新しい形式のマルウェアが観測されています。
CronRATです。
これそのものは、オンライン決済スキマーです。
このマルウェアはLinuxサーバに感染するもので、そのLinuxサーバがWebストアの処理を実施している場合、オンライン決済スキマーを配備し、クレジットカードデータを盗みます。
このCronRATは、現時点では多くのアンチウイルス製品で検出することができません。
隠す手法はこういうものです。
- crontabに、多数のtaskを登録する
- そのtaskの実行予定は、2月31日23時52分水曜日、です。
このような日は存在しないため、このtaskはcronによって実行されることはありません。
実行される必要もありません。 - そのtaskのコマンドが書かれている部分には、encodeされた文字列が記載される
コマンドが書かれる部分の文字列はコマンドではありません。
このため、仮にtaskが実行されたとしてもエラーになります。 - encodeされた文字列は、複数行のtaskとして記載される
- decodeすると攻撃コードが取り出せる
この特殊な日のコマンド文字列部分のencodeされたものを取り出して、それらをまとめてdecodeすると、攻撃コードになります。
圧縮とBase64エンコーディングが実施されているため、これが攻撃コードだと判別することは非常に困難です。 - 取り出した攻撃コードは、ファイルレスアタックのペイロード
問題のある活動ができるバイナリが生成されるのですが、それはファイルとなって保存されることはありません。
ファイルレスアタックのペイロードとして動作します。
CronRATは、世界中の複数の店舗で発見されており、ペイメントカードデータを盗むサーバースクリプトを挿入するために使用されていました。
いわゆるMagecart攻撃です。
新しい着想の攻撃手法がどんどん出てきます。
継続的な現状把握が必要だと感じます。
参考記事(外部リンク):CronRAT malware hides behind February 31st
sansec.io/research/cronrat
この記事をシェア |
---|
一緒によく読まれている記事
-
サイバー領域
- GitGuardianのBlog翻訳:トヨタ、GitHubでシークレットキーを誤って公開し、データ流出被害に
- 10月7日、トヨタは同社が提供するサービス「T-Connect」のソースコードのコピーが5年にわたって外部から参照できる状態にあったことを発表。ソースコードには、29万件を超える...
-
サイバー領域
- BitSightのサードパーティサービス:
サードパーティがもたらすサイバーリスクと
自社をセキュリティ保護する方法 - この記事はBitSight社のブログを翻訳したものです。 原題:Third Party Services: The Cyber Risk They Pose and How to...
- BitSightのサードパーティサービス: