| ||||||||
   
ウイルス定義データベース
最新バージョン 30269 (2024/11/24 07:38) |
セキュリティニュース
[ 前のページに戻る ]
ランサムウェア・ダウンローダー「Nymaim」への対応について
[ 2013.10.30 最終更新 ]
ESETセキュリティ製品をご利用いただき、誠にありがとうございます。 以前の記事でご案内した「Win32/TrojanDownloader.Nymaim トロイの木馬」はランサムウェアとして有名ですが、一方でダウンローダーとしての役割も持っています。
ここでは、ESET社のウイルスラボがこのマルウェアに対して行った調査結果についてご案内します。 ◆ダウンローダーとしての「Nymaim」
Nymaimは、「DarkLeech」や「Black Hole」を利用し、アプリケーションの脆弱性を悪用することで、他のマルウェアをダウンロードします。最終的に、PCは偽セキュリティソフトなどのマルウェアに感染します。 図1は、「Nymaim」がインターネットからマルウェアをダウンロードしている様子です。
 図1：「Nymaim」がインターネットからマルウェアのダウンロードを行う様子 ◆「Nymaim」が行うネットワーク通信
Nymaimは、ウイルス対策ソフトの検出から逃れるために、RC4によるストリーム暗号化通信を行っています。 ネットワーク通信に用いられるTCPパケットは、大きく分けてヘッダー部とボディ部の2つで構成されています。Nymaimは、このTCPパケットのヘッダー部とボディ部をそれぞれ暗号化し、ヘッダー部にはボディ部の復号キーが格納されています。ボディ部には、Nymaimがダウンロードした他のマルウェアが格納されています。 図2は、Nymaimが行う暗号化通信を解析した結果です。  図2：「Nymaim」の暗号化通信の解析 このマルウェアは、ESET製品にて以下の通り検出されます。 ■対応しているウイルス定義データベースと検出名 2013年5月9日午後4時30分頃(日本時間)に配信されたウイルス定義データベースにて、下記の検出名で定義されました。 ウイルス定義データベース：8312 (20130509)
◆関連情報◆ ESETブログ（英語） ◆参考◆
| |||||||
| ||||||||
