ボットネット型マルウェア「Gameover Zeus(ゲームオーバー・ゼウス)」と身代金要求型マルウェア「CryptoLocker」を摘発

• 脅威情報
• 2014.6.4
• 更新日：2018.3.15

世界各国の捜査当局は、マカフィーなどの民間企業と連携し、「Operation Tovar」と呼ばれる共同作戦を実行、「Gameover Zeus(ゲームオーバー・ゼウス)」および「CryptoLocker」のインフラを壊滅する活動を遂行しました。この作戦は、通信ネットワークの一部をなすドメインの制御権を奪うことによってサイバー犯罪インフラを崩壊させるものです。感染しているシステムの所有者は、マルウェアを駆除し、デジタルライフの主導権を取り戻す貴重な機会を得ることになります。

もし、あなたや友人がインターネットサービスプロバイダーから通知を受け取ったら、それを無視しないでください。駆除ツールを使用してシステムからマルウェアを削除し、今後の感染を防止するためにも、必ず適切な対策を導入するようにしてください。

駆除ツールは、次のURLから入手できます。
http://www.mcafee.com/stinger

Gameover ZeusとCryptoLockerの犯罪インフラが早急に活動を再開する可能性があると予測しています。したがって、ユーザーも迅速に対策を行う必要があります。

Gameover ZeusとCryptoLockerは何をするマルウェアか？

実際には、これら2つのマルウェアはかなり異なります。Gameover Zeusは、被害者のコンピューターに侵入すると、その被害者から情報を盗もうとします。このマルウェアは、あらゆる種類の攻撃においてサイバー犯罪者によって活用され、成果を上げてきました。オンラインバンキングの認証情報から、クレジットカード番号、さらにはオンライン求人掲示板のログイン情報にいたるまで、Gameover Zeusによる犯罪活動の被害総額は、数百万ドルに上っています。 たとえば、2012年8月だけでも60万台のシステムが感染し、その多くがフォーチュン500企業のシステムであったという指摘もあります。

Gameover ZeusはZeusの亜種ですが、制御システムを分散してピアツーピア型のネットワークを構築する点が異なります。このマルウェアは、自身を正規のWindowsプロセスに潜り込ませて永続性を維持し、さらにシステムやブラウザの機能をフックし、ユーザーのブラウザに「偽の」コンテンツを挿入することによって不正な活動を隠蔽します。

この方法は、犯罪者が企業の口座から多額の金を不正に送金しようとする場合にとくに効果的ですが、資金を犯罪者の口座に完全に移し終わるまで、できる限り長い間その活動を隠蔽しておく必要があります。Gameover Zeusの各亜種は、ピアツーピア型の動作を行い、自身の更新や構成をそのピアネットワークにある利用可能なホストから入手します。そのため、活動をダウンさせるのがより困難になります。また、ペイロード（一般にユーザーの銀行口座から資金を盗み出すように設計される）を含む設定ファイルを動的に更新する機能もあります。

Gameover Zeusの機能は、単純な認証情報の盗取から、被害者の銀行口座をリアルタイムに乗っ取り、そこから多額の資金を察知されることなく送金するという高度な手口まで多岐にわたります。このマルウェアは、ブラウザやWebベースの各種エクスプロイトを使用してマルウェアを対象システムに送り込む、スピアフィッシング活動によって感染するのが一般的です。Gameover Zeusを駆使する犯罪者の関心は金銭的な利益であり、このマルウェアを使用して消費者や企業を標的にしています。

一方、CryptoLockerは自身の活動を隠蔽するのではなく、お金を払わないとシステム上のデータを暗号化して読めなくするぞとユーザーに警告します。この手のランサムウェアでは、ユーザーが犯罪者に送金できる時間的な猶予が限られており、その間に送金しないと、ファイルが暗号化されて使用不能になってしまいます。お使いのシステムに暗号化されたファイルがある場合は、ウイルス駆除ツールの「Stinger（スティンガー）」を使ってファイルを回復することはできません。

CryptoLockerは、システム上のファイルを暗号化し、次にポップアップを表示させて、ファイルを復号化する秘密鍵と引き換えに身代金を支払うよう、被害者に要求します。このマルウェアは、公開鍵暗号化アルゴリズムを使用して被害者のファイルを暗号化します。被害者のマシンが感染すると、鍵が生成され、秘密鍵が犯罪者のサーバーに送信されます。CryptoLockerでは、通常、被害者に72時間の猶予が与えられ、それが過ぎると秘密鍵が破壊されてファイルが回復不能、使用不能になるとされます。このマルウェアは、フィッシングメールやボットネット経由でも感染します。

今回の作戦では、英国家犯罪対策庁（NCA）、米連邦捜査局（FBI）、欧州刑事警察機構（ユーロポール）を含む国際的な捜査機関と民間企業が連携しており、感染した被害者にとっては、マルウェアを駆除するためのまたとない機会となります。上記マルウェアの被害者は、この機会を逃さずに対策を行う必要があります。その理由は、犯罪者が早急に通信インフラを再構築して、あなたのデータやお金を盗み出そうとするからです。