詐欺師が Google Play に悪質なアプリを公開し続けており、Android アプリマーケットがその削除に終われていることは先日お伝えしたばかりです。

アプリに潜む悪質な意図を短時間で見極めることは難しい場合が多く、本当に安全であることを確かめるためには通常は詳しい解析が必要です。Google Play の公開プロセスで、悪質なアプリのすり抜けを防ぐことが難しいのは、まさにこのためです。

シマンテックセキュリティレスポンスは、新たに 14 個の悪質なアプリを発見しました。すべて同じ開発者によって公開されたもので、開発者が任意の Web サイトへの接続を確立できるようになっています。悪質なコンポーネントは、Android のサービスとしてバックグラウンドで実行されます。接続先として多数のコマンド & コントロールサーバーが用意されており、開発者から送信される HTTP 要求の作成指示を待機しています。リモート制御コンポーネントは、多様なオプションを受け付け、ペイパークリックサービスの悪用を通じて利益を生み出すことも可能です。

Google Play で公開されている以下のアプリに、この悪質なコンポーネントが組み込まれています。

• com.cyworld.ncamera
• com.kth.thbdvyPuddingCamera
• com.tni.pgdnaaeTasKillerFull
• com.greencod.wqbadtraffic
• com.teamlava.nbsbubble
• com.bestappshouse.vpiperoll2ages
• com.ledong.hamusicbox
• com.ktls.wlxscandandclear
• maxstrom.game.hvihnletfindbeautyhd
• org.woodroid.muhflbalarmlady
• com.lxsj.rbaqiirdiylock
• com.neaststudios.wnkvprocapture
• com.gamempire.cqtetris

感染しているのはいずれも、カメラアプリなどのアクセサリやゲームといった、人気のあるカテゴリのアプリです。

シマンテックは、これらのアプリを Android.Malapp として検出し、Google 社にも報告済みです。これらのアプリはすでに Google 社によって削除されています。ノートン モバイルセキュリティや Symantec Mobile Securityなどのセキュリティアプリをデバイスにインストールすることをお勧めします。スマートフォンとタブレットの安全性に関する一般的なヒントについては、モバイルセキュリティの Web サイト（英語）を参照してください。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。

shortcut is publishing in admin level and it is no tpublished in user level.how to check and what is the process to published?

Companies in our field of business have long wished for a better way of discovering and describing malware capabilities than the current system. Such a system would be of great benefit to everyone who has to deal with malware and the damage they can cause. While there is currently a whole spectrum of techniques used to discover the functionality of malware, ranging from the most basic to the more advanced, most fall short because they don’t describe the malware in a very complete way.

Many either rely on manual decomposition and analysis or may run samples in physical or virtual machine (VM) environments, then record changes made to the system and report them as side effects of the malware. Each method has its own benefits and drawbacks. Manual analysis is a slow and cumbersome task and prone to human error. Automated side effects collation is faster and requires little or no human input but is often sadly lacking in useful information and completeness. In short, automated malware analysis is a difficult problem to crack and some of the reasons why automated analysis does not deliver as much as we would like it to boils down to a number of factors:

1. Conditional code: Many malware have code built in that only activates when certain conditions are met. E.g. a user clicks on a button or visits a particular website. It could be waiting for commands from its command-and-control server. If these conditions are never met, the malware could lie idle.
2. Virtual machine detection: Malware writers are aware that security vendors often use virtual machines to perform runtime analysis of malware. To prevent this, they have implemented checks for the presence of virtual machines and if detected, the malware would just terminate itself and give nothing away of its behavior. One malware that goes against the grain is the W32.Crisis worm (Security Response). Not only does this malware run fine in a virtual machine environment, it actively searches for the presence of VM files and attempts to infect them too.
3. Time: Some malware need time to pass before they start performing their mischief. When running tens of thousands of samples through automated analysis systems daily, time is something that is not on our side so each sample only gets a small slice of time under automated analysis before the data is collected and the slate wiped clean for the next sample. This means that any functionality that does not happen right away will be missed by automated analysis systems. For example, if a Trojan’s functionality is to delete all .doc files on all drives, but it has only had time to delete some files on the C drive, then that’s all the automated system would report.
4. Context: This is often missing from reports generated by automated analysis systems. For example, if a sample starts modifying files on a drive, many automated systems may report them as just modified files but give no indication as to what kind of changes were made. The changes could have been a viral code infection, it could have wiped/encrypted the contents of the file, it may have injected some textual content to the file but, with most automated systems, there are no indications of what the changes are. Another example of missing contextual information is with network connections. When a malware is reported to visit a particular URL, there is no indication of what’s at the end of the URL. Is it to download more malware, to retrieve instructions, to upload stolen information, or just to report an infection? These things are important to know but for automated systems, extremely difficult to establish.
5. Modularization: Most modern malware do not exist as a single discrete piece of code anymore. They are often modularized with separate files containing different bits of functionality. These modules are often not packaged with the installer piece. So what you get is the installer being spread initially then, once the installer is invoked, it tries to download the other bits and pieces. Sometimes the downloading of additional components may be directly controlled by a remote actor who takes a look around the compromised computer before deciding what else to download. In of itself, the installer does not do very much and hence under automated analysis, little is reported. Similarly, the individual modules themselves are code libraries which need to be invoked by other code so cannot be readily executed to find out its functionality.

All these factors combine to limit the capability of automated malware analysis.

However, researcher Joshua Saxe is to present at BlackHat today, an open-sourced and crowd-trained machine learning tool that can be used to identify the capabilities of malware files. It claims to be able to generate lists of malware capabilities such as the ability to use particular network protocols and the ability to steal data and so forth. Interestingly, it will give probability scores for the detected capabilities when appropriate, which could mean that for anything that it is uncertain of or looks like it might do, a score will be given so that the reader can know how likely or unlikely the capability is. The project to create this tool is funded by the DARPA Cyber Fast track initiative and algorithms used will be detailed in today’s presentation. It should make for very interesting viewing indeed.

Incidentally, Symantec Security Response have a number of automated systems that analyze and collate malware sample information and capabilities. These systems can perform static and runtime analysis of malware samples and record their side effects. This information is combined with other Symantec data and telemetry sources and then supplied to our customers through our exclusive malware reporting services, providing valuable information to help our customers prevent or recover from malware attacks.

This question really surrounds the issue of security, whether or not some of the major cloud providers have the levels of security to protect enterprise users and information they claim to have and/or whether or not there is willingness to be open and frank about the levels of security or gaps thereof there are.  This has been a pretty common problem since the days of application hosting providers.  I recall these providers getting inundated with requests to have their environments audited ad nauseam against whatever the security standard du jour at that time.  Then there was the issue of encryption and whether or not that was appropriately designed and implemented – again we asked that they have an industry expert attest to the security of that encryption.  Then there was the requirement to audit the provider ongoing to ensure the security requirements remained in place over time.  Clearly, all these good things need to be done.  But, “why” do we still have this problem and why are some of these bigger cloud providers saying to enterprises, “Go ahead and use my SaaS or IaaS, but don’t put your sensitive data out there!” Or, “Yes, we have encryption, but we can’t tell you about it or show how secure it is because it’s proprietary.” 

In many cases, we’re still back to square one on the security front.  Cloud providers want enterprise business, but still don’t see security as a key requirement until they’ve sold enough service subscriptions or gotten enough complaints or, worse, have suffered a breach.  I’m not sure why these large providers don’t want to share their security capabilities or intelligence with customers.  I can only suspect that they might feel they have some culpability should there be any breaches.  What concerns me is the continued lack of industry fortitude from customers telling these providers they must either have security or make the security intelligence they have available to customers so there is an effective defense against external threats to users and information.  Customer cyber readiness and response needs to be a minimal consideration going forward whether it’s a customer procuring cloud services or a cloud service providing customers a service.

At the end of the day… the bad guys are out there doing their level best at stealing information for whatever gain.  The least that cloud providers could do is to provide enterprises with whatever it takes to ensure complete visibility with regard to how well protected their information and users are and be extremely clear about where their security gaps are and look for ways that both the provider and customers could work together to close those gaps.

I came across a stored procedure that is quite popular for troubleshooting SQL especially blocking, it's not new but deserves a repost. I tried it against sp_who and sp_who2. It seems that this SP gives a more instant snapshot in better detail. Probably it's best feature is a clickable link to the transact that is running. I could still see block chains better with sp_who2, as you could see the trail of SPID's better. There is a SQL query for finding the lead blocker at http://sqlserverplanet.com/troubleshooting/blocking-processes-lead-blocker

For those that are interested in what the differences are between sp_who and sp_who2, the screen snip below shows the column differences, the hidden difference is that sp_who is documented and thus supported, otherwise they are very similar. SP_WhoIsActive complements them.

Disclaimer

None of this is my work, this has been shared by the author Adam Machanic at http://sqlblog.com/files/folders/release/entry35240.aspx. Please refer to his site for firther information.

How to

Execute the attached SQL to create the stored procedure then execute "sp_whoisactive" as below.

スマートホームに対するハッキングが実に簡単であることを、フォーブス誌のカシミール・ヒル（Kashmir Hill）記者が報じています。記事によると、「Google でごく単純な言葉を検索するだけ」で、ある有名企業のオートメーションシステムを備えた住宅のリストが表示されたといいます。「（オートメーション）システムは、検索エンジンでクロールされていた」とヒル記者は書いています。現在は停止していますが、それまでのシステムはユーザー名やパスワードを設定しなかったため、検索エンジンの結果をクリックすれば、システムを完全に制御できてしまいました。記者はオンラインで発見した住宅のうち 2 軒に連絡し、許可を得たうえで照明の点灯と消灯が可能であることを実演しています。また、住宅にある各種の機器も制御できたということです。これは、ホームオートメーションシステムに潜むセキュリティ上の問題の一例にすぎません。

ホームオートメーションとは、照明、暖房、ドアや窓の施錠、監視カメラなどを自動化するシステムです。比較的新しいシステムですが、市場は急成長しており、米国だけでも 150 億ドルに達します。ただ、どのような新技術でも同じですが、潜在的なセキュリティリスクは避けがたいものです。

ホームオートメーションシステムのセキュリティ脆弱性については、Black Hat 2013セキュリティカンファレンスでセキュリティ研究者が個別に 2 つのプレゼンテーションを行う予定です。1 つは、プロプライエタリな無線プロトコルの Z-Wave における脆弱性についてのプレゼンテーションです。Z-Wave は、ホームオートメーションの制御パネル、セキュリティセンサー、防犯システムなどの組み込みデバイスで幅広く利用されています。これには欠陥があり、暗号化された Z-Wave デバイスの通信を傍受すると、他の Z-Wave デバイスを無効にすることができてしまいます。「Home Invasion 2.0」と題された、もうひとつのプレゼンテーションは、いくつかの人気ホームオートメーションシステムで判明した脆弱性に関するものです。「約 10 種類の製品を調査しましたが、侵入を果たせなかったのは 1 つか 2 つで、大部分は何のセキュリティ対策も講じられていませんでした」と SpiderLabs のダニエル・クローリー（Daniel Crowley）氏は述べています。多くの機器では、アプリをモバイルデバイスにダウンロードし、それを使ってリモートでオートメーションシステムを制御できるようになっています。システムの多くは、モバイルデバイスとホームシステムの間で通信するときに何の認証も使われていないため、悪質な攻撃者による制御を許してしまうことがわかったと研究者は指摘しています。

米国の住宅におけるホームオートメーションシステムの普及率はまだ 3% 程度ですが、この数字は増加する傾向にあり、一部のアナリストによれば今後数年間に倍増するという予測もあります。

新旧を問わず技術の導入を急ぐときには、その技術に伴うセキュリティがともすると軽視されがちです。今回のケースのように脆弱性が露見することで、堅固なセキュリティの重要性が再認識されることを期待します。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。

I just saw the following on the Symantec RSS feed, and thought that I would share it onwards.

http://www.symantec.com/docs/TECH209191

It is a hotfix related to Exchange 2013 Support, so if you have that version of Exchange - or intend to introduce it very soon, head over to the article and have a read.

セキュリティ業界の各企業は以前から、現在のシステムよりも確実にマルウェアを検出し特徴付ける方法を探り続けています。そのようなシステムがあれば、マルウェアとそれが引き起こす損害に対処しなければならないすべての人々にとって、大きなメリットとなるでしょう。現在でも、ごく基本的なものから高度なものまで、マルウェアの検出には多種多彩なテクニックが使われていますが、マルウェアを完全には特徴付けていないという点で、その大半は不十分です。

その多くは手動で分解と解析を行うか、または実環境または仮想マシン（VM）環境でサンプルを実行したうえで、システムに生じる変化を記録しマルウェアの副作用として報告するかのいずれかの手段に拠っており、そのどちらにも長所と短所があります。手動による解析は時間と手間の掛かる作業であり、人的エラーも発生しがちです。副作用の自動照合は高速で、人的介在もほとんど不要、あるいはまったく不要ですが、残念なことに有用な情報が欠けていたり不完全だったりすることも少なくありません。要するに、マルウェアの自動解析は解決の難しい問題だということです。自動解析で期待どおりの結果が得られない理由は、以下の要因にまとめられます。

1. 条件付きコード: 多くのマルウェアには、特定の条件が満たされたとき、たとえばユーザーがボタンをクリックしたときや所定の Web サイトにアクセスしたときにのみ起動するコードが組み込まれています。コマンド & コントロールサーバーからのコマンドを待っている場合もあります。そうした条件が満たされなければ、マルウェアは何も活動しないこともあります。
2. 仮想マシンの検出: セキュリティベンダーがマルウェアのランタイム解析に仮想マシンを使用していることは、マルウェアの作成者にも知られています。ランタイム解析を避けるために、マルウェア作成者は仮想マシンの存在を確認する機能を実装して、仮想マシンを検出するとマルウェアの動作を停止してその機能を隠そうとします。それと異なる動きをするマルウェアのひとつが、W32.Crisis ワームです。このマルウェアは、仮想マシン環境でも十分に機能するほか、VM ファイルがあるかどうかを積極的に検索し、それにも感染しようとします。
3. 時間: 一部のマルウェアは、一定時間が経過してから悪質な動作を開始します。自動解析システムでは毎日何万というサンプルを実行するので、時間が障壁になります。各サンプルを自動解析してデータを収集する時間はごく短く、すぐに次のサンプルの解析が始まります。つまり、すぐに悪質な機能が実行されない場合は、自動解析システムで見逃されてしまいます。たとえば、あるトロイの木馬がすべてのドライブ上のすべての .doc ファイルを削除する機能を持っていても、C ドライブ上の一部のファイルを削除する時間しかなかったとしたら、自動解析システムではそれしか報告されません。
4. コンテキスト: 自動解析システムによる報告で欠けていることが多いのは、コンテキストです。たとえば、あるサンプルがドライブ上のファイルを改変し始めた場合、多くの自動解析システムは、ファイルの改変を報告するだけで、どのような改変があったかまでは指摘しません。改変はウイルスコードの感染であったり、ファイル内容の消去や暗号化であったりするかもしれません。あるいは、何らかのテキストコンテンツがファイルに挿入された可能性もあります。しかし、ほとんどの自動解析システムでは改変内容まで報告されません。コンテキスト情報が欠けているもうひとつの例が、ネットワーク接続に関する報告です。特定の URL にアクセスするマルウェアが報告されるとき、その URL の目的までは指摘されません。別のマルウェアをダウンロードするのか、命令を受信するのか、それとも盗み出した情報をアップロードするのか、単に感染を通知するのかまでは示されないのです。そのような情報を知ることは重要ですが、自動解析システムに実装するのはきわめて困難です。
5. モジュール化: 最近のマルウェアのほとんどは、独立した単一のコードとして存在するのではなく、それぞれが異なる機能を備えた複数のファイル群でモジュール化されています。このようなモジュールはたいてい、インストーラを使ってパッケージ化されてはいません。そのため、最初はインストーラが拡散して、次にインストーラが実行されると、他のコンポーネントのダウンロードを試みます。ときには、追加コンポーネントのダウンロードがリモートの攻撃者によって直接制御されている場合もあり、この攻撃者は侵入先のコンピュータの状況を伺ってから、次にダウンロードするものを判断します。インストーラ自体はたくさんの機能を持っているわけではないので、自動解析ではほとんど何も報告されません。同様に、個々のモジュール自体もコードライブラリに過ぎず他のコードで呼び出される必要があるため、実行されてすぐにその機能が判明することはありません。

これらの要因がすべて絡み合って、マルウェア自動解析機能が制限されます。

そのような状況を受けて、セキュリティ研究者であるジョシュア・サックス（Joshua Saxe）氏が Black Hat で発表するのが、オープンソースとクラウドトレーニングを利用してマルウェアファイルの機能を識別できるマシンラーニングツールです。このツールは、特定のネットワークプロトコルを利用する機能やデータを盗み出す機能など、マルウェアの機能のリストを生成できるとされています。検出された機能について、適切な場合に確率スコアを示すという機能は注目に値します。断定できないマルウェアや見かけで特定できないマルウェアでも、スコアがあれば機能の有無を予測できるからです。このツールを作成するプロジェクトは、DARPA の Cyber Fast Track プログラムから資金提供を受けており、使われているアルゴリズムについても今回のプレゼンテーションで詳しく紹介される予定です。興味深いプレゼンテーションになることは間違いないでしょう（訳注: Black Hat カンファレンスでの発表はすでに終了しています）。

ちなみに、シマンテックセキュリティレスポンスでも、マルウェアサンプルを収集してその情報と機能を照合する多くの自動システムが運用されています。これらのシステムは、マルウェアサンプルの統計とランタイム解析を実行し、その副作用を記録できます。この情報をシマンテックの他のデータや遠隔測定ソースと組み合わせて、独自のマルウェアレポートサービスを通じてお客様に提供しているので、お客様がマルウェア攻撃を予防し、マルウェアの被害から回復する際に有益な情報となっています。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。

最近の自動車には、高度な電子機器が多数搭載されており、あらゆるセンサー、処理装置、電子制御ユニットを接続するケーブルの全長は 1 km を超えるほどです。車両自体が大型のコンピュータのようになっており、これまでの歴史が示しているとおり、コンピュータがあれば必ず攻撃の対象として狙われます。車載ネットワークを通じて自動車を攻撃することの現実性については、過去数年間にいくつかの研究が行われています。大半の研究は、完全に物理的なアクセスによって自動車を攻撃する方法に終始していますが、なかには外部の攻撃経路を調査した研究もあります。

自動車に対して物理的なアクセスが可能な場合、攻撃者は CAN（コントローラエリアネットワーク）システムや OBD（車載診断）システムなどにもアクセスできますが、ブレーキに細工する、車両自体を盗むなど、ほかにも悪質な行為を行うことも可能です。一方、自動車に対するデジタルな改変操作を事後に証明することは、物理的な行為より困難な場合があります。このような攻撃は、リモートコード実行の余地がある他の攻撃と組み合わせることも可能であり、ペイロードの実証と捉える必要があります。

物理的にアクセスせずに車載システムに侵入する経路は、タイヤ圧監視システム、TMC（交通メッセージチャネル）のメッセージ、GSM 接続や Bluetooth 接続など、いくつかあります。車両の一部の機能を制御できるスマートフォン向けアプリを開発し始めたメーカーもあり、それも新しい攻撃経路として利用される可能性が出てきました。また、特別に細工した音楽ファイルを USB ドライブに潜ませ、車載システムの一部を乗っ取ることができたというケースも確認されています。

DARPA のプロジェクトに研究員として携わっているチャーリー・ミラー（Charlie Miller）氏とクリス・バラセク（Chris Valasek）氏は、車両に乗り込んだ場合にどの程度まで CAN をハッキングできるかを研究しています。DEFCON カンファレンス向けプレゼンテーションのプレリリース版ビデオによると、自動車の機能はほぼすべて制御またはトリガーすることができ、たとえばライトをすべて消灯する、エンジンを停止する、ブレーキを無効にする、一分ハンドル操作を行う、クラクションを鳴らす、システムディスプレイを操作することが可能です。これが深刻な事故につながりうることは容易に想像できます。悪質なファームウェア更新やシステム変更を利用すれば、このような改変を恒久的に、かつ見つからないようにすることも不可能ではありません。もちろん、ラップトップとモデムをグローブボックスに入れても同様の攻撃は可能ですが、この方法に比べれば発覚しやすいでしょう。攻撃者がこの研究と同じ手口を使ったしても、後部座席に攻撃者のラップトップがあるのに気づけば、きっと怪しむはずです。

自動車メーカーもこうした課題に気づいており、車載ネットワークのセキュリティについて何年間も改善を続けています。リモート攻撃の経路については特に、解析と保護対策が必要です。シマンテックでも、今後の改善に向けてこの分野の研究に注目しています。ミラーとバラセクの両氏の研究では、自動車が攻撃者にとって格好の標的になることが実証されていますが、運転中にハッカーに乗っ取られるよりもはるかに大きなリスクがすでに存在しています。個人的には、運転中にスマートフォンを操作している人がいることに脅威を感じます。少なくとも当面の間、自動車事故という点では、このほうがはるかに大きなリスクでしょう。運転は、どうぞ安全第一で。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。

シマンテックの『インターネットセキュリティ脅威レポート』（ISTR）は、過去 1 年間のオンラインセキュリティを取り巻く環境について概要と詳細な解析が記載されている年次レポートです。ISTR は、シマンテックのアナリストがサイバー攻撃や悪質なコードの活動、フィッシング、スパムなどに関する最新の傾向と、脅威を取り巻く現状の幅広い傾向について特定、解析し、解説する際に利用する、Symantec Global Intelligence Network のデータに基づいています。

その最新号である ISTR 第 18 号には、現時点で最も包括的で詳細な情報が掲載されています。なかでも、標的型攻撃、データ侵害、マルウェア、スパム、脆弱性、モバイルマルウェアについて最新のデータと解析結果が盛り込まれています。

シマンテックの誰もが ISTR に誇りを持っていますが、今はその成果に安住しているときではありません。シマンテックは常に製品とサービスの品質改善に努めており、ISTR もその点は同様です。その目的のために読者の皆様のご協力を仰ぎたいと考え、このたび第 1 回 ISTR 読者アンケート（英語）を実施することにいたしました。ISTR 読者の皆様との接点を通じて、お客様のニーズやご要望にお応えできるようにさらに調整を深めていきたいと考えています。

たとえば、データ侵害に関するデータをもっと多く必要としている方や、標的型攻撃にさらに注目している方もいらっしゃるでしょう。今回は皆様のそうした好みや、興味深く読んだ内容、読み飛ばした内容などについてお伝えいただける絶好のチャンスです。シマンテックは皆様に最も関わり合いのある脅威について最善の情報を提供するよう努力していますが、それが読者一人一人にとって、また所属する企業にとってどのような意味を持つのかを知り、レポートの使われ方について深く理解したいと考えています。

また、ISTR のような形態のレポートを年 1 回よりも頻繁にお読みになりたいかどうかも知りたいと思っています。シマンテックと読者の皆様の相互利益のために、ISTR について何でもご意見やご感想をお寄せください。

ご意見については、まず ISTR 読者アンケート（英語）にお答えください。アンケートは簡単ですぐに終わります。皆さまのご協力は、今後のご報告を改善していくためにも貴重なものです。また、ISTR をご覧の友人や同僚がいらっしゃいましたら、アンケートについても情報を共有していただければ幸いです。

いつもご愛読、ご協力いただき、感謝いたします。皆さまのご回答を拝見することを楽しみにしています。ISTR をさらに読みやすく充実した内容にできるよう、そして今後とも皆さまのお役に立てるよう対応していきたいと思います。

アンケートに回答（英語）

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。

URL に .pw を含むスパムメッセージの増加については、これまでにも何度か（4 月の記事と 5 月の記事）このブログでご報告しました。

その後、URL に .pw を含むスパムの量は大幅に減少しています。.pw ドメインのスパムは 5 月初めがピークで、全スパム URL のほぼ 50% を占めていましたが、最近の 7 日間では 2% 足らずです。

図 1.トップレベルドメイン（TLD）に .pw を含むスパムメッセージの変化

.pw ドメインを使ったスパムが減少したのは、シマンテックと Directi 社が連携して、スパムに関係する .pw ドメインの報告と停止を続けた結果です。

Symantec Global Intelligence Network の最近のデータによれば、.pw ドメイン（元々はパラオを表す国別トップレベルドメインでした）の比率がこれほど小さくなっても、.pw を使うスパマーは諦めずに新たな手口を使い始めています。世界中の最新ニュースに目を光らせ、最新ニュースの見出しをドメイン名に変換しているのです。

そうした例のひとつが babykingishere.pw というドメイン名で、これはパナマの登録者が 7 月 24 日に登録したものです。スパマーが選んだこの名前は、英国から届いたお世継ぎ誕生という大きなニュースに由来しています。全世界がご生誕を祝うなか、スパマーがそのニュースを利用しようとしたのは明らかです。

これまでのところ、このスパムドメインは一撃離脱タイプのスパム攻撃で確認されています。このタイプのスパムに見られる大きな特徴は「使い捨て」ドメインを使っていることで、babykingishere.pw ドメインがまさにそれです。

babykingishere.pw ドメインを使う一撃離脱スパムで確認された差出人のサンプルを以下に示します。

• 差出人: "Cable Internet"（ケーブルインターネット）<CableInternet@babykingishere.pw>
• 差出人: "Medical Billing and Coding Education"（医療費請求とコーディング教育）<MedicalBillingandCodingEducation@babykingishere.pw>

図 2. babykingishere.pw ドメインを含むリンクの記載されたスパムメッセージの例

どちらのサンプルも現在、シマンテックの IP 評価とコンテンツフィルタリングによって遮断されています。シマンテックは、.pw ドメインと「ロイヤルベビー」スパムを引き続き監視する予定です。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。

7 月下旬、千葉県警は Android.Enesolutyをダウンロードするリンクが記載された電子メールを含むスパムを配信したとして 9 人を逮捕しました。Android.Enesoluty は、所有者のデバイスに保存されている連絡先情報を収集するマルウェアです。逮捕された 9 人の中には、東京都渋谷区の IT 関連企業コーエイプランニング社長、香川雅昭容疑者（50）も含まれていました。香川容疑者は、熱心なポーカープレイヤーとしても有名で、世界中のポーカー大会に参加しては、これまでの大会で累計 1 億円以上を稼ぎ出してきました。スパム活動では主犯格であったと見られています。イチかバチかに賭けるその情熱が、ポーカーの世界では膨大な稼ぎをもたらしましたが、Android マルウェアをめぐる賭けでは運に見放されたようです。香川容疑者とその関係者は間もなく起訴されると見られています。

シマンテックの調べによると、このスパム活動は 2012 年 9 月頃に始まっており、捜査当局の家宅捜査があった 2013 年 4 月に停止しました。シマンテックは、この期間に悪質なアプリのホスト先として約 150 のドメインが登録されていたことを確認しています。報道によれば、このグループは 810,000 台前後の Android デバイスからおよそ 3,700 万件もの電子メールアドレスを集めていました。また、スパム活動の最後の 5 カ月間には、「サクラ」サイトと呼ばれる偽のオンライン出会い系サービスを運営して、3 億 9,000 万円以上の稼ぎを上げています。被害者をこの出会い系サイトに誘導したスパムの送信先は、マルウェアによって収集されたアドレスでした。

シマンテックは 2012 年 7 月以来、Enesoluty 詐欺を綿密に追跡してきました。その詳しい経緯は、以下のブログでお伝えしています。

• Android の連絡先情報を盗み出すためにアニメのキャラクター「あなる」を悪用: 2012 年 7 月 30 日公開
  Enesoluty をめぐるシマンテックの追跡は、テスト段階の実施に使われた亜種の発見から始まりました。この詐欺の開発は、2012 年 6 月頃に始まったと見られています。
• 「あなる」マルウェアが実用段階に入り、窃盗も可能に: 2012 年 9 月 10 日公開
  活動が実用段階に入ったのは、偽の Google Play サイトにホストされた 2 つの偽アプリが登場した、2012 年 9 月上旬のことでした。
• モバイルデバイス上の連絡先を盗む偽ウイルス対策アプリ: 2012 年 9 月 26 日公開
  新しいマルウェアアプリが開発され、ラインアップに加わりました。
• 生存を続ける日本の Android マルウェア: 2012 年 12 月 4 日公開
  Android マルウェアを使って連絡先情報を盗み出していた 2 つのグループが逮捕されましたが、Enesoluty を利用する詐欺師はその後も悪質な行為を続けました。
• 利用規約が追加された Android.Enesoluty: 2012 年 12 月 11 日公開
  訴訟を回避する目的で、偽の Google Play アプリページに利用規約が追加されました。
• Lime Pop: Android.Enesoluty の新しい不正アプリ: 2013 年 3 月 25 日公開
  5 番目の悪質なアプリが開発され、ラインアップに加わりました。

シマンテックは、Android.Maistealerと Android.Enesolutyも、Android.Uractoという別のマルウェアと共通のソースコードを使っていると考えていますが、マルウェアを拡散する手口が大きく異なることから、Uracto は別の詐欺グループが管理しているものと思われます。この別グループはまだ特定に至っていないため、こちらのグループをめぐっては今後もしばらく紆余曲折がありそうです。Android.Uracto によって実行される詐欺の詳しい情報は、以下の 2 回のブログでお伝えしています。

• 母親やアニメファン、ゲーマーなども狙う Android.Uracto
• 被害者の連絡先にスパムを送信する Android マルウェア

最後になりましたが、今回の逮捕について千葉県警に称賛の意を表したいと思います。シマンテックは、この逮捕に至るまで捜査当局に協力しており、今後も犯罪者の摘発や告訴については協力を続けていきます。

* 日本語版セキュリティレスポンスブログの RSS フィードを購読するには、http://www.symantec.com/connect/ja/item-feeds/blog/2261/feed/all/jaにアクセスしてください。

It seems like an obvious question, but, how would you roll-out Enterprise Vault to 2000 users? You've done a nice, simple design. You've got the storage ready, and the server deployed. You've installed all the software, configured the policies that you've agreed on. But what then?

Although I don't use Outlook for Mac to access corporate email which is touched by Enterprise Vault any longer, I do still try to use my Mac to read mails with Outlook, and from time to time still point Outlook at one of my test environments which has EV involved.  So in keeping up to date with the happenings in Enterprise Vault + Mac + Outlook, I spotted the following technote which talks about an issue with Outlook 2011 SP 3.  Take a look to see if you are likely to be affected:

http://www.symantec.com/docs/TECH209123

シマンテックでは、このたび、Symantec Validation and ID Protection Service（VIP）をバージョンアップしました。VIP Manager と Enterprise Gateway 9.3 において、新機能がご利用いただけます。

9.3 の新機能の概要

1. ユーザグループごとにクレデンシャル（トークン）ポリシーを管理する
2. 管理者グループを設定して LDAP/AD ユーザストアと同期する
3. スーパー管理者グループの設定が可能
4. デバイスフィンガープリント認証と IA（Intelligent Authentication）のポリシーを分離可能
5. その他のエンドユーザ向け機能強化

新機能の説明

ユーザグループごとにクレデンシャル（トークン）ポリシーを管理する

• VIP Manager でユーザをグループ分けして、管理者がそれぞれのグループにポリシーを適用できるようになりました。
  • ハードウェアクレデンシャルとソフトウェアクレデンシャルについて詳細設定
  • クレデンシャルの数の詳細設定
• ユーザを作成したり編集するための、新しく使いやすいインターフェース
• ユーザグループを使った検索

図 1: Manage User Groups 設定（VIP Gateway）

図 2: Add User Group 設定（VIP Gateway）

図 3:ユーザストアと連携する設定画面（Enterprise Gateway）

管理者グループを設定して LDAP/AD ユーザストアと同期できる

• Active Directory から管理者アカウントを VIP Manager の管理者アカウントに複製
• LDAP ユーザストアの管理者の記録と同期が可能で、自動追加、削除、アップデートをグループに対して行えます。
• 新しく使いやすいユーザインターフェースで、管理者グループを作成、編集、削除できます。
• 新しいパーミッションを管理者グループやユーザグループに加えて管理できます。

図 4: Find/Modify VIP Administrator Group 画面（VIP Manager）

図 5:管理者アクセスの設定画面（Enterprise Gateway）

スーパー管理者グループの設定が可能

• すべての管理者パーミッションでのアクセスが可能なスーパー管理者グループ
• スーパー管理者グループはロックアウト機能も持つ（アカウントの削除が不可）
• LDAP 同期をしている場合に利用を推奨

デバイスフィンガープリント認証と IA（Intelligent Authentication）のポリシーを分離可能

• デバイス ID のポリシーと、リスクベースのポリシーを分離し、より柔軟な設定が可能に
• 認識のできないデバイスに対して必ずセキュリテリコード入力を求める新しいオプションを用意

図 6: VIP Intelligent Authentication 設定画面（VIP Manager）

その他のエンドユーザ向け機能強化

• Intelligent Authentication が有効になっているアカウントについては、セキュリティコードを入力要求するポップアップに、ブラウザ設定に応じてローカライズされたメッセージが表示されるようになりました。
• Windows 8 デスクトップ上の Internet Explorer で、Registered Computer の機能がサポートされました。
• Self Service Portal で、Registered Devices の名前を編集できるようになりました。

VIP Enterprise Gateway の機能強化

• VIP Enterprise Gateway で Windows Server 2012 のサポートを開始しました。
• Windows と Linux プラットフォーム向けに VIP SSP IDP Proxy Service のインストーラが準備されました。

サードパーティ製品対応

• Citrix Ready Symantec VIP が Citrix Ready の認定を受けました。最新の XenDesktop 7 にも対応し、VDI の環境にも強力な追加認証をご利用いただけることになりました。詳細は Citrix Ready のページをご覧ください。
• Microsoft IIS 7.x および 8.x（Windows Server 2012 および 2008 R2）: VIP のインテグレーションプラグインが、Microsoft IIS 8.x 対応となりました。
• Cisco Identity Services Engine（ISE）: VIP のインテグレーションプラグインが、Cisco ISE デバイス認証に対応しました。
• Cisco ASA firewall: VIP のインテグレーションプラグインが、最新のバージョンに対応しました。

What a summer of sport it has been. We’ve witnessed in our millions the British & Irish Lions rugby team triumphing in the Rugby Union Test series in Australia; Chris Froome winning the 100th edition of the Tour de France; Missy Franklin taking a record sixth gold at the Swimming World Championships in Barcelona; the Miami Heat winning the NBA finals; and finally, for the first time in 77 years, a Brit claiming the Wimbledon men’s singles tennis title!

All of which is to say that nothing captures the public imagination quite like a major gathering, be that a sporting encounter or music festival, such as Glastonbury. And that is certainly true also of the IAAF World Athletics Championships in Moscow (10-18 August) where elite athletes from all over the globe will compete. Who wouldn’t want to be there to witness the outstanding battle of wills and talent out on the field and track? Who wouldn’t want to grab tickets fast before they all disappear?

The problem is that it won’t just be the eyes of sports fans fixed on this great occasion – there will also be the eyes of countless touts, selling tickets in their tens of thousands over the internet that are worthless fakes. And it’s all too easy. How often have you bought on line yourself, assuming you are safe, but not really checking to be certain you are? Add in the pressure of watching tickets being snapped up (for an event you have set your heart on being at) faster than you can say “100 metres final” and you can see why the touts score such enormous success themselves. With so many sports and such high stakes, and only limited space for dedicated fans, it’s not surprising that there are bad guys out there willing and ready to take advantage of our eagerness to secure tickets.

Inevitably, big events like the World Championships and the forthcoming FIFA World Cup in Brazil (June-July 2014) attract countless fraudsters and cybercriminals – engaged in everything from the dissemination of rogue antivirus to ticket touting. After all, the potential profits to be made are vast and the level of sophistication of attack is growing all the time[1] .

We’ve seen it all before, of course…. In the run-up to the London Summer Olympics, attackers used Olympic hashtags on Twitter to spread malicious code, bundling threats with popular Olympic-themed Android apps, and creating spam and phishing scams that pretend to be contests sponsored by credit card companies — all in the hope of taking full advantage of the excitement surrounding the event. There have also been instances of spammers attempting to trick users into downloading malware.

As the London Olympics approached, phishing sites sprung up everywhere, such as the one masquerading as a key sponsors’ promotion. Here, the phishers created such an eye-catching phishing site that it was easy to be taken in. The phishing pages, hosted in Brazil, included several fake offers such as ‘Win Free Trips to the 2012 Summer Olympics in London!’, ‘Participate and win laptops, cameras and many great prizes’. The London Olympics logo was placed at the centre of the page and, below the logo, were images involved in the event, such as the London Olympic Stadium, Wembley Stadium, the North Greenwich Arena and the London Underground, promoting the Games. Customers were prompted to participate in the offers by clicking a button labelled ‘Participate now’. Anyone who did was redirected to the next phishing page, asking for the user’s confidential information, including full name, email address and password, date of birth, credit card number, name on card and security code. With all that captured, the phishing site acknowledged the registration with what appeared to be a validation of the entry. And so another victim was hooked.

While major sporting events and concerts are high-profile examples of ticket touting at its most devastating, its reach goes way beyond these. And, more and more, the cybercriminals are turning to social media to trap their victims, as the recently published Website Security Threat Report (WSTR) makes clear. No surprise, really, as the criminals stalk their prey to the most popular ‘watering holes’, with the likes of Facebook and Twitter key targets.

However, in the past year, online criminals have also started preying on newer, fast-growing sites, such as Instagram, Pinterest and Tumblr. Typical threats include fake gift cards and survey scams. These kinds of rip-offs now account for more than half (56%) of all social media attacks. For example, in one scam the victim sees a post on somebody’s Facebook wall or on their Pinterest feeds (where content appears from the people they follow or in specific categories) that says: ‘Click here for a $100 gift card’. Click on the link and you are taken to a website where you’re asked to sign up for any number of offers, turning over personal details in the process. The spammers get a fee for each registration and, naturally, there’s no gift card.

We are now witnessing ever more threats targeted at social media websites, as well as more and more new channels and platforms opening up, especially those that are available only as mobile applications where rich pickings are to be had from teenagers and young adults, who may not know how to recognise such attacks and be a little less protective of their personal details.

So what should you do, if you are not to be one of the fraudsters’ online victims, and avoid spam and phishing attacks? Here are some best practice tips:

• Do not click on suspicious links in email messages
• Never enter personal information in a pop-up page or screen
• When entering personal or financial information, ensure the website is encrypted with an SSL Certificate. Look for a padlock, ‘https’, a trust seal, such as the Norton Secured Seal*, or a green address bar (seen on sites using Extended Validation SSL Certificate that are virtually impossible to be spoofed or used by phishers)
• Frequently update your anti-virus software and operating system on your computer, both of which can protect you from online phishing.

Finally, no matter how much you may want those tickets, or that present, and no matter how pressing the deadline, pause before you act. Ask yourself: “Is this too good to be true?” If there’s any doubt in your mind, step away. Better to risk losing out than to discover later on that your bank account has been severely depleted.

*According to a survey carried out this year by independent web research organisation Baymard Institute, the Norton Secured Seal is by far the most trusted, with 35.6% of the votes – nearly 13% ahead of its nearest rival. It was shown to be the seal that gave customers the strongest sense of trust when purchasing online, making it the de facto choice (http://baymard.com/blog/site-seal-trust).

[1]http://www.symantec.com/connect/blogs/cybercriminals-catch-olympic-fever-early

One message is coming back loud and clear from Symantec's customers: "We like the core technologies you give us, but, in a lot of cases, we need the offerings to be tailored more specifically for us."

It's understandable, and something we are very aware of at Symantec and try to react to. If you're a small business, for example, you may want to consume our products in a certain way – such as in the form of a Web service – while, if you are a consumer, you may want it delivered quite differently.

To that end, a key goal of the Symantec 4.0 strategy is to deliver a ’Right for Me’ offering – that is, a combination of a technology that provides the right levels of protection with a solution that best meets a customer’s particular requirements . That might be gauged by the size of the customer (large enterprise versus small business) or according to how they want to consume the offering: e.g. , as a service, appliance or software. Also, there are the tailored products for particular industries where customisation is required to create more specialised solution (telcos are a prime example of a vertical sector where this is frequently the case).

Equally, scale matters within our customers' industries, in a number of ways. Having a large global intelligence network is important, for example, when you are delivering better security and quality of protection. Also, scale supports enterprises as they expand globally.

While our current leading products will continue to serve our customers, as Symantec moves forward and requirements evolve, those same customers are asking for more tightly integrated solutions closely targeted to their “bigger problems” as CEO Steve Bennett likes to say.

When I hear customer feedback and our “right-for-me” approach, my first thought is to “reality-check” this with people who talk to customers everyday and don’t always look through the world with Symantec-colored glasses.  So here’s my question to you analysts out there - When you talk to clients, are they looking these types of “right-for-me” fixes to their problems? What would “right for me” look like for a customer dealing with multiple products, advanced threats, too much storage, and not enough intelligence?”

I would love to hear your take.

SC Magazine conducted a group test of endpoint security products and reviewed Symantec Endpoint Protection 12.1.2 in the August 1, 2013 issue. Symantec Endpoint Protection 12.1.2 received a very positive review, receiving an overall rating of five out of five stars in this important trade publication. The review specifically called out SEP’s protection of millions of endpoints, SONAR engine, Insight technology and intuitive usability, concluding that, “Symantec has put together a solid product.” The full review can be read here

.

·         We checked the Scratch pool .Enough Scratch tapes are available. Restarted the backup but failed again with error code:-96.

·         Ran the inventory in order to update the volume configuration. Resubmitted the backup again but failed with error code:-96

·         Stop and start Netbackup services on Master server twice (chev1bkp2).

·         Manually change the Volume pool of a tape from GUI and put some tapes to the volume pool SAPDB4WEEKS. Resubmitted the backups but failed again. No luck.

·         Enough scratch tapes available in scratch pool.

o   chev1bkp2{root}# vmquery -rn 0 -bx | grep -i scratch

o   002072  HCART3    TLD      0      32     -     000_00000_    -          63     10/05/2011 03:53     ---      ---   Scratch            

o   002246  HCART3    TLD      0      14     -     000_00000_    -         121     08/11/2011 01:31     ---      ---   Scratch            

o   002249  HCART3    TLD      0      17     -     000_00000_    -         149     09/07/2011 00:26     ---      ---   Scratch            

o   002945  HCART3    TLD      0     209     -     000_00000_    -          32     09/24/2011 03:15     ---      ---   Scratch            

o   002948  HCART3    TLD      0     206     -     000_00000_    -          30     09/01/2011 05:06     ---      ---   Scratch            

o   002949  HCART3    TLD      0     220     -     000_00000_    -          97     10/30/2011 11:19     ---      ---   Scratch            

o   002960  HCART3    TLD      0     192     -     000_00000_    -         270     10/10/2011 12:32     ---      ---   Scratch            

o   002967  HCART3    TLD      0     184     -     000_00000_    -          44     10/10/2011 21:34     ---      ---   Scratch            

o   002968  HCART3    TLD      0     185     -     000_00000_    -          35     09/08/2011 01:32     ---      ---   Scratch            

o   002971  HCART3    TLD      0     198     -     000_00000_    -          40     09/10/2011 08:23     ---      ---   Scratch 

o   chev1bkp2{root}# vmquery -rn 0 -bx | grep -i scratch |wc -l

o   10

·         Scratch pool is well configured with the name scratch.

o   chev1bkp2{root}# /usr/openv/volmgr/bin/vmpool -listall |grep Scratch

o   pool name:    Scratch

o   -------------------------------------------------------------------------------------------

o   pool number:  5

o   pool name:    Scratch

o   description:  Volume Pool Reserve

o   max partially full:    0

o   -------------------------------------------------------------------------------------------------

·         Temporarily changed the volume pool of failed backups from (SAPDB4WEEKS) to (APP4WEEKS). Resubmitted the backups but failed again.

·         Attached are the BPTM logs for today. 

Need solution .