【悲報】ついにセキュリティソフトでは完全に検出・対応不可能なランサムウェアが登場

?2BP(2000) · 2018/05/09(水) 06:12:11.42

セキュリティ対策ソフトによる検出が極めて困難なハッキング手法の「Process Doppelganging(プロセスドッペルギャンギング)」が、
2017年12月にBlack Hat Europe 2017で発表されていましたが、ついにProcess Doppelgangingを活用した初めてのマルウェア「SynAck」の存在が確認されました。

Process Doppelgangingではメモリに書き込むことはせずストレージ上でNTFSトランザクションを始動してマルウェアなどに命令を出します。
その後トランザクションは即座に破棄されるため痕跡が残らず、セキュリティ対策ソフトによる検出が非常に難しいという特性を持ちます。

Kaspersky Labの研究者が、Process Doppelganging技術を用いたマルウェア(トランザムウェア)を発見しました。このマルウェアは「SynAck」の亜種で、アメリカ、クウェート、ドイツ、イランをターゲットにしているとのこと。
マルウェア自体は2017年9月に発見されていましたが、リバースエンジニアリングを防止するべくコードの難読化対策が施されていたそうです。
なお、SynAckはロシア、ベラルーシ、ウクライナ、ジョージア、タジキスタン、カザフスタン、ウズベキスタンのユーザーには感染しない設定になっていたことも確認されています。
https://i.gzn.jp/img/2018/05/08/synack-process-doppelganging/a01.png

感染するとSynAckはAES-256-ECBアルゴリズムでファイルを暗号化し、攻撃者の要求に従うことで解読鍵を渡すといういわゆるランサムウェアとしての本領を発揮します。

ついにセキュリティ対策ソフトで検出できない攻撃「Process Doppelganging」を利用したマルウェアの存在が確認される - GIGAZINE
https://gigazine.net/news/20180508-synack-process-doppelganging/

＞アメリカ、クウェート、ドイツ、イランをターゲットにしている
＞ロシア、ベラルーシ、ウクライナ、ジョージア、タジキスタン、カザフスタン、ウズベキスタンのユーザーには感染しない

**名無しさん＠涙目です。**(西日本) **[US]** · 2018/05/09(水) 06:12:40.86

ロシアに草

2018/05/09(水) 06:13:18.80

昔からあるだろ

2018/05/09(水) 06:13:47.54

何言ってるかわからん

**名無しさん＠涙目です。**(茸) **[GB]** · 2018/05/09(水) 06:14:45.30

東側のサイバー兵器

**名無しさん＠涙目です。**(埼玉県) **[US]** · 2018/05/09(水) 06:14:48.05

　
これアベどーすんの？
　
　

**名無しさん＠涙目です。**(WiMAX) **[BE]** · 2018/05/09(水) 06:15:19.84

露助滅びろ

**名無しさん＠涙目です。**(静岡県) **[AT]** · 2018/05/09(水) 06:15:49.59

名倉余裕

**名無しさん＠涙目です。**(東京都) **[GU]** · 2018/05/09(水) 06:18:19.89

何も操作してないのにhddがカリカリいう時は
このウィルスに感染してる確率が高い

2018/05/09(水) 06:20:36.16

トォランザクゥショォォンッ！

**名無しさん＠涙目です。**(東京都) **[FR]** · 2018/05/09(水) 06:22:14.35

2017年9月まで読んだ

**名無しさん＠涙目です。**(庭) **[IN]** · 2018/05/09(水) 06:24:25.65

犯人モロバレやんけ

**名無しさん＠涙目です。**(長野県) **[US]** · 2018/05/09(水) 06:31:31.89

北の仕業？核放棄で次の武器か

**名無しさん＠涙目です。**(茸) **[ﾆﾀﾞ]** · 2018/05/09(水) 06:34:19.75

>>6
ネット遮断

**名無しさん＠涙目です。**(茸) **[US]** · 2018/05/09(水) 06:37:35.10

変なサイトには行くなってことで良いですか

2018/05/09(水) 06:37:51.44

国の判別はどうやってんだろ？
発動しない様に誤魔化せないのかな？

2018/05/09(水) 06:42:56.08

>>16
ソースに載ってたよ

**名無しさん＠涙目です。**(石川県) **[US]** · 2018/05/09(水) 06:45:30.14

ロシア製品は優秀だねえ

**名無しさん＠涙目です。**(静岡県) **[AT]** · 2018/05/09(水) 06:46:28.05

困難なハッキング手法のまで読んだ

2018/05/09(水) 06:48:59.42

FAT32を使え

2018/05/09(水) 06:52:41.79

ロシアとウクライナって戦争してるのに
ウクライナには感染しないというロシアさんの優しさ
さすがロジーナ(祖国)ですな

**名無しさん＠涙目です。**(山梨県) **[ES]** · 2018/05/09(水) 07:02:57.52

会社の同僚がいまだにメーラーのプレビュー機能オンのままで驚愕した

**名無しさん＠涙目です。**(茸) **[CO]** · 2018/05/09(水) 07:03:27.59

チャリンコメーカーの仕業か
やっぱチャリカスは最低だな

**名無しさん＠涙目です。**(京都府) **[US]** · 2018/05/09(水) 07:04:58.69

ロシア政府が作って
カスペが解析する

2018/05/09(水) 07:11:14.94

AES256bitで暗号化されてもNSAとかなら楽勝で解読できるだろ？

**名無しさん＠涙目です。**(東京都) **[IT]** · 2018/05/09(水) 07:12:41.05

>>10
ランサーーームッ！！

**名無しさん＠涙目です。**(catv?) **[US]** · 2018/05/09(水) 07:21:09.08

>>6
電話して日本も非攻撃者対象に追加して貰う

**名無しさん＠涙目です。**(静岡県) **[AT]** · 2018/05/09(水) 07:39:15.80

>>15
ν速に来ている時点で終わったな…

**名無しさん＠涙目です。**(東京都) **[MX]** · 2018/05/09(水) 07:46:29.49

ロシアには感染しないのか
すぐに中国、北朝鮮版がつくられそう

**名無しさん＠涙目です。**(茸) **[US]** · 2018/05/09(水) 08:03:19.36

ドッフルギャンガ

**名無しさん＠涙目です。**(庭) **[CN]** · 2018/05/09(水) 08:11:28.80

＞SynAckは、ユーザーの国を特定するために、まずPCにインストールされているキーボードレイアウトとマルウェア内のリストを照合します。
＞リストとの一致が確認されると300秒間のスリープ状態を経て、ExitProcessを呼び出してファイルの暗号化を阻止するとのこと。
お前らもキーボードレイアウトをロシア仕様にするといいぞ！

**名無しさん＠涙目です。**(青森県) **[US]** · 2018/05/09(水) 08:20:22.09

>>31
ロシア語で考えろということか