモリ上にある目的の関数のコードをシンプルに変更することにより、非常に高い精度レベルでバイナリ関数を傍受することができる（Microsoftのサイトより引用）。これは、100を超えるISV（【訳注】 コンピュータメーカ系列ではない、パッケージソフトウェアの開発・販売会社の総称、以前のサードパーティと同義）によってライセンスが取得されており、Microsoftの殆ど全ての製品チーム中で使用されている。
　この研究者達は、MicrosoftのEnhanced Mitigation Experience Toolkit (EMET) が影響を受けるか否か特定していない。
　攻撃者達が、脆弱性の持つ便益を収穫するためには、先立ってシステムにアクセスし、ターゲットのシステム上で実行されているセキュリティ プラットフォームを無力化ておく必要があるだろう。
　「我々は、不正なコード フッキングと挿入テクニックの実装に起因する、6つの異なる一般的なセキュリティ問題を発見した」と、この二人は発言している。
　「この問題は、15を超える異なる製品で発見された。」
　「実際には、数千の製品が影響を受けることを意味している。」
　Microsoftは、来月リリースできるよう、問題に対処するための支援となるDetours用のパッチを作成している。
　この二人は、末端セキュリティ製品全体とDuquトロイのような中間者攻撃マルウェアで、一般的な侵入ユーザモード フックを検証した。その多くに、悪用に対する脆弱性があったことを発見し「重苦しく」なっている。
　パッチすることは、影響を受けるセキュリティソフトウェアを再コンパイルする緩慢な過程になるだろう。

---

研究者による、身代金要求型マルウェア早期警戒検出システム
Kaspersky : Threat Post （2016/07/14）
　身代金要求型マルウェアに関する殆どの議論は、まさに新しい株や既存のサンプルの変種の衰えることのない殺到に関することである。比較的少数の論文が、アンチウィルスや侵入防御システムを越える検出に関して焦点を当てている。
　WindowsとMac OS X用に幾つかの一般的な身代金要求型マルウェア検出システムが存在しているが、これら検出システムの多くは、シグネチャ ベースであったり、それらをバイパスすることのできる他の制限を持っている。
　フロリダ大学とヴィラノヴァ大学の研究者チームは、彼等がより優れたマウストラップ（悪意あるコードの実行よりはむしろ身代金要求型マルウェアがデータを変換する方法に焦点を当てている）を構築したと確信している。彼等のユーティリティは、CryptoDropと呼ばれ、14の異なるファミリーからの現実世界に存在する約500の身代金要求型マルウェアに対するテストにおいて、比較的少数のファイルの損失（平均損失 10ファイル）はあるものの、100%攻撃を検出した（【訳注】 訳者の理解では、このシステムは暗号化が始まった後に、身代金要求型マルウェアを検出するためにタイムラグが存在しており、その期間中に暗号化されるファイルが平均10ファイル）。
　このツールは、フロリダ大学のNolen Scaife, Patrick Traynor, Kevin R. B. Butler, ヴィラノヴァ大学のHenry Carter によって執筆された ”CryptoLock (and Drop it): Stopping Ransomware Attacks on User Data” と呼ばれる論文中に記述されている。
　「我々のシステム（Windows用にのみ構築されている）は、その実行ファイル（例えば、APIコールの監視）やコンテンツを調査することによって、身代金要求型マルウェアを同定しようとする代わりに、変質を意味するかもしれないユーザデータの変更を監視する最初の身代金要求型マルウェア検出システムである。これは、拡散メカニズムや、それまでの穏やかな活動に関係なく、CryptoDropが疑わしい行為を検出することを可能にする」と、この研究者達は記述している。
　CryptoDropは、オハイオ州コロンバスにおける最近の IEEE 36th International Conference on Distributed Computing Systems で明らかにされた。この研究者達は、CryptoDropが、アンチマルウェア システムと共存して動作し、アンチウィルスや侵入検知システムが実行するように設計されていない方法で身代金要求型マルウェアを検出すると、記述している。
　この論文において、この研究者達は、最終的に暗号化されるファイルに対する身代金要求型マルウェアの行動で区別して、身代金要求型マルウェアを三つのクラスに分けて説明している。例えば、クラス Aは、ファイルの内容を上書きし、所定の位置で内容を暗号化するような性質を持つもの。クラス Bの身代金要求型マルウェアは、ファイルを移動した後に、そのファイルを暗号化し、本来の場所に戻すもの。このクラスのものは、ファイル名を変更するかもしれない。クラス Cは、暗号化された内容で新しいファイルを作成し、オリジナルのファイルを削除もしくは上書きするもので、最も被害の大きいものである。
　このような状況から、CryptoDropは、悪意あるファイルの変更を同定するために三つの基本指標と二つの補助的指標を使用している、と研究者達は記述している。基本指標は以下の通りである。： ファイルタイプの変更、これは、ファイルのバイト値に対する変更を探す（ファイルはそれらのタイプとフォーマットを保持しているので、この行為は疑わしいと判断される）。： 類似性の測定、この場合では、sdhash関数が、あらゆる非同一性を見つけるために、同一ファイルの前後のバージョンにおける類似性を測定する。：　三つ目が、Shannon Entropy（シャノン エントロピー）である。これは、ファイルが改竄されたかどうかの、もう一つの指標として暗号化されたファイルのエントロピーを測定している。削除（多くのファイルが削除される）とファイルタイプ ファネリング（アプリケーションが全く異なる幾つかのファイルを読み込んだ時に発生する）は、CryptDropによって使用される補助的指標である。
　彼等がテストした無害なプログラムは、この三つの基本指標を発動させなかったが、大多数の身代金要求型マルウェアのサンプルの実験では、全て、この三つの基本指標を発動させたと、この研究者達は記述している。単一ユーティリティでこれら三つの指標全てを一元化することは、より早期に、より速く、身代金要求型マルウェアを検出するために極めて重大であると、この研究者達は発言している。
　CryptoDropは、高評価のユーティリティを開発するために、ユーザに警告を発するために、そして、特定の閾値に入ったなら、違法なプロセスを停止するために、これらの要素全てを使用していると、この研究者達は発言している。
　この論文は、特定の身代金要求型マルウェア ファミリーのデータも提供している（CryptoLocker と Filcoderファミリーを除いて、殆どの物は、相対的に多様性の欠如を示している）。CTB-Locker と CryptoLockerのテストされたサンプルは、平均ファイル損失が最も大きな値になっている。「ファイルの損失が殆ど無いことで、身代金要求型マルウェアの犠牲者にとっての負担は、軽減されるか取り除かれるので、ユーザを保護し、攻撃者の経済を解体することになる」と、この研究者達は記述している。

---

CryptXXX： .Crypz と .Cryp1 のバージョンに関して無料でキーを提供している
BleepingComputer : News>Security （2016/07/14）
　犠牲者が身代金要求型マルウェアの支払いサーバにログインし、彼等の復号キーを無料で与えられることに関して、今日、BleepingComputerのCryptXXX Help topicで多くの議論がなされてきた。ユーザが、これらのキーを試すと、彼等は本当に暗号化されたファイルを復号できることを発見した。一部の人は、このマスターキーがリリースされたと述べていたが、夫々の人々の復号キーは異なっており、各人固有のファイルでのみ動作したので、マスターキーがリリースされたという記述は、真実ではない。

　これを更にリサーチしたところ、私は、CryptXXXの特定のバージョン（即ち、暗号化されたファイルに .Crypz と .Cryp1 拡張子を追加する変種）で無料のキーが提供されていることを発見した。他のバージョンは全て、無料で復号キーを受け取ることはできない。
　現時点で、この支払いサーバが無料で復号キーを提供している理由は分かっていない。これは、開発者が（【訳者挿入】 犬に骨を与えるように）犠牲者に骨を投げているかのようであるが、私の推測は、彼等の支払いサーバの誤作動で、これが発生しているだろうとするものである。この開発者は、過去においてバグだらけのコードや復号可能な変種を提供してきているので、このような他のエラーが存在することは想像に難くない。
　以下に、私がアクセスしたCryptXXX身代金要求型マルウェアの全ての既知のバージョンをリストとしてまとめておいた。私がテストできなかった唯一の既知の変種は、.cryptz 拡張子を追加するものである。誰かが、この変種に感染したことがあるのなら、無料のキーが提供されていたか否か私に知らされたい。

無料キーが提供されているもの

.Crypz 拡張子 (UltraDecryptor)

脅迫文のファイル名: ![victim_id].html
脅迫文のファイル名: ![victim_id].txt

TOR URLの例: http://xqraoaoaph4d545r.onion.to
TOR URLの例: http://xqraoaoaph4d545r.onion.cab
TOR URLの例: http://xqraoaoaph4d545r.onion.city

.Cryp1 拡張子 (UltraDecryptor)

脅迫文のファイル名: ![victim_id].html
脅迫文のファイル名: ![victim_id].html

TOR URLの例: http://eqyo4fbr5okzaysm.onion.to
TOR URLの例: http://eqyo4fbr5okzaysm.onion.cab
TOR URLの例: http://eqyo4fbr5okzaysm.onion.city

無料キーが提供されていないもの

.Crypt 拡張子 (UltraDeCrypter)

脅迫文のファイル名: [victim_id].html
脅迫文のファイル名: [victim_id].txt

TOR URLの例: http://klgpco2v6jzpca4z.onion.to
TOR URLの例: http://klgpco2v6jzpca4z.onion.cab
TOR URLの例: http://klgpco2v6jzpca4z.onion.city

.Crypt 拡張子 (Google Decryptor)

脅迫文のファイル名: !Recovery_[victim_id].html
脅迫文のファイル名: !Recovery_[victim_id].txt

TOR URLの例: http://2zqnpdpslpnsqzbw.onion.to
TOR URLの例: http://2zqnpdpslpnsqzbw.onion.cab
TOR URLの例: http://2zqnpdpslpnsqzbw.onion.city

Random 拡張子 (UltraDecryptor)

脅迫文のファイル名: @[victim_id].html
脅迫文のファイル名: @[victim_id].txt

TOR URLの例: 2mpsasnbq5lwi37r.onion.to
TOR URLの例: 2mpsasnbq5lwi37r.onion.cab
TOR URLの例: 2mpsasnbq5lwi37r.onion.city

拡張子なし (Microsoft Decryptor)

脅迫文のファイル名: README.html
脅迫文のファイル名: README.txt

TOR URLの例: http://ccjlwb22w6c22p2k.onion.to
TOR URLの例: http://ccjlwb22w6c22p2k.onion.city

---

Drupalモジュール中に報告されたリモートコード実行の緊急の脆弱性
The Register : Security （2016/07/14）
　Drupalは、攻撃者が簡単にサイトをハイジャックすることを可能にしている危険なリモートコード実行のセキュリティホールをパッチするように、そのユーザに呼びかけている。
　このコンテンツマネジメントシステムは、凡そ1,500万ダウンロード（比較すると、WordPressは1億4千万、Joomlaは3,000万ダウンロード）であるが、世界で最も人気のある1万サイトの9%を含む、高級なサイトと企業サイトで使用されている。
　リモートコード実行のセキュリティホールは、凡そ14,000のWebサイトで使用されているDrupalモジュール中に横たわっている。
　「このモジュールは、攻撃者が、幾つかの特別に細工されたリクエストを使用して完全にサイトを乗っ取ることを可能にするリモートコード実行を含んでいる」と、Drupalのセキュリティ メンバーは発言している。
　「この弱点は、サイト上で様々なアクション（潜在的にサイトやサーバの完全な乗っ取りを含む）の操作を行って悪用することができる。」
　「如何なるサイトの訪問者も、この脆弱性を悪用することができる。」
　影響を受けるモジュールは、Rest APIを作成するために使用されるRESTWSモジュールを含んでおり、これは凡そ5804のサイトにインストールされている。リモートコード実行のフローは、Devin Zuczek (@djdevin)によって発見され、highly critical（【訳注】 5段階中2番目に高い脆弱性）と評価されている。
　少なくとも4951のコード解析用のサイトによって使用されているCoderモジュールもまた、このリモートコード実行フローの影響を受ける（NCCの研究者Nick Bloor (@nickstadb)によって発見され、悪用のために許可を求める必要がないことからhighly criticalと評価されている）。
　Webform Multiple File Uploadモジュール（凡そ3076のサイトが、ユーザからファイルを収集するために使用している）は、最新の影響を受けたモジュールである。この緊急のフローは、オーストラリア人のDrupalセキュリティ者Ben Dougherty(@_benjy1)によって発見された。
　Drupalは、33,000を超えるモジュールに貢献する3万人を超える開発者を持っている。

---

Jigsaw身代金要求型マルウェアは再び打ち負かされた
Check Point : Threat Reserch （2016/07/08）
　Jigsaw身代金要求型マルウェアが発見されたのは、2016年04月である。以来、多少の影響を受けてきた。この身代金要求型マルウェアは、脅迫文上に表示される映画 Saw のJigsaw ｋillerの画像と、犠牲者に要求に応じるように説得する独特な方法（支払いが一時間以内に行われない場合、Jigsawは、感染したマシンからファイルの削除を開始する）のおかげで悪名を博した。
　最新のJigsaw身代金要求型マルウェアの変種（SHA256: 61AA800584B170FFE9959ACD057CCAF784BF3088E1D3AAB39D07C0793F6C03DF）と、ユーザの証明書とSkypeの履歴を盗むとするインチキの主張を調査している間に、我々は、この身代金要求型マルウェアが、支払いが実行されたか否かをチェックするために使用しているメカニズムに遭遇した。
　Jigsawは、ユーザに便利なGUIを提供している。

　このユーザが、“I made a payment, now give me back my files!”（支払ったので、ファイルを返して）ボタンを押すと、このプログラムは、btc.blockr[.]io/api/v1/address/balance/<bitcoin-account> に対して、HTTP GET リクエストを実行する。
応答として、以下のJSONを得る。 　これは我々に思いつかせた。我々が、別のアカウントをクエリーするように、リクエストを変更したらどうなるのか？　多分、我々のファイルを復号するために、必要量のBitcoinを保持しているものに？　もっと上手く、我々が必要量を持っていると言うように対応を変更したらどうなるのか？
　そこで、実行してみた。
　上手く動作した。
　応答中の変数"balance"を 0 から 10 に変更することによって、この身代金要求型マルウェアは、支払いが実行されたと信じた。そして、ファイルの復号プロセスが始まり、犠牲者のコンピュータから、このマルウェア自体を削除した。
この簡単な治療は、以前のJigsaw身代金要求型マルウェアでも同様に動作し、感染したマシン上に、このマルウェアの痕跡は残らないようである。
　上述に基づいて開発された復号プログラムは、こちらからダウンロードできる（【訳注】 このサイトの和訳は初めてですが、KasperskyのThreat Postからジャンプしていますので、安心してダウンロードできると思います）。

ユーザ マニュアル

1/　JPS.zipファイルを解凍する。
2/　Jigsaw Puzzle Solver フォルダで、’JPS.exe’をクリックし管理者として実行する。
3/　画面に表示される指示に従う。

---

CTB-Lockerを真似したCTB-Faker身代金要求型マルウェア、「下手な仕事してますねぇ」
BleepingComputer : News>Security （2016/07/11）
　CTB-Fakerと呼ばれる新しい身代金要求型マルウェアは、CTB-Lockerを装うとしていることが発見された。下手なモノマネではあるが、犠牲者のファイルを暗号化する代わりに、パスワードで保護されているZIPアーカイブに犠牲者のファイルを移動する。CTB-Fakerは、あなたのファイル用のパスワードを取得するために ~.08 Bitcoin（凡そ $50 USD。約5千円）の身代金を要求する。
　良いニュースは、あなたがオリジナルのインストーラのサンプルを持っているなら、無料でファイルを取り戻す方法が存在することである。あなたが、この身代金要求型マルウェアに感染しているなら、このサイトで私にコンタクトするか、CTB-Faker Help and Support topicに投稿しなさい。私は手助けするだろう。

CTB-Fakerの開発者はBleepingComputerの訪問者のように見える

　CTB-Faker身代金要求型マルウェアのメイン実行ファイルは、脅迫文の背景として使用する多くの画像リソースを含んでいる。これは、これらの画像の一つが、ZeroLockerと呼ばれる古い身代金要求型マルウェア用のBleepingComputerのウオーターマーク付き画像であることから、開発者がBleepingComputerの訪問者のようである。以下は、Help.exe実行ファイル中で発見された画像である。

CTB-Fakerはインチキのストリップショーのビデオで拡散しようしとしている

　CTB-Locker（【訳注】 原文のままですが、CTB-Fakerの誤りと思われます）は、パスワードで保護されているストリップショーと想定されるビデオへのパスワードとリンクを含むアダルトサイト上のインチキのプロファイルページを介して現在拡散している。

　ユーザがプロファイル中のリンクをクリックすると、zipファイルがダウンロードされるだろう。このファイルは現在JottaCloudにホストされている。ユーザがZIPファイルのコンテンツを解凍し、含まれている実行ファイルを実行すると、この身代金要求型マルウェアは、あなたのファイルを暗号化するだろう。

CTB-Fakerは、どのようにしてファイルを暗号化しているのか

　CTB-Fakerは、実行されると多くのバッチファイル、VBSスクリプト、実行ファイルを、C:\ProgramData フォルダに解凍する本物のWinRAR SFXファイルである。このメインのインストーラは、グラフィックス カードのエラーをであるかのように装うインチキのエラーメッセージを表示するVBSファイルを実行するので、あなたはストリップショーのビデオを見ることはできない。

　けれども、このシーンの背後で、この身代金要求型マルウェアは、C:\Users.zip に配置されたパスワードで保護されたZIPアーカイブを作成するために、同梱されたWinRARを使用している。このZIPファイルは、C:\Users フォルダの下に配置されたファイルと、以下のファイル拡張子に一致するファイルを含んでいる。

　ファイルをアーカイブするとき、CTB-Fakerは、そのファイルをパスワードで保護されたアーカイブに、コピーではなく移動させる。このプロセスは、非常に緩慢であり、CPUを専有するので、犠牲者は、彼等のハードドライブがコンスタントにアクセスされ続けており、CPU使用率が通常のパーセンテージより急増していることを発見するだろう。
　アーカイブの作成が終了すると、このプログラムは、C:\ProgramData 中の様々なVBSとバッチファイルを削除し、コンピュータを再起動する。コンピュータが再起動し犠牲者がログインすると、彼等は以下に示す脅迫文の画面を提示される。

　この脅迫文は、ファイルが暗号化され、犠牲者はBitcoinで $50 USDをBitcoinアドレス 1NgrUc748vG5HerFoK3Tkkb1bHjS7T2w5J に支払わなければならないと述べている。支払いを実行すると、犠牲者はパスワードを取得するために、miley@openmailbox.org にメールしなければならない。現在、このBitcoinアドレスに活動はない。
　下に示したように、Bitcoinアドレス 3MTTgd2BaPndUYkmGjiacaPLkuWsiPUzM3、eMailアドレス help@openmailbox.org を含む別の背景画像も存在する。この背景の 3MTTgd2BaPndUYkmGjiacaPLkuWsiPUzM3 アドレスは、多くの活動をしている（受け取ったBitcoinは476を超え、経常収支 11 Bitcoinなので）

　最後に、この脅迫文は、Decrypt（復号）ボタンとInternet（インターネット）ボタンも含んでいる。Internetボタンは、Defaultブラウザを開く。Decryptボタンは、あなたがパスワードで保護されたZIPファイル用のパスワードを入力することを要求する Restore.exe プログラムを起動する。正しいパスワードが入力されると、users.zip ファイルは、自動的にあなたのハードドライブに解凍され、あなたのファイルは復元される。　

　作成されるものはまた、脅迫文は C:\ProgramData\index.html に配置され、C:\ProgramData\your personal files は、encrypted.txt になり、そして、C:\your personal files は、encrypted.txtになる。そして、これは上に示した画像と同じ情報を含んでいる。
　あなたが、この身代金要求型マルウェアに感染したのであれば、身代金を支払わないようにしなさい。代わりに、このサイトで私にコンタクトしなさい。もしくは、CTB-Faker Help and Support topicで支援を求めなさい。

CTB-Faker関連ファイル

CTB-Faker関連レジストリ エントリ

IOC

---

Wi-Fiカメラのセキュリティフローは、40万デバイスの脆弱性を放置したままになっている
Bitdefender : HotforSecurity （2016/07/11）
　120製品、40万デバイスで明らかにされたリモートコード実行の脆弱性が、D-Link DCS-930Lネットワーク クラウド カメラの最新のファームウェア中で検出されたと、Senrioが報告している。
　このフローは、カメラの最新のファームウェア アップデートで発見されたが、製品系列のアーキテクチャを解析した後、Senrioの研究者は、カメラ、ルータ、アクセスポイント、モデムのような接続可能なホーム製品を含む他の製品に影響を与えると結論している。
　このレポートは、「この脆弱性は、攻撃者にカスタムパスワードを設定することを許すコードの挿入を可能にする。これは、攻撃者に、カメラ フィードへのリモートアクセスを許諾する。従って、ユーザが強力なパスワードを作成していた場合でさえ、この種の脆弱性は、それを上書きすることを許す。」　続けて「この脆弱性は、新しいパスワードを設定する代わりに、攻撃者は簡単に管理者アクセスで新しいユーザを追加したり、ファームウェアをダウンロードしたり、このデバイスを再設定することもできる」としている。
　IoT接続されたデバイスの広汎な採用にもかかわらず、頑強なセキュリティ対策は疎かにされてきた。これは、インフラのメルトダウンを発生させることができる。これは、IoTとネットワーク組み込み型デバイスが、様々な産業（医療機器、原子力発電所、交通システム）で広汎に利用されていることを考慮していない。今回の場合、脆弱性は、消費者と企業の両方にハイジャックされるリスクを晒している。
　D-Linkは問題を調査中であるが、その間、ユーザは定期的にパスワードを変更するようアドバイスしている。新しいリリースは、アクティブな製品だけが利用可能なので、古いD-Linkモデルは市場から撤去される必要があるだろう。古い製品はユーザのリスクの下に使用されることができる。

---

新しいCrｙｐｔXXXは、Microsoft Decryptorに名前を変えた
BleepingComputer : News>Security （2016/07/07）
　CryptXXX身代金要求型マルウェアの新しいバージョンがBrad Duncanによって発見された。このマルウェアは、暗号化されたファイル名の変更、脅迫文の名前を修正して使用、新しいテンプレートと新しいTOR支払いサイトの説明を含んでいる。このリリースで、脅迫文は現在README.html, README.bmp, README.txtと名付けられている。
　この身代金要求型マルウェアを管理者にとってより厄介なものにするために、このリリースはもはや、暗号化したファイルに特定の拡張子を使用していない。現在、暗号化されたファイルは、暗号化される前のファイル名と同じファイル名のままになっている。

　これはまた、CryptXXXが使用していたTOR支払いサイトを一部変更している。過去において、CryptXXXは、支払いサイトに異なる名前（Google Decryptor, Ultra Decryptorのような）をつけていた。現在は、このTORサイトを変更し、Microsoft Decryptorと名付けている。このバージョンは、犠牲者が支払いに問題を持った場合に、この身代金要求型マルウェアの開発者に接触する方法を含んでいない。

　新しいことが発見された場合には、私は間違いなく此処に投稿する。現時点で、この身代金要求型マルウェアを議論したい、あるいは、サポートを受けたい人々に関しては、CryptXXX Support & Help Topicを使用することができる。

---

2000を超えるWordPressとJoomlaベースのサイトがCryptXXX身代金要求型マルウェアに感染していた
Bitdefender : Hot For Security （2016/07/08）
　Webセキュリティ企業Sucuriが公開したところによると、この2週間の巨大な感染キャンペーンの結果、WordPressとJoomla!コンテンツ マネージメント システム上に構築された少なくとも2000のサイトが、CryptXXX身代金要求型マルウェアに感染させられている。
　このキャンペーンは、最後の二日間で増大し、SiteCheckスキャナによる我々の限定的な遠隔測定データに基づくと少なくとも2000のサイトが攻撃されたと、創設者兼最高技術責任者Daniel Cidは発言している。我々はスキャナに使用したサイトに限定されているので、ハックされたサイトの実数は少なくとも5倍になると想定している。このキャンペーンによって影響を受けるサイトの最初の兆候は、6月9日に突き止められた。このため、我々は、この日にキャンペーンが始まったと考えている。
　このハッカーは、プラグインの脆弱性を悪用し、彼等のキャンペーンで少なくとも100のサイトが毎日感染させられている。サイトが感染させられると、ユーザは、Neutrino Exploit Kitをホストしているサイトにリダイレクトされ、FlashもしくはPDF Readerの脆弱性を介して、ブラウザをセキュリティ侵害されることで、CryptXXX身代金要求型マルウェアによってデバイスを感染させられる。
　攻撃者は、どのプラットフォームにも存在する共通の脆弱性をターゲットにしているようである。そして、アップデートされたインスタンスは、多分同一環境中に存在している残効になる。しかしながら、使用されている脆弱性は多分その本体に対するものではないが、プラグインや拡張のような拡張コンポーネントに対するものであることに注意しなさいと、Cidは追加している。
　このキャンペーンは、使用されているドメインが、realstatistics[.]info及びrealstatistics[.]proであることから、“Realstatistics”と名付けられている。
　7月3日の時点で、Googleは、悪意あるコードを含むサイトを検出しブラックリスト入りさせている。

---

米国政府、SymantecとNortonアンチウィルスのユーザに、即座にセキュリティ パッチを適用するように告げている
Graham Cluley : News （2016/07/07）
　Googleのセキュリティ研究者Tavis Ormandyは、SymantecとNortonアンチウィルスの広範な分野に渡る緊急の脆弱性を明らかにした。この脆弱性は、攻撃を起動するために悪意あるハッカーによって悪用することができる。
　以下が、United States Computer Emergency Readiness Team (US-CERT)からの真相である。 　セキュリティソフトウェア中の悪用可能なセキュリティホールは、緊急の問題である。悪意ある攻撃者は、まさに、あなたがWindowsとAdobe Flashをインストールしているだろうと思っているように、人気のあるセキュリティ製品を稼働しているだろうと思っている。これは、アンチウィルス製品が強力な権限で、あなたのコンピュータ上のローレベル（【訳注】 OSに一番近いレベル）で稼働しているという事実と結合して有害なカクテルとなる。
　そこで、あなたのアンチウィルスをパッチしなさい。あなたがセキュリティベンダであるのなら、悪意あるハッカーや、Googleの従業員がそれらを公開する前に、あなたのソフトウェア中の脆弱性を解決しなさい。利用可能なパッチの詳細に関しては、Symantecの SYM16-008（【訳注】 シマンテックから日本語アドバイザリは和訳時点で提供されていないようです、日本語情報はこちら参照してください） 及び SYM16-010（【訳注】 シマンテックから日本語アドバイザリは和訳時点で提供されていないようです、日本語情報はこちら参照してください）セキュリティ アドバイザリをチェックしなさい。

---

ファイルを取り戻すために48Bitcoinを要求するMicroCop身代金要求型マルウェアが復号された
BleepingComputer : News>Security （2016/07/01）
　残念ながら、新しい身代金要求型マルウェアは、現在ほぼ毎日発見されているので、それら全てについて記述することは不可能である。けれども、時として、大変非常識で攻撃的なので、私は共有する必要があるとするものを見る。 それが復号されるものであるなら一層よい。
　最近、研究者Moshは、TrendMicroが発見したMicroCopと呼ばれる新しい身代金要求型マルウェアに関して彼の解析を共有した。インストールされると、この身代金要求型マルウェアは、DES暗号化を使用してデータを暗号化し、暗号化されたファイルの全てに、Locked. 文字列を追加する。これは、test.jpg と呼ばれるファイルが暗号化された後、Locked.test.jpg にリネームされることを意味している。
　このマルウェアは次に、犠牲者の壁紙を、犠牲者が彼等から48.48Bitcoin盗んだので、彼等がファイルを復号する前に、その金を返してほしいと述べているAnonymousの画像を示す背景に変更する。

　明らかに、これはAnonymousからのものではないし、48Bitcoinは$32,708.64米国ドル（約334万円）なので、法外な要求である。更に不条理なのは、彼等は脅迫文を放置したままにし、犠牲者が支払いの取り決めや復号プログラムを受け取るために彼等に接触する方法を提供していない。
　第一に、身代金要求型マルウェアを作成することは、私を苛つかせるが、このような法外な要求をし、ユーザが実際にファイルを取り戻す方法を提供さえしていないので、取り戻す可能性は限りなく低い。有難いことに、Michael Gillespieは、犠牲者が彼等のファイルを無料で取り戻すことのできる復号プログラムを作成することができた。
　犠牲者が、この復号プログラムを使用する方法と彼等のファイルを取り戻すための説明は、我々の、MicroCop Ransomware Help & Support で発見される。この身代金要求型マルウェアに影響を受けた全ての人々は、この復号プログラムをダウンロードし実行することで、通常に戻ることができる。

MicroCop身代金要求型マルウェア関連ファイル

MicroCop身代金要求型マルウェア関連レジストリ エントリ

---

何故、抵抗するのか？　無料期間中に Windows 10 を取得せよ
ECN（Electronic Component News） : News （2016/06/29）
　あなたは何を待っているのか？　MicrosoftのWindows 10へのアップデートへの抵抗を止める幾つかの理由がある、とりわけ、無料期間中に。
　来月まで待つと、Windows 10は、$1.20 のコストがかかるようになる。
　Windows 10 は、ほぼ1年前に出現して以来、ユーザの一部は、そのつもりがないのにアップグレードされたことに不平不満を持っていた。
　しかし、何故、抗うのか？　Windows 10は、前任の Windows 7 や 8 のどちらよりも優れている。あなたがアップグレードした後に、気に入らなかった場合でさえ、あなたは一月以内であれば、元に戻すことができる。フリートライアルと見做しなさい。

Windows 10 は、コンピュータの使用を最新にする

パーソナルコンピュータがモニター、キーボード、マウス（もしくは、ラップトップのタッチパッド）の付属する大きな箱であった時、Windows 7 は意味をなした。しかし、現在、多くのコンピュータは、タッチスクリーンを持っており、Webページ、ゲーム、ソフトウェアは、タッチを考慮しての設計が増加している。
　Microsoftは、Windows 8 で対応したが、やり過ぎていた。このタッチ中心のアプローチは、伝統的なコンピュータとして上手く動作していたWindows 7 の多くの側面を排除した。このような場合、どちらも完全に動作しない二つの異なるコンピュータ（一台はタッチ、もう一台はマウス）を使用しているかのような感覚を、あなたにもたらす。
　Windows 10 は、両方のいいとこ取りをしており、ぎこちない綱引きはない。あなたがキーボードとマウスを持っているのなら、デスクトップモードを選択しなさい、それらが取り外されているのなら、タブレットモードを選択しなさい。あなたは、これを自動化することも、毎回Windowsにプロンプトさせるようにすることもできる。好きなように。あなたはまた、オンスクリーンキーボードがポップアップした時、Windows 8 以上の制御を得る。
　あなたがタッチスクリーンを持っていない時でさえ、あなたは依然として、タッチ世界からの革新の一部（Wi-Fiや画面の輝度のような一般的な設定へのワンクリック アクセスを含む）の恩恵に預かるだろう。

向上した機能

　Windows 10 は、そのような機能の付いたコンピュータへのサインインに生体認証をもたらしている。パスワードの代わりに、あなたは指紋や、そのデバイスのカメラでの顔認証を使用することができる。あなたのコンピュータが生体認証を搭載していない場合でさえ、サインインは、4桁のPINで簡単に行うことができる。4桁のPINが銀行のATMカードにとって十分満足されるものであるのなら、あなたのコンピュータにとっても十分なものである。
　Microsoftはまた、Edgeと名付けられた新しいブラウザにするために、厳しく中傷されたInternet Explorerを見捨てた。このブラウザは、IEよりクリーンで高速なだけでなく、新しい趣向も提供している。例えば、Edgeは、Webページを指や針でスケッチし、次に、それを友人や同僚と共有することを可能にしている。もちろん、あなたがChromeやFirefoxのような他の人気のあるブラウザを気に入っているのであれば、Edgeを使用する必要はない。
　Windows 10 はまたPCに、Microsoftのボイス アシスタント（Cortana）を搭載している。机の上のマシンに向かって話かけるのは無様なように感じるかもしれないが、少なくとも多くのソフトウェア企業は、音声に未来があると信じている。Appleでさえ、MacにSiriアシスタントを搭載する予定である。

処理中の作業

　Windows 10は、完全ではない。例えば、EdgeではGoogleスプレッドシートをスクロールすることは困難である。それに関しては、Google Chromeが、より優れるものである。Windowsはまた、Macでできるような、ファイルが開いている時、ファイルのリネームや移動を可能にしていない。
　良いニュース：　Microsoftはもはや、Windowsを数年毎にオーバーホールするようなものと考えていない。Windows 10 は、凡そ一月単位で小さなアップデートを行っている。8月2日に予定されているより大きなアップデートは、Cortanaと、Windows Ink（ドキュメント、地図、他のアプリケーションに、描画したりメモを書いたりするためのデジタル針の使用を可能にするもの）と呼ばれる新しい機能を提供するだろう。

主たる不平不満

　これら通常アップデートは、自動化されシームレスであるように設計されている。そして、一番下のHomeエディションのユーザは、選択肢さえ持っていない。しかし、ほとんどの部分に関して、スマートフォン アプリケーションは既に、Chromebookコンピュータ用のGoogleのシステムが実行しているように、自動的にアップデートされている。
　Windows 10 自体を取得するにあたっての、一つの心配は、古いアプリケーションやアクセサリの潜在的非互換性である。しかし、これらアプリケーションやアクセサリのメーカーは、ほぼ一年に渡り修正を提供してきている。この時点まで、本当に古く曖昧なハードウェアだけが、トラブルを発生させるはずである。
　遅いプロセッサ、少ないメモリ、少ない記憶領域を搭載している古いマシンもまた、パフォーマンスの問題に遭遇する可能性がある。しかし、あなたのコンピュータがユックリであるのなら、新しいマシンに買い換えるための時宜であるかもしれない。
　Microsoftは昨年、Windows 7を、徐々に撤退させ始めた。そして、新しいアプリケーションはWindows 10 用に設計されている。あなたは過去にしがみつくことで自分自身を締め出していることに気がつくかもしれない。

アップグレードの詳細

　MicrosoftのGet Windows 10 アプリケーションは、あなたが最小要求システム構成に適合しているか否かを検証する（最小ではスピーディーではない）。
　あなたは最初に、悪いことが発生した場合に備えて、外部ドライブ、もしくは、クラウドストレージにファイルをバックアップする必要がある。しかし、それさえ行わずに（【訳注】 一般的にはファイルのバックアップが推奨される）、アップグレード後31日以内であれば Windows 7 や 8 に戻すことが可能である。設定で、「更新セキュリティ」に進み、「回復」を選択する。あなたのファイルは問題ないはずであるが、Windows 10 にアップグレードした後にインストールしたあらゆるアプリケーションは失われる。
　7月29日が、無料でアップグレードできる最終日である。その後、あなたは料金を支払うか、新しいコンピュータを購入する必要がある。

【訳注】　ご存知とは思いますが、無料期間中にWindows 10にアップグレードしておけば、その後ダウングレードしている場合でも、無料期間終了後（有償期間に入っていても）に再びWindows 10に無償アップグレードすることは可能です。

---

Satana Bootkitは、ファイルを暗号化するだけでなく、あなたをWindowsから締め出す
BleepingComputer : News>Security （2016/06/30）
　Satanaと呼ばれる新しい身代金要求型マルウェアが、Malwarebytesのセキュリティ研究者S!Riによって発見された。このマルウェアは、1つのパンチに2つ分のパンチを詰め込んでいる。インストールされると、Satana身代金要求型マルウェアは、標準的ファイル暗号化を使用してファイルを暗号化し、次に、あなたをWindowsのログインから締め出すためのbootlocker（ブートロッカー）をインストールする。このブートロッカーは、Windowsが起動する直前に表示され、パスワードを要求した後に、犠牲者がWindowsを起動することを可能にする。Satana身代金要求型マルウェアは、復号キーを取得するために 0.5 Bitcoinを要求する。

　Satana身代金要求型マルウェアが最初にインストールされると、このマルウェアは、特定のファイルタイプと暗号化のためにローカルドライブと、マップされていないネットワーク共有をスキャンする。ターゲットにされているファイルタイプは以下である。
　ファイルを暗号化すると、このマルウェアは、eMailアドレスと3つのアンダースコアをファイル名に追加する。例えば、test.jpgは、Sarah_G@ausi.com___test.jpg になるだろう。挿入されたeMailアドレスは、犠牲者が、復号キーを取得するために支払いを実行した後に接触しなければならないeMailアドレスである。私がこの身代金要求型マルウェアに関連するものとして確認したeMailアドレスは以下である。
　同時に、この身代金要求型マルウェアは、ブートロッカーもインストールするので、ユーザはWindowsを起動することができなくなる。hasherezadeによると、MBR（マスターブートレコード）を修復すると、犠牲者は再びWindowsにブートバックすることは可能になる。残念ながら、ファイルは依然として暗号化されたままである。
　最終的に、この身代金要求型マルウェアは、デスクトップ上に、身代金の支払い方法の指示を含む .txt と名付けられた脅迫文を作成する。これらの指示は、ブートロッカー画面に表示されているものと同一である。

　残念ながら、現時点で、Satanaで暗号化されたファイルを無料で復号する方法はない。何か発見された場合には、我々は、そのことに関して間違いなく投稿する。他方、あなたが、この感染について更に学習することに興味があるのであれば、あなたはMalwarebytesの記事を読んだり、我々のSatana Help and Support Topicを使用することができる。

---

Bart身代金要求型マルウェアは、ファイルを誘拐し、パスワードで保護されたZIPファイル中にそれらを隠蔽する
Graham Cluley : News （2016/06/28）
　新しいBart（【訳注】 Bartは、こちらの画像参照）と呼ばれる暗号化身代金要求型マルウェアは、コマンド&コントロール基盤やAES暗号化を使用すること無しに、犠牲者が彼らのファイルにアクセスすることを拒否する。
　セキュリティ企業ProofPointの研究者は、この身代金要求型マルウェアに先週末に遭遇したと説明している。

　2月に発見されたLocky身代金要求型マルウェアは有名になった。
　攻撃者は、2016年の早春にHollywood Presbyterian医療センターをターゲットにした攻撃ではLocky身代金要求型マルウェアを使用した。最終的に、この病院は、攻撃者の 40 Bitcoin（凡そ、$17,000、170万円相当）の身代金の支払い要求に同意した。
　それ以来、Lockyに成りすましたり、この身代金要求型マルウェアの変種を販売すると主張する闇のWeb市場がオンラインに現れた。研究者達も、Locky感染の流れを止めるために一生懸命働いた。
　Lockyは、Bartに重大な影響を及ぼしたかのように見える。この最新の身代金要求型マルウェアのポータルを一瞥する。

　これは、Lockyの身代金 0.5 Bitcoinを、3 Bitcoinにしていることを除けば、Lockyのポータルと全く同じである。

　しかしながら、間違いなく、BartはLockyのコピーではない。この新しい身代金要求型マルウェアは、暗号化アルゴリズムに関して、二つの方法で殆どの他の身代金要求型マルウェアと、自分自身を区別している。
　一つ目は、この身代金要求型マルウェアは、C&C（【訳注】 コマンド&コントロールセンター）基盤を持っていない。代わりに、恐怖の役割を果たしている者に、彼らが復号アプリケーションを作成するために、どの復号キーを使用すべきを告げるために、犠牲者識別子を使用している。
　二つ目は、Bartは、他の暗号化身代金要求型マルウェア同様に、犠牲者が彼らのファイルにアクセスすることを拒否しない。PhisyMeの研究者は、以下のように説明している。

　hasherezadeは、Twitterで、「#Bart #ransomwareは、パスワードで保護されたZIPアーカイブにパックすることでファイルを暗号化する」と、述べている。

　この時点で、Bartによって影響を受けた犠牲者が利用可能な復号プログラムは存在していない。これは、ユーザが最善の身代金要求型マルウェア防御用心（疑わしいリンクやeMail添付ファイルに注意をするような）に従う必要があることを意味している。念のために、ファイルもバックアップするようにしなさい。
　更に、組織は、ZIPされている実行ファイルの付いたeMailを自動的にフィルターアウトするルールを設定することによって、eMailゲートウェイで、Bartをブロックすることができる。

---

EduCrypt身代金要求型マルウェアは、あなたに講義しょうとしている。
BleepingComputer : News>Security （2016/06/27）
　AVGセキュリティの研究者Jakub LroustekによってEduCryptと呼ばれる新しい身代金要求型マルウェア（教育ウェア？）が発見された。このマルウェアは、その犠牲者に身代金要求型マルウェアに関する講義をしようとする。他の暗号化マルウェア同様に、EduCryptは、犠牲者のファイルを暗号化するが、身代金を要求する代わりに、犠牲者を叱責すると共に無料でパスワードを与える。

　この身代金要求型マルウェアは、オープンソースのHidden Tear身代金要求型マルウェアに基づいている。そして、このマルウェアのサンプルはConfuserで難読化されていた。私が、このプログラムを可読できるようにすると、これは、明らかに犠牲者に純粋に講義するように設計するためにHidden Tear身代金要求型マルウェアを解体したものであった。このマルウェアは暗号化用のフォルダを限定しており、僅かな量のファイル拡張子をターゲットにしている。そして、コマンド&コントロール サーバと通信することはない。
　開始すると、以下のフォルダにあるファイルを暗号化する。

　これらのフォルダをスキャンしている時、このマルウェアは、AES暗号化を使用し、固定パスワードHDJ7D-HF54D-8DN7Dで特定の拡張子に一致したファイルを暗号化する。ファイルを暗号化すると、このマルウェアは、暗号化したファイルに .isis 拡張子を追加する。例えば、ファイル test.jpg は、暗号化されると、test.jpg.isis というファイル名になるだろう。
　EduCryptによって暗号化されるファイル拡張子は以下である。

　終了すると、このマルウェアは、犠牲者のデスクトップにREADME.txtと名付けられたメモを表示する。このメモは、復号プログラムへのリックと、犠牲者のコンピュータに何が発生したかの情報を提供している。このマルウェアが参照している非表示にされているファイルは、%UserProfile%\Documents\DecryptPassword.txt に配置されており、あなたのファイルを復号するために使用されるパスワードを含んでいる。

　上述したように、このパスワードは、HDJ7D-HF54D-8DN7D であり、このプログラムによって感染した全ての者に共通である。
　EduCryptは、Hidden Tear復号プログラムへのリンクを提供しているが、私は、我々が信頼できることを認識しているMichael Gillepieによって作成された復号プログラムを使用するように、ユーザに推奨する。

URL://download.bleepingcomputer.com/demonslay335/hidden-tear-decrypter.zip

　私は、インターネット上の安全性に関して犠牲者に講義しょうとした開発者の方法に同意しないが、彼の声明は正しいものである。ユーザは今日、インターネットからダウンロードしたり実行したりするものについて大変用心深い必要がある。マルウェアは、蔓延している。そして、ユーザは、特に用心深い必要がある、さもなければ、高いものにつくことがありうるだろう。

---

身代金要求型マルウェア スカムは、0−Dayキャンペーンで企業のOffice 365ユーザをターゲットにしている
The Register : Security （2016/06/28）
　2016年、Microsoft Officeマクロは、依然として持続可能な感染ベクトルである。セキュリティチームAvananは、Office 365ユーザに対する一週間に渡る巨大なスケールでのマルウェア攻撃にスポットを当てている。
　このキャンペーンは、6月22日開始し、Microsoftは、同月23日に悪意ある添付ファイルのブロックを開始した。
　攻撃者は、Office 365を使用しているセキュリティが完備したプラットフォームの組織の57%にメッセージを送信することを試みていたとAvananは発言している。ユーザは、マクロを介してこのマルウェアを起動するOfficeドキュメントを送信される。
　この攻撃は、Cerber身代金要求型マルウェア（このマルウェアは5月に出現している）を使用している。ユーザのファイルを暗号化すると共に、その脅迫文を読み上げるために、犠牲者のオーディオシステムを乗っ取る。

　感染した全てのユーザは、AES-256で暗号化されたファイルを発見するだろう。また、復号するために 1.24 Bitcoinの要求にも直面している。

---

Necursボットネットが、新たなLocky身代金要求型マルウェア キャンペーンを引っさげて回帰している
BleepingComputer : News>Security （2016/06/23）
　6月の初め、Necursボットネットは、オンラインを切断していた。このことはDridexとLockyマルウェア キャンペーンが同様に落ち込むこととなった。TeslaCryptの停止オペレーションと、Lockyがもはや激しい拡散をしなくなったこの空隙は、CryptXXXとCrysis身代金要求型マルウェア感染によって直ちに埋められた。
　月曜日、Proofpointは、数百万のLocky eMailキャンペーンに気がついた。これは、Necursボットネットから発生しているかのようであった。この時点で、研究者は未だ、Necursがオンライン切断を何故発生させていたのか気がついていなかったが、CryptXXXは現在、明らかに金銭目的のために稼働している。
　Proofpointによると、この新しいLockyキャンペーンは、件名に Re. の付いたeMailと、services_[名前]_[6桁の数字].zip, [名前]_addition_[6桁の数字].zip, もしくは、[名前]_invoice_[6桁の数字].zip と題された添付ファイルを使用している。このZipファイルは、addition-[ランダムな数字].js と名付けられたJavaScriptを含んでいる。これらeMailの一つの例を、ProofPointの好意によって以下に示す。

　受信者が、このJavaScriptファイルをダブルクリックすると、Locky実行ファイルをダウンロードし、それを %Temp% フォルダに保存し、それを実行する。この新しい変種はまた、セキュリティ研究者が仮想化したマシンでこのマルウェアを解析することを更に困難にするためにアンチ-仮想マシン コードを含んでいる。
　他方、この身代金要求型マルウェア自体は、変更されていないかのようである。何らかの新しい機能が発見された場合には、我々は、間違いなく、この投稿をアップデートする。

---

広範に使用されているファイル圧縮ライブラリにセキュリティホールが発見された
Tripwire : The State Of Security （2016/06/23）
　3つの深刻な脆弱性が、広範に使用されているオープンソースの圧縮ライブラリ libarchive に発見されたので、研究者は、可能な限り早急に脆弱性あるソフトウェアにパッチするかアップグレードするようにユーザに呼びかけている。
　libarchiveプログラミング ライブラリは本来、FreeBSDプロジェクト用に開発されたが、現在、zip, tar, 7z, cab等々を含む広範なファイル圧縮フォーマットへのリアルタイム アクセスを提供するために世界中のソフトウェア プログラマによって使用されている。
　Cisco Talosのセキュリティ研究者の説明では、このリスクは、悪意ある攻撃者が、ユーザのコンピュータ上で認証されていない悪意あるコードを実行するために、新しく発見された3つの脆弱性の一つを悪用して、ブービートラップされたアーカイブ ファイルを作成することを可能にするものである。攻撃者が実行する必要のある唯一のことは、彼らの標的に対して毒のあるアーカイブ ファイルを送信することである。
　libarchiveは、Linux、BSD、システムに含まれる幾つかのファイル マネージャやパッケージマネージャ、並びに、OS XとChrome OS上で稼働しているツールに含まれるセキュリティ ツールとファイルブラウザによって使用されているので、あなたのシステムを確実に完全にパッチしておくことは、必ずしも取るに足らないことだというわけではない。
　このブログ ポストにおいて、Cisco Talosの研究者は、この問題を簡潔に概要している。

　Ciscoのブログ ポストは、3つの脆弱性の夫々に関して詳細な情報を提供している。これは以下である。

・　CVE-2016-4300 - 特別に細工された7-Zipファイルは、メモリ損壊とコード実行に帰結する整数オーバーフローを発生させることができる。
・　CVE-2016-4301 - バグの多いコードは、攻撃者がスタックベースのバッファ オーバーフローを発生させることを可能にする。
・　CVE-2016-4302 - libarchive RARリスタートモデル中のヒープ オーバーフロー。

　幸いなことに、この研究者（先月7-Zipファイル アーカイブのコード中に深刻な脆弱性を発見した人）は、livarchiveを維持している人に、この脆弱性の詳細を対応できるように明らかにした。そこで、このライブラリのパッチはリリースされている。
　しかしながら、このライブラリを使用している多くのサードパーティのツールが、この修正を実行することに時間がかかるのは不可避である。プログラマが、彼らが依存しているコード中に脆弱性があるとするアナウンスを追跡し続けることにいい加減なのは、よくあることだ。
　この問題は、ベンダのハードウェア（同様にlibarchiveライブラリを内包しているスイッチとルータを含む）に影響を与える問題でもあるという事実によって事態を悪化させている。簡潔に言うと、アップデートは相当の時間をかけて、ポツリポツリと来そうである。
　このピンチに遭遇した時、我々が実行できる唯一のことは、libarchiveのフローによって影響を受けるベンダとソフトウェアの開発者が彼らの製品を可能な限り早急にアップデートすることと、ユーザに、彼らのシステムをアップデートすることの必要性を警告することを希望することでしかない。
　他方、オンライン犯罪者が彼らが所有する優位性でこのフローを悪用する大変身に迫る危険が存在している

【編集者注】　この記事は、Graham Cluleyによって寄稿されたものである。この記事中の見解は、筆者の見解であり、必ずしも、Tripwire, Incの見解を反映しているものではない。

---

CryptoRogerと呼ばれる新しい身代金要求型マルウェアは、暗号化したファイルに .ｃｒｐｔｒｇｒ を追加する
BleepingComputer : News>Security （2016/06/21）
【訳者より】　和訳はしていませんが、Emsisoftから、身代金要求型マルウェアApocalypseとApocalypseVM用の復号プログラムがリリースされています。

ダウンロード（直リンク）

APOCALYPSE復号プログラム：　http://decrypter.emsisoft.com/download/apocalypse
APOCALYPSEVM復号プログラム：　http://decrypter.emsisoft.com/download/apocalypsevm

　CryptoRogerと呼ばれる新しい身代金要求型マルウェアが、MalwareBytesのセキュリティ研究者S!Riによって発見された。この身代金要求型マルウェアは、AES暗号化を使用して犠牲者のファイルを暗号化し、暗号化したファイル名に .crptrgr 拡張子を追加する。このマルウェアは、復号キーを取得するための身代金として 0.5 Bitcoin もしくは、360US$以上を要求する。残念ながら、この時点で、CryptoRogerによって暗号化されたファイルを復号する方法は知られていない。

CryptoRogerは、どのように犠牲者のファイルを暗号化しているのか？

　この時点で、CryptoRogerが拡散している方法は知られていない。この身代金要求型マルウェアがインストールされると、犠牲者のドライブのデータファイルをスキャンし、AES-256暗号化を使用して、それらを暗号化する、そして、暗号化されたファイルの名前に .crptrgr を追加する。例えば、test.jpgという名のファイルは暗号化されると、test.jpg.crptrgrとなる。暗号化された各ファイルに関して、この身代金要求型マルウェアは、オリジナル ファイルのMD5ハッシュを取得する、そして、%AppData%\files.txt ファイル中にファイル名と共に、これを格納する。
　この身代金要求型マルウェアは、ファイルの暗号化を実行すると、上に示した!Where_are_my_files!.htmlと名付けられた脅迫文を開く。この脅迫文は、犠牲者がuToxアドレス F12CCE864152DA1421CE717710EC61A8BE2EC74A712051447BAD56D1A473194
BE7FF86942D3E で、このマルウェアの開発者にコンタクトするためのuToxメッセージプログラムをインストールしなければならないと主張し、その指示を含んでいる。
　この説明は更に、あなたのファイルを復号するために keys.dat ファイルを彼に送信する必要があると述べている。実行ファイルで発見された文字列を基づくと、この keys.dat ファイルは多分、犠牲者のファイルを暗号化するために使用されたAESキーである。けれども、このファイル中のキーは、このマルウェアの実行ファイル中に格納されたパブリックキーで暗号化されているように見える。このマルウェアは、key.dat ファイルへのアクセスを持っているので、このマルウェアの開発者は、マスター プライベートRSAキーを使用して、それを復号することができる、そして、復号されたAES復号キーを支払いをした犠牲者に送り返す。
　最後に、この身代金要求型マルウェアは、Windowsスタートアップ フォルダに .VBS ファイルを作成するので、この身代金要求型マルウェアは、ユーザがWindowsにログインする度に起動される。これは、この身代金要求型マルウェアが、最新のログイン以降、作成されるであろうあらゆる新しいファイルを暗号化することを可能にしている。 　この身代金要求型マルウェアを議論したい人々やサポートを必要としている人々は、このフォーラムのトピック（CryptoRoger Ransomware Help & Support Topic - !Where_are_my_files!.html .crptrgr）を使用することができる。

CryptoRoger身代金要求型マルウェア関連ファイル

!Where_are_my_files!.html
%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\x.vbs
%AppData%\bg.jpeg
%AppData%\files.txt
%AppData%\keys.dat
%UserProfile%\CryptoRoger\[ransomware_exec].exe

CryptoRoger身代金要求型マルウェア関連レジストリエントリ

HKCU\Software\CryptoRoger\
HKCU\Software\CryptoRoger\AESFORUPRIVATE
HKCU\Software\CryptoRoger\UPRIV

---

Flashを切り捨てるか、それとも、36の脆弱性をパッチするのか、あなたの選択は？
The Register : Security （2016/06/16）
　Adobeは、CVEにリストされている3ダースの脆弱性を解決するFlashのアップデートをリリースした。
　このアップデートは、現在まさにインターネット上で、犠牲者のコンピュータにマルウェアをインストールするために悪用されている CVE-2016-4171 リモートコード実行の脆弱性の修正を含んでいる。
　Adobeは、Windows, macOS, Linux, ChromeOSでFlashを実行しているユーザは、可能な限り早急に、このプラグイン（このアップデートは、ランク「優先度１」を与えられている、そして、Adobeによると、「ターゲットにされている、もしくはターゲットにされる高いリスクがある」フローのために予定されていたもの）をアップデートするよう推奨されている。
　Adobeは、36のフローを通知した、Cisco Talos, Google Project Zero, FireEye, Microsoft Vulnerability Research, Tencent PC Manager, Kaspersky, Pangu Lab, Qihoo 360 Codesafe Teamのおかげだとしている。
　Windows, macOS, ChromeOS（並びに、Chromeブラウザ）に関しては、アップデート バージョンは 22.0.0.192 になる。Linux用のFlash Playerの最新バージョンは、11.2.202.626 である。そして、、Flash PLayerの継続サポートは、18.0.0.360になる。
　このアップデートは、Adobeが、Flash 並びに Cold Fusion, Creative Cloud, Brackets中の脆弱性を解決するための6月のセキュリティアップデートを投稿したその日に出現した。
　このリリースはまた、結果として、多くのソフトウェアメーカーが、彼らのブラウザからFlashを排除する選択を行う結果になっている。Appleは、大量のセキュリティフローが広範なブラウザプラグイン中に存在していることに起因して、FlashコードよりむしろHTML5コンテンツを選択しているGoogle Chromeの仲間入りをすることで、SafariがDefaultでFlashを無効にするだろうと発言している。
　ChromeとSafariのFlashが存在していないバージョンは共に、今年後半に一般利用可能なバージョンがリリースされることになっている。これらのフローのドライブバイの悪用を妨げるために、あなたが許可した場合のみ、ブラウザにFlashコンテンツを実行するように設定（クイック実行）しなければならない。

---

現在活発な攻撃の下にある緊急のAdobe Flashのバグは、パッチされていない
ArsTechnica UK : Security （2016/06/15）
　攻撃者は、広範に使用されているFlash Player中の緊急の脆弱性を悪用中である。そして、Adobeは、今週遅くまでパッチは準備できないと発言している。
　Kasperskyのグローバル研究解析チームのディレクターCostin Raiuによる火曜日に公開されたブログポストによると、この活発な0−Dayの悪用は、一番最近のFlashのバージョン 21.0.0.242 に対しても動作し、アンチウィルス プロバイダKasperskyの研究者によって今月初めに検出されていた。これは、"ScarCruft"（Raiuによると、高い価値の情報とデータのために企業や組織をターゲットにする"advanced persistent threat"（先進の持続的脅威）キャンペーンに携わっている比較的新しいハッキンググループに対してKasperskyが与えた名前）によって実行されている。
　現時点で修正されていない脆弱性は、CVE-2016-4171としてインデックスされている。Adobeの必要最小限のアドバイザリは、コチラである。
　この投稿は、Ars Technicaが初出である。

---

Microsoftの修正はグループポリシーを滅茶苦茶にしたので管理者は号泣している
The Register : Security （2016/06/15）
Microsoftの最新のセキュリティアップデートは、グループポリシー設定に問題を発生させている。
　ReditとMicrosoftサポートフォーラムのユーザは、MS16-072をアップデートをインストールした後、今までの隠しドライブと利用可能なドライブを無視してグループポリシー オブジェクト（GPO）設定の変更がなされたとレポートしている。
　「私は昨晩Windowsのパッチをインストールした、そして今朝、GPOで幾つかの問題を発見した」と、「例えば、デスクトップ イメージは表示されない。ユーザに非表示にしていたA,B,C,Dドライブは、現在表示されている」と、或る管理者は発言している。
　他のユーザは、プリンタとドライブマップにアクセス不能になり、セキュリティ設定はもはや適用されなくなったとレポートしている。
　このユーザは、PCとサーバからMS16-072アップデートをアンインストールすると問題は改善されるとレポートしているが、横たわっているセキュリティ問題をオープンにしたまま放置するという代償が伴う。管理者はまた、WSUS（Windows Server Update Services）制御を介してアップデートを配備しないという選択肢もある。
　MS16-072で説明されるCVE-2016-3223のフローは、ローカルネットワクへのアクセスを持つ攻撃者がターゲット マシンとドメイン コントローラの間で渡されるデータを読む中間者攻撃をセットアップすることを可能にする。Microsoftは、全てのサポートされるWindowsのバージョンで優先度を「重要」として、このセキュリティ情報を評価している。
　このセキュリティ情報は、定例のアップデートスケジュールの一部として、昨日Microsoftによってポストされた16のうちの一つである。MS16-072は、5つの「緊急」情報に次いで「重要」と評価される11の情報のうちの一つである。
　The Registerは、この件に関してMicrosoftにコメントを求めたが、この記事の公開の時点でMicrosoftからの解凍は戻ってきていない。

---

権限バグを塞ぐためにSumsung（サムスン）PCのブロートウェアをアップデートしなさい
The Register : Security （2016/06/13）
　他の脆弱性がSamsung Software Updater（SW Update） Serviceで警告されている。今回のものは、攻撃者にシステムの「完全制御」を潜在的に可能にしている。
　ドイツのコンサルタントBlue Frost Securityによるアナウンスでは、この脆弱性は、攻撃者が犠牲者のマシンを完全制御するために悪用することができる。
　この脆弱性を悪用するには（Full Disclosureへの投稿）、攻撃者はターゲット マシンに対する認証されたアクセスを必要とする、そこで彼らは、SW Updateディレクトリ中に細工されたDLLを投下することができる。
　これは、SW Serviceが、C:\ProgramData\Samsung\SW Update Service\ ディレクトリへの書き込みを認証されたあらゆるユーザに許可しているためである。
　アドバイザリが述べているところによると、次の再起動で、この細工されたDLLは、稼働され、攻撃者はターゲットの完全制御を取得する。
　システム管理者は、SW Updateを、バージョン 2.2.7.24 にアップデートする必要がある。もしくは、できないのであれば、システム管理者は、影響を受けるマシンのパーミッションを変更する必要がある、これで、ユーザは、SW Updateディレクトリへの書き込みができなくなる。
　3月に戻るが、この同じサービスは、中間者攻撃に対する脆弱性が発見されていた。
　PCベンダのOEMソフトウェアは、Lenovo, Acer, Asus, Dell, HPが、Duo Securityに「ベンダ奨励型クラップウェア」と名指しされ平手打ちを食らった5月以降、注目を集めている。

---

ChromeのPDF Readerは、任意のコード実行の欠陥がある
The Register : Security （2016/06/09）
　CiscoのTalosの一員の研究者は、PDFium（GoogleのChromeブラウザにDefaultでインストールされているPDF Reader）中に任意のコード実行のフローを発見した。
　CVE-2016-1681（TalosのAleksandar Nikolicによって発見された）は、埋め込みjpeg2000イメージを含んでいるこのPDFが、悪用可能なヒープ バッファ オーバーフローの引き金になることを意味している。
　Nicolicは、「OpenJPEGライブラリ中の既存のアサート コールは、スタンドアロン ビルドのヒープ オーバーフローを防止するが、Chromeのリリースバージョン中に含まれるビルドにおいては、このアサーションが省略されている」と記述しているので、このフローは、Chrome開発者の小さなエラーであるかのように見える。
　この省略は、PDFiumがOpenJPEGライブラリを呼び出すとき、バッファ オーバーフローを作成できることを意味している。これが引き起こされると、悪漢共が、彼らのコードを上手く成し遂げることが可能になる。
　Nikolicは、Googleが、このフローを修正したと記述している。
　あなたは、Chromeを単純にアップデートすることで、この変更を利用できる（バージョン 51.0.2704.63は、このバグを治している）。Chromeは、自動アップデートする（但し、自動アップデート以外が指示されている場合を除く）ので、殆どのユーザは保護されるだろう。
　Googleは、このバグを学習した後、大変速やかに行動した。Nikolicは、Tarosが、5月19日に、このフローをGoogleに通知し、Googleは、5月25日にこのフローを修正したと発言している。

---

UltraCrypterは、支払いしても復号キーを提供しない、代わりに、ヘルプデスクが追加された
BleepingComputer : News>Security （2016/06/06）
　最初から、CryptXXXとUltraCrypterは、身代金要求型マルウェアと支払いシステムに重要な問題を持っていた。最初の二つのバージョンは、暗号化アルゴリズムに欠陥があった、この欠陥は、Kasperskyに犠牲者用の無料の復号プログラムをリリースさせることを可能にした。彼らはこのフローを修正したが、身代金を支払った犠牲者に対してぶっ壊れた復号プログラムを配布し始めた。彼らの最新の問題は、UltraDeCrypter支払いシステムが、身代金の支払いを認識せず、犠牲者が復号プログラムをダウンロードすることが不可能なことである。

UltraDeCrypter支払いサイトは、支払いを認識していない

　身代金を支払うことは、常に最後の手段であるが、同時に、私は、個人や企業が、時として選択肢を持っていないことを理解している。そうは言うものの、UltraDeCrypter支払いサイトは、支払いを実行し、支払いが認められたが、依然として復号プログラムを提供されていないと、犠牲者が報告しているので、ぶっ壊れているかのようである。
　更に悪いことには、支払いシステムが、支払いが実行されたことを認識しておらず、タイマーは作動しつづけ、身代金の額は2倍になっていることにある。この例を以下に画像で示す。これは犠牲者が当初の身代金額 1.2 Bitcoin の間に支払いを実行したことを示している。

　この問題のために、あなたに選択肢がなく、身代金の支払いの実行を考えているのであれば、この問題が解決するまで、CryptXXX / UltraCrypterに対する身代金の支払いを行わないように強く忠告する。

CryptXXXのギャングは支払いサイトにHelp Desk（ヘルプ デスク）システムを起動した

　おそらく、このグループは、システムに問題を持ち続けているために、彼らは、UltraDeCrypter支払いサイトにHelpDesk（ヘルプデスク）を追加した。このタブは、万一の場合に、犠牲者が、支払いサーバのオペレータにコンタクトするために使用するためのフォームを含んでいる。

　身代金を支払ったが、支払いシステムから復号プログラムを提供してもらっていない人々のために、私は、このフォームを介して開発者にコンタクトするよう強く指示する。
　あなたが、この問題に関して彼らに接触する場合には、それがどのように動作したのかを、この投稿にコメントすることによって、我々に知らされたい。

---

Lenovoユーザは、危険なセキュリティホールが原因で、アクセラレータ アプリケーションをアンインストールしなければならない
GrahamCluley : News （2016/06/06）
　Lenovoは、深刻なリモートコード実行（RCE）の脆弱性が発見されたことにより、ユーザにアクセラレータ アプリケーションをアンインストールするよう促している。
　Lenovoは最近、緊急と評価されるリモートコード実行（RCE）のフロー（CVE-2016-3944）について幾つかの詳細を詳細を提供しているセキュリティ アドバイザリを公開した。

　このアクセラレータ アプリケーションは、Lenovo アプリケーションの起動をスピードアップする。このソフトウェアは、Windows 10が最初から組み込まれている一部のノートブックと、デスクトップ中にインストールされている。このことは、ErazerとIdeaCentreを含む46のノートブックと25のデスクトップが影響を受けることを意味している。
　Lenovo ThinkPadやThinkStationデバイスは、この脆弱性の影響を受けない。これは、この中国企業が、どちらの製品のタイプにも決してアクセラレータ アプリケーションをインストールしていないからである。
　中間者攻撃（MitM）は、笑い事で済ますことのできる話ではない。この攻撃は、監視能力を搭載しているマルウェアの変種でマシンが感染させられるか、もしくは、感染しているサーバと通信している脆弱性のあるサーバで発生する。
　攻撃者は、ユーザのログイン証明書、金融データ、他の個人情報をインターセプトし盗むために中間者攻撃キャンペーンを使用している。しばしば、ユーザは、取り返しがつかなくなる前に、彼らの通信がインターセプトされていることに気がつくことさえない。

　CVE-2016-3944は、幾つかの相手先商標名製造（OEM）のアップデートの検証、もしくは、購入後の最初のブートでコンピュータのアップデートの責任を負うソフトウェアの検証で、Duo Securityによって焦点を当てられた 1 ダースの脆弱性能値の一つである。
　これらのOEMアップデータの殆どは、ジャンクソフトもしくはブロートウェアであり、伝えられるところでは価値を追加するとされるが、実際には、新しいコンピュータの初期ブートを促進することは殆どない点に注意するよう、このセキュリティ企業は注意している。
　この研究で、Duoは、Dell, Hewlett Packard, Asus, Acer, Lenovoに影響を与える高いリスクのある脆弱性を発見した。
　これらの結果は、昨年のSuperfishの失態を思い起こさせる。今回に限り、ブロートウェアは、あらゆる種類のベンダに影響を与える産業界全般に渡る問題であることは明らかである。Duoの研究者達は、 彼らの論説で警告している。

　Lenovoは、このフローを修正しようとさえしていない。アクセラレータ アプリケーションはブロートウェアなので、実行する必要はないと思われる。代わりに、Lenovoは、Windows 10の「アプリと機能」に進み、Lenovo アクセラレータ アプリケーションを選択し、「アンインストール」をクリックすることで完全にこのアプリケーションをアンインストールするようにユーザを促している。
　いなくなって清々した。

---

WordPressユーザは、ポルノ スパム攻撃に悪用されているプラグインのフローを警告されている
Bitdefender : HOTforSecurity （2016/06/03）
　WordPressを稼働している数万のWebサイトは、ハッカーがポルノグラフィック スパム メッセージを挿入するために積極的に悪用している脆弱性のリスクがあると考えられている。
　この問題は、WP Mobile Detector と呼ばれるWordPressプラグインのバージョンに存在している。このプラグインは、訪問者がモバイル デバイスでWebサイトをブラウズしているか否かを検出し、デスクトップ ブラウザ用にデザインされているテーマに代えて、そのプラットフォーム用の適切なテーマを表示することを企てるものである。
　セキュリティ研究のSucuriのレポートによると、WP Mobile Detector中の0-Dayの脆弱性は、5月末（この開発者が問題を説明された数日後）にPlugin Vulnerabilitiesチームによって閉じられた。 　攻撃者は、適切に認証し、誰かが脆弱性のあるWebサイトに悪意あるPHPコードをフィードすることを可能にする、危険なソースから入力されるWebを取り除くことができていなかった、このプラグインのコード中のフローを悪用していた。
　警告を発生させたものは、攻撃者が、一般的に、リモートアクセスを取得すことを可能にするペイロードの引き金を引くために、このセキュリティホールを悪用するだけのことだった。SucuriのDouglas Santosは、以下のように説明している。

　WP Mobile Detectorのメーカーは、彼らが修正を作業している間、WordPressプラグイン ディレクトリから脆弱性のあるコードを削除したが、もちろん、これは、当面Webサイトがセキュリティ侵害されないことを意味していない。 　リリースからのこのプラグインの撤退に先立って、報道されるところでは、実際のインストレーションは1万を超えている。そして、この脆弱性のニュースが公開されて以来、数字は明らかに急落しているが、このフローを介して悪用されるリスクのあるWebサイトは世の中に依然として存在していそうである。
　昨日、WP Mobile Detectorの、このフローを修正した新しいバージョン（バージョン 3.6）が、開発元のWebsitezからリリースされた。記述している時点では、最新のエディションは、バージョン 3.7である。
　もちろん、このプラグインの新しいバージョンは、Webサイトの管理者が、何よりもまず、このプラグインのバージョンをアップデートしない限り、何の助けにもならない。
　読者は、WordPress.orgの自己ホスト型WordPressバージョンを実行しているサイトとWordPress.comで稼働している数百万のブログを混同してはならない。（Automatticで稼働している）WordPress.comが、あなたに代わってWordPressのインストレーションを管理し、あなたに代わってセキュリティの世話をしている。
　上述のフローはWordPressの自己ホスト型のバージョンでWP Mobile Detectorを稼働している場合にのみ問題となる。更に、この脆弱性は、悪用されるためにはサーバー上で allow_url_fopen オプションが有効になっていなければならないことを理解することである。
　あなたがWordPressアカウントを自己ホスト型で実行しているのであれば、このソフトウェアと多くのサードパーティ プラグインには脆弱性がしばしば発見されるので、そのセキュリティは、あなたの責任であることを認識する必要がある。
　あなたはWordPressとそのプラグインのアップデートを維持することで、使用するプラグインの数を最小に止めることで、独自のサイトをセキュリティ侵害されるリスクを軽減できる。
　我々は紛らわしい名前のトピックに存在しているが、この問題がWP Mobile Detector中に存在しており、類似の名前（WP Mobile Detectのような）の他のWordPressプラグインには存在していないことを理解することは重要である。
　名前は、テクノロジの世界では大変紛らわしい。そう考えるのは、あなただけではない。

---

少なくともOutlook Webメール利用者にとって、スパムは依然として問題である
GrahamCluley : News （2016/06/02）
　あなたは、スパムは過去の問題であると誤解しているかもしれない。
　そう、200年代に戻って、あなたは自分自身が「ナイジェリアの王子」（偽の博士号、あなたの男らしさを助長する疑わしい方法...、しかし、以前のように、それを見ることはないだろう）によって盗聴されていることに気がついていたかもしれない。 　間違いなく、スパマーは世の中に存在している、しかも、以前より忙しく。
　唯一の相違点は、我々の多くが使用しているWebメールサービスの一部が、全く適切にスパムをフィルターする機能を持っており、あなたが本当に読みたいeMailの決して（殆ど）邪魔にならない場所にスパムを押し込んでいることである。
あなたは過去に自身を苦しめていたものを発見し、自身を大胆であると思っているのであれば、あなたはスパム フォルダに移動すればよい。
　一、二回のクリックで、あなたは立ちどころに過去に戻り、どのようにしてスカムを信じ込むことができたのか、あるいは、どのようにして、あなたのPCを感染させるために設計された悪意ある添付ファイルをクリックするように騙されたのかということへの当惑で、あなたの頭を振ることになるだろう。
　しかし、まさに今週、彼らのWebメール アカウントで、何の努力もせずにスパムを発見した一つのグループが存在した。これは、Microsoftが、彼らの受信箱に直接それを配達していたためである。

erica jeanによるTwitterへのリンク

　そう。BBCニュースの報道では、Microsoftのスパムフィルターに何らかの故障が発生した後、Outlook.comのユーザ（Hotmailの新しい名前）は昨日、自分たちがスパムで水浸しになっていることを発見した。

　もちろん、これは、Microsoftが、Outlook.comユーザにノスタルジックな旅行を奢る親切であるが（【訳注】 筆者の皮肉）、彼らのeMail受信箱が、仕事にせよ遊びにせよ可能な限りゴチャゴチャにならないことを信頼している人々にとって大変不適切なものである。

---

Microsoftがワーム型身代金要求マルウェアを警告している。手っ取り早い解決法は、Windows 10 へのアップグレード
The Register : Security （2016/06/01）
Microsoftは、Windows 10 以前のオペレーティングシステムの外付けドライブに感染するワーム型身代金要求マルウェアを警告している。
　ZCryptスカムウェアは、フィッシングeMail、Wordドキュメント マクロ、インチキのAdobe Flashインストーラという、古いが効果的な方法で拡散している。
　これは、犠牲者の外付けデバイスのファイルが暗号化され、Bitcoinで500US$支払った後にだけ復号できることを犠牲者に案内するHTMLファイル中で警告通知された。
　ZCryptは、遺物である64bit Windows XP と、Windows 10へのアップグレード電撃戦に抵抗している Windows 7 と 8 で稼働する。
　「我々は、ワームのような挙動を呈する新しいタイプの身代金要求型マルウェアについて、Windowsユーザに警告している」と、「この身代金要求型マルウェアは、それ自体を増殖するために、そして、より多くのユーザに影響するために、外付けドライブとネットワークドライブに影響を及ぼしている」と、Microsoftのセキュリティチームは発言している。
　Microsoftは、まず、Windows 10 にアップグレードし、そして、アンチウィルスをアップデートすることによって、ハードドライブのファイルをバックアップし、Windows Edgeブラウザを使用することで、自身を保護するようユーザに推奨している。
　マクロは追放されなければならないし、海賊版とポルノのサイトは回避されなければならない。
　このマルウェアは、ファイル暗号化の間に、USBデバイスが検出されなかったと示唆するインチキのWindows警告を投げてくる。
　Trend Microのマルウェア専門家Michael Jay Villanuevaは、身代金が支払われない場合、身代金の要求額は、5日間かけて 2200US$ に増加すると発言している。これは、支払うまいとするチャンスを妨げ、パニックに陥らせて支払う可能性を増やそうとする一般的な策略である。
　「この身代金要求型マルウェアは、独自で拡散する能力のある殆ど存在しないタイプの身代金要求型マルウェア ファミリーの一つである」と、「この身代金要求型マルウェアは、USBの使用を危険な行為とするために、それ自体のコピーを外付けハードドライブにドロップする」と、Villanuevaは発言している。
　殆どのアンチウィルスは、少なくとも幾つかのこのトロイの変種を検出するが、無料でファイルを復号する方法は存在していない。

---

6500万人のTumblrユーザは、おそらく慎重になるべき
ESET : We Live Security （2016/05/30）
　今月の初め（【訳注】 05月12日）、2013年まで遡り、ユーザのアドレスとソルト（【訳注】 パスワードを暗号化する際に付与されるデータのこと（日立ソリューションズより））され、ハッシュされたパスワードが、ハッカーの手に落ちていたことに最近気がついたと、Tumblrは明かにした。

　Tumblrは、影響を受けたユーザに新しいパスワードを選択するように要請したと発言している。
　しかし、そこにはTumblrが発言していない幾つかのことがある。
　例えば、この簡単なアナウンスにおいて、晒されたTumblrユーザの数は発言されていない。
　更に、Tumblrは、Tumblrユーザによって選択された新しいパスワードが、一意であり、Web上の他の何処でも使用されていないことを保証することの重要性を強調していない。これは、ネット上の他の場所で、彼らが現在のTumblrパスワードと同じパスワードを使用している場合、これらのパスワードもまた変更する必要があることを、ユーザに思い出させないだろう。
　ソルトされ、ハッシュされたパスワードを格納するためにTumblrによって使用されたアルゴリズムによるが、パスワード自体がクラックされる可能性が遠のいたと、彼らが考えていない可能性がある。これは、（例えば、彼らが平文でパスワードを保存するミスを犯していたような場合）、あなたが通常期待するアドバイスが提供されていないことが理由である。
　しかし、Tumblrがユーザに警告し忘れていた他のことがあった。このパスワード データベースが、オンライン犯罪者によって簡単にクラックされていなかったとしても、悪漢共は現在、ユーザのeMailアドレスを保有している。 　パスワードがなくても、攻撃者は、この情報を使用してTumblrユーザをスパムすることができるだろう（おそらく、本物のTumblrからの通信を装って、マルウェアの配布や、フィッシングeMailしたり）。
　言い換えると、あなたのパスワードが2013年のデータ漏洩の結果としてクラックされていなかった場合でさえ、そして、その後にパスワードを変更していた場合でさえ、あなたは依然として慎重である理由を持っている。
　いったい、何人の人達が慎重になる必要があるのか？
　私は昨晩、私がTroy Huntの Have I Been Pwned サイトから、私の個人情報がTumblrデータ漏洩中に発見されたことを私に警告する通知eMailを受け取っていたことを発見した。。

Huntは、最近65,469,298の一意のeMailとハッシュされたパスワードを含むものがコンピュータ地下組織で販売されているデータベースに遭遇した。
　Motherboardのレポートとして、このデータベースは、"Peace"の名前で通っているハッカーによって、僅か$150（【訳注】 約16000円）販売されている。"Peace"はまた、Tumblrがパスワードの格納に、クラックすることが大変難しいSHA1アルゴリズムを使用していたと主張している、多分安価を説明するために。
　あなたのTumblrパスワードが、クラックされ大きなリスクを持つものでないとしても、多分、それを変更すべきである。パスワードを一意のものに変更し、クラックや推測することを困難にしなさい。私はまた、あなたのTumblrアカウントに二要素認証を有効にするようアドバイスする。
　パスワードの漏洩を解決することで、あなたがリラックスできると考えないようにしなさい。あなたのeMailアドレスは今、「世の中に」存在し、犯罪者は、あなたと6500万Tumblrユーザに接触する方法を認識している。
　常に、勝手に送りつけられる予想外の電子メールに用心しなさい、そして、添付ファイルを開き、リンクをクリックすることに注意を働かせなさい。　

---

CryptXXXが3.0にアップデートされた。復号プログラムも、これに対応してアップデートされた
BleepingComputer : News>Security （2016/05/24）
　5月21日、CryptXXX身代金要求型マルウェアの開発者は、Kasperskyの無料のファイル復号プログラムRannohDecryptorを停止するために、バージョン3.0のコードをアップデートした。
　残念なことに、このアップデートは、このマルウェア開発者の復号プログラムも復号不可能にする予想外の結果ももたらした。
　CryptXXXがリリースされて以来、このマルウェアは、Kasperskyが無料で犠牲者のファイルを復号することを可能にしていたバグと欠陥を塞いできた。今回、このマルウェア開発者は、身代金を支払った人々の複数の報告を基に、Kasperskyを停止させるために、そのバージョンを3.0にアップデートした。このアップデートはまた、このマルウェア開発者独自の復号プログラムを利用不可能にしたかのようである。

　CryptXXX 3.0に感染した人々に関して、あなたは、動作する復号プログラムを受け取れない可能性が高いので、身代金を支払わないようにアドバイスされている。代わりに、Kasperskyが、CryptXXX復号アルゴリズムをバイパスする彼らの復号プログラムをアップデートする可能性があるので、待つべきである。
　この身代金要求型マルウェアについて議論したい人々やサポートを受けたい人々は、無料のアカウント登録を行い、このフォーラムを訪問しなさい。あなたはまた、CryptXXX Ransomware Help, Information Guide, and FAQで、助言を求めることもできる。

復号プログラムがアップデートされた（2016/05/25）

　CryptXXX 3.x用の新しい復号プログラムをリリースしなければならないために、このマルウェア開発者の耳は、キーンという耳鳴りがしていたに違いない。ある訪問者（もしくは、内部者）は、「ハッカーが復号アプリケーションをアップデートした」とするコメントをこの記事にポストした。

　私は、CryptXXX支払いサイトから現在の復号プログラムをダウンロードした、この復号プログラムは実際にアップデートされており、以下に示すように、CryptXXX 3.xバージョン用であることを表している。

　テストでは、今回のバージョンの復号プログラムは、身代金を支払った人々のファイルを実際に復号している。

---

TeslaCryptはシャットダウンし、マスター復号キーがリリースされた
BleepingComputer : News>Security （2016/05/18）
　TeslaCryptの最後は驚きであった、この開発者達は、彼らの身代金要求型マルウェアをシャットダウンし、マスター復号キーをリリースした。過去数週間に渡って、ESETのアナリストは、TeslaCryptの配布者が、CryptXXX身代金要求型マルウェアの配布に切り替わっていたので、TeslaCryptの開発者達が、ゆっくりと彼らのドアを閉じつつあることに気がついていた。
　ESETの研究者は何が起こっているのかを認識していたので、当てずっぽうを言い、Tesla支払いサイト上のサポートチャットを使用して、彼らがマスターTeslaCrypt復号キーをリリースするかどうか尋ねてみた。彼が驚き、喜んだのは、彼らが、マスター復号キーをリリースすることに同意し、現在消滅している支払いサイト上にそのことをポストしたことであった。

　現在、この復号キーは公に利用可能になったいる。これで、TeslaCryptの専門家BloodyDollyは、TeslaDecoderをバージョン 1.1 にアップデートしたので、バージョン 3.0 と 4.0 のTeslaCryptで暗号化されたファイルは復号することができる。これは、 .xxx, .ttt, .micro, .mp3 拡張子、あるいは、拡張子なしでTeslaCryptに暗号化されたファイルを持つ誰もが、ファイルを無料で復号することができる

TeslaCryptで暗号化されたファイルを復号するためにTeslaDecoderを使用する方法

　TeslaCryptのマスター復号キーのリリースに伴い、犠牲者は、TeslaDecoderをダウンロードし、TeslaCryptで暗号化されたファイルを復号することができる。以下のダウンロードリンクを使用して、TeslaDecoderをデスクトップに保存しなさい。

TeslaDecoderダウンロード リンク

　TeslaDecoderはZIPファイルとしてダウンロードされるので、解凍する必要がある。次に、TeslaDecoder.exe をダブルクリックする。これは以下に示すようにTeslaDecoderを起動する。

　ここで、Set Keyボタンをクリックし、あなたの暗号化されたファイルに使用されている拡張子を選択する。

　あなたの暗号化されたファイルが、本来のファイル名と同一である場合には、上図において強調表示されているオプションを選択しなさい。
　あなたの暗号化されたファイル拡張子を選択したら、以下の画像に示したようにSet Keyボタンをクリックしなさい。

　これで、あなたは以下に示すように、この復号プログラム中にロードされた正しい復号キーの付属するメイン スクリーンに戻る。

　正しい復号キーが、この復号プログラム中に設定されたので、あなたは、特定のフォルダを復号するのか、それともドライブ全体をスキャンするのかのどちらかを選択することができる。特定のフォルダを復号するには、Decrypt folderボタンをクリックする。コンピュータ全体を復号するには、Decrypt allボタンをクリックする。あなたがこのボタンをクリックすると、TeslaDecoderは、復号された（暗号化されていない）バージョンで、暗号化されているファイルを上書きするかどうかを尋ねてくる。安全のために、復号が失敗した場合を考慮して、私は常に、これを実行しないように提案している。
　TeslaDecoderがファイルの復号を完了すると、このプログラムは、メイン ウィンドウ中に概要を示してくる。

　これで、あなたのファイルの全てが復号されているはずである。あなたがファイルの上書きを選択していない場合には、暗号化されたファイルのバックアップがある。このバックアップファイルには、.TeslaBackup 拡張子が付けられている。
　ESETに、取り分けリリースされているTeslaCryptの全てのバージョンを監視しつづけたBloodDollyに感謝する。彼は、身代金要求型マルウェアと戦うために、世界中のTeslaCryptの犠牲者を支援するためにすさまじい量の仕事をしてきた。

---

Shopperzアドウェアは検出と削除を妨げるためにRootkitを使用している
BleepingComputer : News>Security （2016/05/18）
　最近、私は、Zemanaのマルウェア アナリストDjordje Lukicによって、Shopperzアドウェアの新しい変種に関して警告された。彼は、この変種が現在、このアドウェアの調査と削除を妨げるためにRootkitを使用していると、そして、Zemanaは検出し削除することが可能であると、私に告げた。
　Rootkitは、それ自身、他のファイル、コンピュータデータを隠蔽することを企てるコンピュータ感染なので、それらはユーザやオペレーティングシステムによって視認されない。Rootkitは、オペレーティングシステムによる要求をインターセプトすることで、それが真実でない場合でも、Rootkitが望んでいるものを通知することによって隠蔽を実行している。
　私はテストマシンにShopperzアドウェアをインストールし、このアドウェアが実行することを確認することを決定した。そして、私は、訪問した様々なWebサイトで挿入されている広告によって迎えられた。

　私がまた、この感染に関連するフォルダの一つを開こうとしたとき、私は、パラメータが不正なので、このフォルダにアクセスできないとするエラーメッセージを受け取った。

　Rootkitの存在を検索するために、私は、GMER（オペレーティングシステムから隠れている二つのドライバを即座に検出する）を起動した。これはRootkit活動が存在していることを示している。

　私は、この二つのRootkitサービスを無効にし再起動した。次に、以下に示すように C:\Program Files\Giolmujiwecder フォルダにアクセスできた。

　アドウェアは始末に負えない、そして、Rootkit関して政府機関が何もしていないことは私には不可解である。我々は、アドウェアが、承認なくスクリーンショットを撮り、彼らのハイジャック方法を隠蔽するためにWMIを使用し、中間者攻撃を実行し、cryptocoin miners（仮想通貨マイナー ソフト）をインストールし、現在、Rootkitを使用していることを認識している。我々が広告の表示ではなく完全なコンピュータ感染の領域に入っているので、アドウェア提供者の活動の制限が実行される必要がある。
　このアドウェアに感染した人々に関して、我々は、こちらに、このアドウェアの削除ガイドを持っている。

How to remove Giolmujiwecder Ads (Removal Guide)

---

Emsisoftが、Xoristと７７７身代金要求型マルウェアの復号プログラムをリリースした
BleepingComputer : News>Security （2016/05/17）
　本日、EmsisoftがXorist身代金要求型マルウェア ファミリーと、７７７身代金要求型マルウェア感染用の二つの新しい身代金要求型マルウェア復号プログラムをリリースした。Xorist身代金要求型マルウェアは、以前から存在していたが、Fabian Wosarは、ケースバイケースを基本に犠牲者を手作業で支援していた。７７７身代金要求型マルウェアの影にいる身代金要求型マルウェア ファミリーもまた、以前から存在しているが、このサンプルは最近発見されたので、復号プログラムが作成されることとなった。
　この二つの復号プログラムに関する詳細を以下に記す。

Xorist身代金要求型マルウェア ファミリー復号プログラム

　Xorist身代金要求型マルウェアは、暗号化したファイルに、 *.EnCiPhErEd, *.0JELvV, *.p5tkjw, *.6FKR8d, *.UslJ6m, *.n1wLp0, *.5vypSa and *.YNhlv1 のような様々な拡張子をつけてファイルを暗号化する。このファミリーは、ランサムウェア ビルダを利用していることで大変使用しやすいので、大変多くの拡張子が拡散者によって使用されている。
　この復号プログラムを使用するには、同じフィルのペア（暗号化されたファイルと暗号化されていないファイル）を復号プログラムにドラッグする必要がある。次に、この復号プロガラム犠牲者のファイルを復号するために使用される復号キーを発見するためにブルートフォース（【訳注】 総当たり）を実行する。

　このブルートフォースのプロセスは一般的に最大で2ー3時間を要するはずである。

DECRYPT_XORIST.EXE ダウンロード

　我々は、Xoristに関する記事をこちらに持っている。そして、このツールに関するメインのダウンロードページは、Emsisoftのサイトに見つけることができる。

７７７身代金要求型マルウェア復号プログラム

　777身代金要求型マルウェアは、2015年から存在していたようであるが、このサンプルは最近発見された。この身代金要求型マルウェアは、ファイルを暗号化し、それらに .777 拡張子を付ける。Fabian Woserは、この身代金要求型マルウェアによって暗号化されたファイルの復号プログラムを作成した。
　この復号プログラムを使用するには、単純にこのプログラムをダウンロードし、スキャンを実行する。この復号プログラムは、.777拡張子が末尾についたあらゆるファイルを自動的に復号する。

DECRYPT_777.EXEダウンロード

　この身代金要求型マルウェアに関するサポートトピックはこちら（.777 Ransomware Help & Support Topic(.777 Extension)）である。

---

アンチウィルス製品とセキュリティ デバイスは、7-Zipのフローの影響を受ける
GrahamCluley : News （2016/05/13）
　研究者は、7-Zip中の二つの脆弱性を明かにした。この脆弱性は、様々なセキュリティ デバイスやアンチウィルス製品を攻撃に弱いままにしている。
　7-Zipは、ユーザが大変高い圧縮率でのアーカイブを取り扱うことを可能にするオープンソースのWindowsユーティリティである。このアプリケーションは、大きなファイルのサポートを提供し、任意のAES-256暗号化を特徴としているが、ユーザは「あらゆる圧縮、変換、もしくは暗号化方法を」使用することができる。
　このファイル アーカイバは無料である。そして、情報セキュリティの対立する両方の側（【訳注】 例えば、サイバー犯罪者とセキュリティ企業のような）に多くの注意をもたらした。
　NetworkWorldによると、一方の側、FireEye, Malwarebytes, Comodoを含む複数のベンダは、彼らのアンチウィルス製品に7-Zipのライブラリとコンポーネントを統合している。
　別の側、攻撃者は、Nemucod（ZIP添付ファイルを装うトロイの木馬ダウンローダー）を修正し、犠牲者のファイルを暗号化するために7-Zipのソフトウェアを使用して完全に機能する身代金要求型マルウェアの変種にした。

　しかし、ユーザは警告されている。最近、Cisco Talosは、7-Zip中に複数の脆弱性を発見した、この脆弱性は通常より、もっと深刻なセキュリティフローである。Cisco Talos Security Intelligence & Research Group の Marcin Noga と Jaeson Schultzによるブログ ポストでの説明では、 Cisco Talosは、特に二つのフローを確認した。最初のフロー（CVE-2016-2335）は、7-ZipがUniversal Disk Format (UDF)ファイルを取り扱う方法中に存在する、領域外メモリー参照の脆弱性である。攻撃者は、任意のコード実行をアーカイブするためにこの脆弱性を潜在的に悪用することができる。
　二つ目のフロー（CVE-2016-2334）は、7-Zipの機能Archive::NHfs::CHandler::ExtractZlibFileメソッド中に存在するヒープ オーバーフロー脆弱性である。このフローは、特定のサイズを超える圧縮ファイルをリソースフォークに格納し、ブロックに分割する方法に付随している。これらのブロックサイズのチェックに失敗すると、バッファオーバーフローとヒープ破壊を発生する不正な形式のブロックサイズに帰結する。

　研究者達が彼らの投稿で、二つのバグは同じ問題から発生していると記述している。 　ユーザは全ての脆弱性の存在する7-Zipのバージョンを、最新の改定版 バージョン 16.00に可能な限り早急にアップデートすることを要請されている。
　このフローの影響を受ける製品のセキュリティベンダも、同じことを実行するよう希望する。

---

バングラデシュ襲撃の後、二つ目の銀行がサイバー攻撃を受けていたことが、SWIFT（国際銀行間通信協会）によってが検出された
BBC : Technology （2016/05/13）
　二回目の攻撃に関する警告がSWIFT（国際銀行間通信協会。世界的な送金をサポートする金融メッセージネットワークを監督する組織）からもたらされていた。
　SWIFTは、ターゲットは商業銀行であったが、組織の名前や、どれくらいの現金が奪われたかは明らかになっていないと発言している。
　この攻撃では、二月にバングラデシュから現金を盗むために使用されたものと類似のテクニックとツールが使用されていると、SWIFTは発言している。
　SWIFTは、世界中の凡そ11000の金融機関によって大量の現金を動かすことに使用されている。
　この攻撃者は、ターゲットにされた銀行の「具体的な運転管理の詳細で大変高度な知識」を持っていた、そして、「悪意ある内部関係者」によって彼らの窃盗を支援してもらうことができたと、SWIFTは発言している。
　両方の攻撃において、盗人達は、彼らが制御している口座に多量の現金を送信するためにSWIFTネットワークに詐欺的なメッセージを提出しようとしていた。

スペルミス

　二月の攻撃の解析は、ニューヨークの連邦準備金でバングラデシュ中央銀行によって保持されているアカウントから、他のアカウントに現金を送ることによって、約 10億ドルを盗むことを目的としていたことを示唆している。
　振替指図の一つでのスペルミスは、スタッフに疑念を抱かせ、大量の現金が行方不明になることを防止した。
　二度目の攻撃は、バングラデシュの盗難が、孤立した事件ではなく、「銀行を標的にした広範で高い適応性のあるキャンペーンの一部」ということを示したと、SWIFTは発言している。
　SWIFTネットワークを巧みに取り扱うことがサイバー犯罪者によって企てられたにも拘らず、その中核ネットワークは安全なままであると、SWIFTは付け加えている。
　四月、SWIFTは、顧客のセキュリティの改善を支援するとされるソフトウェアアップデートをリリースした。
　二月の攻撃での調査は、サイバー犯罪者が、貧弱なセキュリティ コントロールのために、この中央銀行ネットワークへのアクセスを勝ち取ったことを明らかにしている。
　この銀行はファイアーウォール（認証されていないアクセスの要求をブロックするように設計されている）も持っていなかった。この銀行はまた、グローバル ファイナンシャル ネットワークに接続するために中古のインターネットルータ（10$程度の）を使用していた。

---

米国連邦議会は、身代金要求型マルウェアの波状攻撃の後、Yahooメールをブロックしている
Bitdefender : HOTforSecurity （2016/05/12）
　Gizmodoは、4月末、IT部署によって下院のスタッフに送信された、身代金要求型マルウェア攻撃が増加が確認されたことを警告しているeMailのコピーを何とか入手した。これは、主にYahooメールを介して出現している。
　このeMailの一部を引用する。

　Gizmodは、姓名不詳の議会スタッフが、少なくとも身代金要求型マルウェアの一つでコンピュータを感染させられ、結果としてハードドライブを完全に削除されたことが確認されたとレポートしている。
　この警告がスタッフ、男性及び女性下院議員に送信される直前に、FBIは、身代金要求型マルウェアが増加傾向にあることを、必ず予防措置か、攻撃者によって暗号化されるであろうファイルを復元可能な状態にしておくかの何れかのステップを取るように、消費者と企業に警告する独自のパブリック アドバイザリをリリースしていた。
　事実は、身代金要求型マルウェアが、世界中の個人や組織の大小を問わず金銭を強奪することに、選り好みはしていないということである。身代金要求型マルウェアの一部（残念ながら僅か）は、身代金を支払うことなくファイルを安全に復号することを可能にするバグを含んでいる。
　いつものように、この答えは、「予防は如何なる治療より勝る」である。あなたのコンピュータを身代金要求マルウェアに攻撃されることを止めるための方法に関する私の最上の秘訣に関しては、Bitdefender Business Insightsブログの私の記事をチェックしなさい。
　あなたのシステムを防御し、組織化された安全なバックアップ体制を持つことによって脅威を軽減することの保証とは別に、我々は、ISP（インターネット サービス プロバイダ）やWebメール提供者が攻撃を同定し根絶することで彼らの役割を果たしてもらいたい。
　身代金要求型マルウェア攻撃が、本当にYahooメールアドレスからスパムされているのであれば、これは、Yahooが悪意ある行為に従事している悪用されているアカウントからの犯罪を防止するための最善の仕事をしていないことを示唆している。

---

Jigsaw身代金要求型マルウェアは、ポルノ拡張を伴ってCryptoHitmanに変身している
BleepingComputer : News>Security （2016/05/11）
　悪名高いJigsaw身代金要求型マルウェアは、CryptoHitmanとして、それ自体の名前を変更した、そして今、人気のあるヒットマン ビデオゲームや映画のキャラクターを使用している。更に、そのロック画面にヒットマンのキャラクターを追加するために、CryptoHitmanは、ロック画面を明らかに開くと都合の悪いポルノ画像で覆っている。

　今までのJigsaw身代金要求型マルウェア感染のように、CryptoHitmanは、あなたのデータをAES暗号化で暗号化し、あなたのファイルを復号する前に身代金の支払いを要求する。この身代金の支払いを行うために、あなたは、cryptohitman@yandex.com に送金することが要求される。
　残念なことに、このバージョンは依然として、このプロセスを再起動する度に、あなたのファイルを削除し、タイマーは 0 に向かって下がっていく。
　大きな相違点としては、新しいポルノグラフィックスのロック画面、ヒットマンのキャラクターの使用、全ての暗号化されたファイルに追加される新しい .porno 拡張子、身代金要求型マルウェア実行ファイルの名前が新しくなったことである。別の面では、この身代金要求型マルウェアは、オリジナルのJigsaw身代金要求型マルウェアと同じことを実行する。
　このサンプルを共有してくれたFletch Secに大いに感謝する。大事なことを言い忘れたが、ヒットマンのフランチャイズのオーナーは、全くこの身代金要求型マルウェアと提携していない。

復号し、Jigsaw身代金要求型マルウェアを削除する方法

　有難いことに、DemonSlay335は、既存のJigsaw身代金要求型マルウェア用復号プログラムを修正することができたので、CryptoHitmanで暗号化されたファイルも復号することが可能である。あなたのファイルを復号するために、あなたが実行すべき最初のことは、あらゆる他のファイル削除されることを妨げるためにタスクマネージャで、%LocalAppData%\Suerdf\suerdf.exe と %AppData%\Mogfh\mogfh.exe プロセスを終了させることである。次に、MSConfigを実行し、これらの実行ファイルに関連するスタートアップ エントリを無効にしなさい。
　あなたが、この身代金要求型マルウェアを終了し、スタートアップを無効化すると、ファイルを復号する段階に進むことになる。この最初のステップは、以下のURLからJigsaw復号プログラムをダウンロードし解凍することである。

https://download.bleepingcomputer.com/demonslay335/JigSawDecrypter.zip

　このプログラムを起動するには、JigSawDecrypter.exe ファイルをダブルクリックする。プログラムが起動したら、以下類似の画面が表示されるだろう。

　ファイルを復号するには、単純にディレクトリを選択し、"Decrypt My Files"ボタンをクリックしなさい。あなたがドライブ全体を復号したいのであれば、C: ドライブ自体を選択しなさい。あなたは、このプログラムが、あなたのファイルを適切に復号していることを確認するまで、"Delete Encrypted Files"をチェックしないように推奨されている。
　あなたのファイルの復号が終了したら、以下のような画面が表示される。

　これで、あなたのファイルは復号されたが、私はあなたのコンピュータの感染をスキャンするためにアンチウィルスもしくはアンチマルウェアを実行するように提案する。あなたが、CryptoHitmanファイルの復号に関して支援を必要とするのであれば、こちらのサポートトピック（CryptoHitman Ransomware Support and Help Topic (.Porno Extension Jigsaw variant）で支援を要請することができる。

CryptoHitman関連ファイル

CryptoHitman関連レジストリ エントリ

---

犯罪者は、Flashの0-Dayの脆弱性を悪用している
The Register : Security （2016/05/12）
　Adobeは今週、インターネット上で活発に悪用されているFlash Player中の緊急の脆弱性をバッチするだろう。
　明日、リリースされる予定のパッチに先立って、この悪用（CVE-2016-4117）に関して利用可能な情報はない。
　「緊急の脆弱性（CVE-2016-4117）は、Windows, Macintosh, Linux, Chrome OS 用のAdobe Flash Player 21.0.0.226と、それ以前のバージョン中に存在している」
　「Adobeは、CVE-2016-4117に関する悪用がインターネット上に存在しているとする報告を認識している。」
　「悪用が成功すると、クラッシュが発生し、攻撃者が影響を受けたシステムの制御を奪うことを潜在的に可能にする」と、Adobeは発言している。
　この悪用はAnglerのような犯罪キットを使用することが可能である。これの開発者は、Flash、Java、Silverlightのようなランタイムを介してユーザを攻撃する新しい方法を発見したがっている。
　この悪用は、Malvertising campaign（【訳注】 オンライン広告を通じて行われるマルウェア拡散や悪質サイトへのリダイレクトといった悪意ある行為（Weblioより））中で使用されることができる。そうすると、アップデートされたWindows, Adobe Flash, Internet Explorerの幾つかの組み合わせを実行している全ての者が、悪意ある広告を配布しているWebサイトを単に訪問することによってコッソリとセキュリティ侵害されることが可能である。
　MagnitudeとNuclear悪用キットの背後にいる犯罪者が、0-Dayの脆弱性を悪用していることが発見された先月、このような攻撃は実行された。
　Adobeは、Web全体での大量の犠牲者を回避するために定例外のパッチをリリースした。

---

あなたのWebサイトやブログは、ImageMagicのセキュリティホールで危機に晒されているか？
Sophos : NakedSecurity （2016/05/04）
　ImageMagicは25年以上に渡って存在している無料でオープンソースの画像処理ソフトウェアである。
　あなたは、このソフトウェアについて聞いたことがないかもしれないし、このソフトのロゴ（二進数を散りばめた帽子を被り、長い白ヒゲをはやし、画像を調整する魔法の杖を持った親しみ易そうな魔法使い）を見たことも無いかもしれない。
しかし、例えば、あなたがWebページや記事に後で使用するために、Webサイトやブログ サービスに画像をアップロードしたとき、あなたは、認識さえせずにImageMagicを使用してきた可能性が高い。
　ImageMagicは、グラフィカル ウィンドウ中に画像を開き、メニューからのデザイン ツールの範囲で対話的に作業するGIMP、Adobe Photoshop、AppleのPhotoアプリケーションのようなものではない。
　ImageMagicは、繰り返し可能な方法で大量の画像を処理するのに理想的なコマンドライン プログラムのセットである。
　例えば、あなたが、ユーザが最新の休日のスナップショットを格納し、それらを後にブラウズすることができるオンラインサービスを提供していたとすると、あなたは自動的に画像のサムネイルのセットを作成するためにImageMagicを使用しているかもしれない。
　あなたはアップロードされた全てのファイルを正方形（正確に200*200pixel）にクロップしたり、標準パレットで256色GIFファイルに変換するようなバッチ ジョブを実行することができる。
　例えば、あなたは、画像に注釈を追加するために、一番下に著作権表記を記述するための灰色のバーを追加する；　色補正の自動実行；　一括して画像をシャープにする；　Webサイト用のアニメーションGIFを作成する等を実行するためにImageMagicを使用することができる。
　ImageMagicは、ピクセル ベースとベクトル ベースの両方で、画像を一連のテキストコマンドとして記述することを可能にする独自の、MSL（Magick Scripting Language） や MVG（Magick Vector Graphics）のような様々なスクリプト言語をサポートしている。

これは何を意味しているのか

　これが意味していることは、ImageMagicがインターネットに直面しているサーバのバックグラウンドでしばしば実行されており、リモートユーザによってアップロードされた信頼できない画像を自動的に処理しているいうことである。
　残念ながら、本日報告されたImageMagicの脆弱性（CVE-2016-3714）は、ImageMagicソフトウェアを誑かしてコマンドを実行させるためにブービートラップされた画像をアップロードすることが可能なので、リモートコード実行のバグとして知られることを導くものである。
　あるレポートによると、サイバー犯罪者は既に、この脆弱性を認識しておりインターネット上でこのバグを悪用している。
　想像できるように、犯罪者はサーバーベースのリモートコード実行のセキュリティ ホールが大好きである。これは、彼らが正当なWebサイトを乗っ取ることを可能にし、大抵はLinuxフレーバーの何れかを実行し、フィッシング、データを盗んだり、身代金要求型マルウェアの拡散のような犯罪目的にそれらを使用するためである。

実行することは？

・　あなたが、Webサイトやブログをホストしてもらっているのであれば、あなたのホスティング プロバイダに、ImageMagicを使用しているかどうか尋ねなさい。
・　可能な限り早急にImageMagicをパッチしなさい（修正は2016/04/23に始まる週の週末と約束されている）。
・　それまでは、ImageMagicの policy.xml ファイルを編集することでImageMagicの提案されている解決策を適用しなさい。

　この脆弱性の詳細は悪用を模倣するリスクを減少させるために未だに公開されていない。
　しかしながら、ImageMagic解決策は、この製品のポリシー設定に対して以下の行を追加することが必要である。

　簡単に言えば、これらの行は、特定の種類の入力（その何もJPEGまたはGIFのような伝統的な画像ファイルではない）の自動処理をオフにする。そして、それら全てはローカル ファイル システムのファイルを参照するのに使用される。
　我々はネットワーク外部から「内部」ファイルへの参照能力が、リモートコード実行を可能にしているこの問題の一部であると推測している。
　たまたま、ImageMagicサポートフォーラムの一つでのアドバイスは、2014年以降これらの設定を固定化するように示唆していたが、それらは未だDefaultでpolicy.xmlの一部になっていない。
　興味あることに、それ自身をImageTragicと呼ぶサードパーティーの情報は、以下の追加も推奨している。

　おそらく、この追加行は、彼らがHTTPSを使用していない場合でも、ネット経由での特定のURLのImageMagicの処理をOFFにする。

Regsvr32は、JScriptインストーラを介して身代金要求型マルウェアをインストールするために使用することができる
BleepingComputer : News>Security （2016/04/28）
　Casey Smithと名乗るセキュリティ研究者が先週、Windows Regsvr32.exeコマンドが、AppLocker（リンクは日本語サイト）制限をバイパスするために使用可能であるとする記事を公開した。この記事において、彼は、Regsvr32がURLを使用してリモートホスト上で特別に細工されたスクリプトを実行することができるという一般には知られていない機能を説明している。これらのスクリプトは、Regsvr32がスクリプトを実行するときに実行される埋め込まれているJscriptもしくはVBScriptを含むXMLファイルである。
　これは、攻撃者が、それにアクセスした場合に限られるが、あなたのコンピュータに対して大変な悪事を実行する多大な可能性に繋がっている。

JScriptを介して身代金要求型マルウェアをインストールするRegsvr32

　テストとして、私は、身代金要求型マルウェアのJavascriptインストーラを取得し、Regsvr32.exeで実行できるように、このインストーラを改竄した。Nemucod身代金要求型マルウェアは、それ自体をインストールするためにJavascriptに強く依存しているので、この身代金要求型マルウェアがテストするには適切であると考えた。
　Casey Smithの記事に見られる指示に従い、私は、NemucodインストーラのJavascriptを含めた特別に細工されたXMLファイルを作成した。Regsvr32.exeで適切に動作するようにするには多少の改竄が必要であったが、これはいたって簡単であった。次に、私は、更なる改竄として、身代金要求型マルウェアをインストールする前にスクリプトによって実行される%Temp%フォルダ中にバッチファイルを作成する小さなスクリプトを追加した。このバッチファイルは、既知のアンチ-マルウェアやアンチ-ウィルス プログラムを終了させるので、これらのプログラムは身代金要求型マルウェアがインストーするすることをブロックできなくなる。 　不幸にして、このテストは完全に動作した。Regsvr32.exeは、私のテストサーバへのURLを使用して、私のスクリプトを実行することができた。次に、このスクリプトは、私が実行しているアンチウィルスを終了させ、身代金要求型マルウェアをインストールした。このテストをデモンストレートするために、私は、Nemucod身代金要求型マルウェアをインストールするためにRegsvr.exeを使用する方法を示したビデオを、こちらに作成した。
　この方法の悪いところは、これがマルウェアをインストールする前にシステムを簡単に改竄するために使用できることにある。通常ホワイトリストされたプログラムを使用しているVBScriptやJScriptは、レジストリやシステム設定を簡単に変更したり、セキュリティプロセスを終了させたり、マルウェアの望み通りの場所にそれらをインストールすることができる。更に、Regsvr32は、正当なアプリケーションであり、これらのリモート スクリプトファイルは、あなたの好みの名前をつけることができるので、アンチウィルス ソフトウェアは、これを簡単に検出することができない。

Regsvr32のアウトバウンド リクエストの要請をブロックする

　残念ながら、Microsoftは、リモートURLからスクリプトを実行することのできるRegsvr32の能力に関して沈黙したままである。これがパッチされるか否か未知なので、Regsvr32.exeがソフトウェア ファイアーウォールを通過してネットワークにアクセスすることをブロックするのは重要である。あなたが、実行ファイルがインターネットに到達することをブロックすることが可能なファイアーウォールをインストールしていないのであれば、この目的のためにWindows Firewallを使用することができる。
　このルールを作成するには、スマートメニューをクリックし、Windows Firewallとタイプする。セキュリティが強化されたWindows Firewallオプションが表示されるので、これをクリック。これはWindows Firewallを開くはずである。ここで送信の規則のカテゴリをクリックし、次にアクション メニュー、そして、新しいルールの順にクリックする（【訳注】 [スタート] - [管理ツール] - [セキュリティが強化されたWindowsファイアウォール] の順にクリックしても表示できるはずですが、OSのバージョンによって多少の違いがあるかもしれません）。
　あなたはこれで、以下に示す送信の規則の追加ウィザードを見ているはずである。

　選択されているオプションを選択状態にしたまま、次へボタンをクリックする。これで、プログラムを選択する画面になっているはずである。

　このプログラムのパス フィールドに、C:\Windows\System32\regsvr32.exe と入力し、次へボタンをクリックする。これで、操作の画面になっているはずである。

　接続をブロックするのオプションを選択して、次へボタンをクリックする。これで、プロファイルの画面が表示される。

　全て（ドメイン、プライベート、パブリック）にチェックを入れ、次へボタンをクリックする。これで、このルールに名前を付けるように要求してくる画面に変わるはずである。このルールに分かり易い（説明的な）名前を与え、完了ボタンをクリックする。これでルールが作成された。今回は、C:\Windows\SysWOW64\regsvr32.exe ファイルをブロックしたが、他のファイルをブロックするには、あなたは、再び同じ手順を使用する必要がある。
　Regsvr.exeは、これで、インターネットアクセスをブロックされていなければならない。

---

KasperskyがCryptXXXの無料復号ツールをリリースした
BleepingComputer : News>Security （2016/04/26）
　先週、ProofpointブログにCryptXXXと呼ばれる新しい身代金要求型マルウェアの解析がKafeineによって投稿された。彼らの解析に基づいて、彼らは、CryptXXXがAngler Exploit Kitの開発者と、Reveton画面ロック型身代金要求型マルウェア ファミリと提携していると決定した。

　ユーザがCryptXXXに感染すると、彼らのデータの全ては暗号化され、ファイル名に .crypt 拡張子が追加される。この身代金要求型マルウェアの開発者は、復号キーを取得するために、500 US$もしくは、凡そ 1.2 Bitcoinを要求してくる。更に悪いことには、この身代金要求型マルウェアは、あなたのBitcoinウォレットを盗み、FTPクライアント、インスタント メッセンジャー クライアント、ブラウザに関連する情報と証明書を収穫しようとする。
　有難いことに、昨日Kasperskyが、この身代金要求型マルウェアの復号ツールをリリースした。

Kasperskyが、CryptXXXファイル用の無料復号ツールをリリースしている

　リリースされている身代金要求型マルウェアの量と、それらが人々にもたらす責め苦で、誰かが身代金要求型マルウェアの無料復号ツールをリリースすることは良いことである。昨日、Kasperskyは、CryptXXX身代金要求型マルウェアの弱点を発見し、犠牲者が彼らのファイルを取り戻すために使用することができる無料の復号ツールをリリースした。
　この新しい復号ツールは、RannohDecryptorと呼ばれるものであり、暗号化されたファイル中の復号キーを決定するものである。これが実行不可能なら、犠牲者は、同一の暗号化されたファイルと、暗号化されていないファイルの両方を、このプログラムに入力する必要がある。このファイルのペアを使用することで、この復号プログラムは、暗号化されている全てのファイルに使用されている復号キーを決定することができる。情報としてであるが、あなたは大抵の場合、暗号化されたファイルと暗号化されていないファイルの同一のファイルのペアを発見する必要があるだろう。
　犠牲者がファイルのペア（同一ファイルの暗号化されたファイルと暗号化されていないファイル）を必要とするとき、私が通常人々に提案していることは、C:\Users\Public\Pictures\Sample Pictures フォルダ（【訳注】 ピクチャ フォルダのサンプル ピクチャフォルダ）中に発見されるサンプル画像を使用することである。これらの画像は、必ず身代金要求型マルウェアによって暗号化されている、そして、それらのファイルの暗号化されていないバージョンは、他のコンピュータから簡単にダウンロードすることができる。これを簡単にするために、私は、Windows 7のサンプル画像のリポジトリを、こちら（http://download.bleepingcomputer.com/public-sample-pictures/）に作成した。Windows 8 や 10 が異なるファイルを使用しているのを、あなたが、発見した場合には、私に知らせなさい。私はこのオペレーティングシステムのリポジトリをアップロードするだろう。

Kaspersky RannohDecryptor.exe ダウンロード（直リンク）

　復号プロセスを開始するには、上述のファイルを単純にダウンロードし、実行する。このプログラムを実行し、スタートボタンをクリックすると、このプログラムは、暗号化されたファイルを選択することを要求してくる。ファイルを選択すると、このプログラムは復号キーを決定しようとする。大抵の場合、このプログラムが復号キーを実行することは不可能だろう。そして、このプログラムは、同一の暗号化されたファイルと暗号化されていないファイルのペアを選択するように、あなたに促してくる。
　C:\Users\Public\Pictures\Sample Pictures から暗号化されたファイルを選択すると、同じファイルの暗号化されていないバージョンを選択するように、あなたに要求してくる。こちらから、対応する暗号化されていないファイルをダウンロードし、それを選択しなさい。この復号プログラムは、復号キーを決定することが可能になり、あなたのファイルの復号を開始するはずである。

　ファイルの復号が終了すると、この復号プログラムを終了し、コンピュータからこのプログラムを削除することができる。あらゆる他の残存物を削除するために、あなたのお気に入りのアンチウィルスやアンチマルウェア プログラムでコンピュータをスキャンすることを、私は提案する。

CryptXXX関連ファイル

出会い系サイトBeautiful Peopleのデータがオンラインで売られていた
BBC : News>Technology （2016/04/26）
　「美人限定」を目的とした出会い系サイトから盗まれたデータは、オンラインで取引されていた。
　体重、身長、仕事、電話番号を含む100万を超えるメンバーの詳細が、2015年12月にオンラインに暗号化されていない形で発見された。
　このデータが現在、ブラックマーケットで販売されていると、セキュリティ専門のTroy Huntが発言している。
　この企業の発言によると、2015年07月以前に参加したメンバーのデータが含まれており、パスワードや金融情報は含まれていない。
　このデータを最初に発見したセキュリティ研究者Chris Vickeryは、この企業は、彼がこのデータに気が付いた後、素早く行動したが、その時には既にデータは販売中であったとBBCに告げた。
　「彼らは、保護のかけらもなしに世界に向けて、このデータを公開した」と、彼は発言している。
　Beautiful Peopleは当初、このコンテンツはテストサーバからのものだと主張したが、Vickeryは、データそれ自体は本物であると発言していた。
　それが実データであるなら、テスト データベース中のものであろうとなかろうと何の違いもないと、彼は付け加えている。
　同日、二人目の研究者が、同じ弱点を同定したことも知られている。
　「晒されたものは、2015年7月中旬以前のメンバーによって提供されたデータに関連している。それ以降のユーザのデータもしくは2015年7月中旬以降に参加したユーザに関連する如何なるデータも影響を受けていない」とBeautiful Peopleは声明中で述べている。
　「この時点で（2015年12月）、我々が認識している限りでは、晒されたことを我々に通知した二人のセキュリティ研究者だけしか、このデータにアクセスしていない」とも述べている。

公開情報

　今、セキュリティ侵害されたデータはブラックマーケットで売られているとセキュリティ専門のTory HuntはForbsに告げている。 　「今、これは公になっている、サイバー犯罪者は、個人情報等を盗むためにこの情報を使用する機会を持っている」と、Kaspersky Labのセキュリティ主任研究者David Emmは発言している。
　「残念ながら、こうしたものを晒すことが為されると、実行できることは少ししかない。」
　サイバー犯罪者は、新しいものを形成するために本物の個人情報を使用する、そして、犯罪者達は、盗まれたデータを取得後一ヶ月以内に行動する傾向があると、個人データ情報企業GBGの業務執行役員John Lordは発言している。
　「組織は行動を起こし、より多くのデータ、ユーザとビジネスの両方に奉仕するために個人情報盗難の潜在的影響を最小化するための内部的洞察と複数の個人情報証明技術を使用する必要がある」と彼は続けている。

美人の秘密

　Beautiful People Webサイトに参加したい人々は、48時間の間、既存の異性のメンバーによって評価されるために写真を登録する。
　彼らが十分な賛成票を得たなら、彼らはメンバーとして承認される。
　この企業は、このWebサイトで出会った人々の間での結婚は700を超えていると主張している。

---

7ev3n-HONE$T身代金要求型マルウェアは、ファイルを暗号化しR5Aに名前を変更する
BleepingComputer : News>Security （2016/04/23）
　Moshと名乗るセキュリティ研究者が、7ev3n身代金要求型マルウェアの新しい変種を発見した。この変種は、7ev3n-HONE$Tとして、7ev3nの名前をブランド再生したものである。この身代金要求型マルウェアは、データを暗号化し、次に、犠牲者のファイルの身代金としてBitcoinで凡そ400US$を要求する。このマルウェアの拡散方法と使用されている暗号化のタイプは現在未知である。