提供 AhnLab

- さらに進化した金融情報流出のマルウェア：振込時に受取人の口座番号と振込金額を改ざん
- 振込プロセスが正常に行われるため、金融機関の被害把握が困難
- インターネットバンキングの利用前に、V3 の 最新エンジンへのアップデートおよびスキャンが必須（個人/企業向け V3 で診断/駆除可能）
- マルウェア感染を防止するため、基本的なセキュリティルールを守ることが大事

[スポーツソウルジャパン｜編集局] ネットセキュリティ企業「アンラボ」は、これまでのメモリハッキング方式に新しい手法が加わった金銭目的のマルウェアが発見されたと発表し、ネットバンキングユーザーに注意を呼び掛けた。

グローバルセキュリティ企業である株式会社アンラボ(代表取締役：キム・ホンソン、www.ahnlab.com、以下アンラボ)は、2013年7月に発見された「セキュリティモジュールのメモリハッキングを試みるマルウェア（財務情報や金銭をだまし取るマルウェア）」よりさらに進化した金銭目的のマルウェアを発見し、分析結果を発表した。
今回発見されたマルウェアは、金融情報を流出する既存のメモリハッキング方式に対して、インターネットバンキングでの取引時に攻撃者が振込先の銀行口座番号と振込金額を改ざんする機能が加わった。

これまでのメモリハッキング方式は、ユーザーが金融機関サイトへアクセスする際、セキュリティのために自動的に起動される「キーボードセキュリティソリューション」、「公認認証書」などのセキュリティモジュールのメモリをハッキングし、その後、セキュリティモジュールを無力化することで、公認認証書のパスワードやセキュリティカード番号などの銀行振込に必要な情報を奪取した。
取引が正常に行われないように、強制的にインターネットバンキングを終了した後、奪取した銀融情報と同様のセキュリティカード番号を利用して金銭を奪い取る。
今回発見されたマルウェアは、上記のメモリハッキング方式に加え、ユーザーが特定の銀行で金銭を振り込む際に①振込先の口座番号を攻撃者が設定した口座番号に変更、②ユーザーの口座残高を把握して振込金額を変更を行う。

提供 AhnLab

インターネットバンキングの取引は正常に完了し、攻撃者の口座に振込金額が振り込まれる。この場合、取引は正常に終了するため、金融機関では異常を把握することができない。

アンラボは、インターネットバンキングを頻繁に利用するユーザーは、被害防止のため、PC のセキュリティ対策ソフトを最新の状態に維持し、リアルタイムスキャンを実行する必要があると注意を呼び掛けた。
特に、インターネットバンキングを利用する前に、必ず最新バージョンのセキュリティ対策ソフトで PC を事前スキャンすることを推奨した。
また、マルウェアの侵入自体を防ぐことが重要なため、信頼できないサイトへのアクセスや疑わしい電子メールの添付ファイルの実行を自制し、SNS および電子メールに含まれたURLの実行を控えるなど、基本的なセキュリティのルールを守ることが必須だと語った。

アンラボのイ・ホウンセキュリティ対応センター長は、「今回のマルウェアは、連休期間中や給料日など、インターネットバンキングの取引が活発に行われる特定の時期に増加する可能性が高い。インターネットバンキングのユーザーは、金銭被害を受けないように、前述のような基本的なセキュリティルールに従うことが重要」と述べた。

<進化したメモリハッキング（修正）の攻撃シナリオ>
1.　脆弱性のあるサイトへのアクセスなど、様々なルートでユーザーの 　　PC がマルウェアに感染（マルウェアは潜伏状態）
2.　攻撃者が予め設定した特定の金融サイトへユーザーがアクセスすることをマルウェアが感知
3.　マルウェアは、ユーザーが金融サイトへアクセスする際に自動で起動されるキーボードセキュリティソリューション、公認認証書などのセキュリティモジュールへのメモリハッキング攻撃を開始
4.　振込時に銀行へ送信される「振込先の口座番号」、「振込金額」を改ざん

<メモリハッキング（修正）マルウェアとの相違点>
ー 既存のメモリハッキングマルウェア
①　ターゲットとなる各銀行別のセキュリティモジュールのメモリをハッキング（修正）し、無力化
②　インターネットバンキングのログイン ID/パスワード、公認認証書のパスワード、セキュリティカード番号など、振込時に必要な情報を盗み取る
③　インターネットバンキングのプロセスを強制終了
④　インターネットバンキングの成立していない取引に対して銀行が同じセキュリティカード番号を要求するところを悪用し、金銭を奪い取る

ー 今回の振込情報を変更するマルウェア
①　ターゲットとなる各銀行別のセキュリティモジュールのメモリをハッキング（修正）し、無力化
②　インターネットバンキングのログイン ID/パスワード、公認認証書のパスワードなど、セキュリティカードの情報以外の金融情報を盗み取る
③　振込実行時に振込先の口座番号を攻撃者が設定した口座番号に変更し、口座残高がユーザーが振り込む金額より多い場合は、振込金額も変更する。

＊韓国にある株式会社アンラボの記事を参考して作成したもの。