エフセキュア、SNSとデジタル通貨を悪用したマルウェア ’Lecpetex’ に関するホワイトペーパーをリリース

エフセキュアは、Facebookのメッセージ機能を悪用して不正なビットコイン・マイニングのためのボットネット感染を引き起こすマルウェアLecpetexに関するホワイトペーパーをリリースいたしました。

Facebook、Twitter、Skypeなどのソーシャル・ネットワーク・プラットフォームを悪用したマルウェアは目新しいものではありません。より深刻なのは、マルウェアがワームとして自らを拡散し、感染したユーザのマシンからのデータ収集に重点を置くようになったことです。一方、ビットコインマイニングは、ユーザが自分のマシンで現金を生み出す方法として人気になっており、また犯罪者にもしばしば悪用されるようになっています。このため、ソーシャルネットワーキングとデジタル通貨という2つの傾向を結びつけたマルウェアが出現することは、避けられない事態でした。感染したマシンはボットネットとして悪用されます。エフセキュアではFacebookとの共同による取り組みで発見したマルウェアLecpetexについて、注意を喚起するホワイトペーパーをリリースしました。

Lecpetexは、ソーシャルエンジニアリングの手法で拡散されます。これは、Facebookのメッセンジャーサービス経由で送信されるメッセージに添付されたZIPファイル形式の実行可能プログラムとして配布されるということです。ユーザが添付ファイルをクリックしやすくするよう、メッセージには「lol」、「hahaha」、「OMG」など、古典的な仕掛けのテキストが使用されます。

メッセージに添付されたZIPファイルをクリックすると、Java実行可能ファイル（JAR）プログラムが解凍されます。JARファイルを起動すると、事前定義されたDropboxファイル共有リンクからfbgen.datという名前のダイナミックリンクライブラリ（DLL）ファイルを探し、ダウンロードします。このプロセスの間、何らかのアクションが発生したことをユーザに示す兆候はありません。JARファイルをクリックした後、すべてがバックグラウンドにおいてサイレントモードで実行されます。

ファイルが見つかりダウンロードが完了すると、JARファイルは実行中にダイアログボックスが表示されないよう「/s」キーを使用してDLLのサイレント登録を指定し、「regsvr32.exe」を実行します。マルウェアはその起動場所を隠すため、レジストリエディタで無視される255文字を超えるキー名を使って偽のレジストリエントリを追加します。次にDLLは、explorer.exeインスタンスに、ビットコインマイニングのアクティビティを書き込ます。

Lecpetexは、ユーザのファイルの内容に対する好奇心を悪用して、マルウェア自体をダウンロードおよびインストールさせる、古典的なソーシャルエンジニアリング攻撃手法を使用して拡散されます。このため、ユーザ行動の標準的な予防措置が効果的です。

• 知らない相手から送信された添付ファイルはクリックしない。
• メッセージは一見すると友人から送付されたように見えるが、その内容が普段と違うように感じる場合、添付ファイルをクリックしない。他の手段を使ってその友人に連絡を取り、アカウントが侵害されている可能性があることを伝える。
• 添付ファイルをクリックすると実行可能ファイルが表示される場合、これを実行する前に、信頼できるアンチウイルスプログラムを使用してスキャンする。

エフセキュアのセキュリティ製品は、以下を検出することでマルウェアのさまざまなコンポーネントを特定します。

• Trojan-Downloader:Java/Lecpetex.C
• Trojan.Win32/Lecpetex.A!Mem

ホワイトペーパーの詳細はこちらでご覧いただけます（英語）：
http://www.f-secure.com/static/doc/labs_global/Whitepapers/lecpetex_whitepaper.pdf


*エフセキュアの社名、ロゴ、製品名はF-Secure Corporationの登録商標です。
*本文中に記載された会社名、製品名は各社の商標または登録商標です。