はい！電算室です

もう去年になります。
年の瀬に起きた大きな情報漏洩事件。
一つは一地方で起きた事件なので全国的には報道されていないかもしれませんが、情報管理者にとっては大きな事件でした。
----------------
業務を受託している2病院から患者情報を紙資料で持ち出し（インテック）（ScanNetSecurity)
2019年12月6日、インターネットオークションで落札したハードディスクから行政文書とみられるデータが復元されたと報じられました。その後の調査でこのハードディスクはリース会社が委託した処理業者の従業員が転売して事実が明らかになりました。第一報を報じた朝日新聞は今回の流出事案を「世界最悪級の流出」と表現しています。
-----------------------

インテックの事件は悪意がなく（紙がもったいなかったと言い張っています。）、ブロードリンクの事件は悪意があり、関係ないと思われがちですが、どちらも内部犯行であり、そのための教育、ルール整備、監視を強化しなくてはなりません。

いくらツールで監視しても、いくらルールを整備しても、実行する人間が最も深刻な脆弱性なのです。それがIT関連の仕事をしていてもそうです。

また窮屈な環境になるのでしょうか。
費用をかけても人間をロックすることはできないんですよね。

[2回]

フィッシングメールが巧妙化してきています。

有名企業をかたり、かつそれらしい文面で来るので、ついついクリックしてしまいそうになります。

今回はこういうのです。
ーーーーーーーーーーーーーーーーーー

[0回]

久しぶりにマルウェア付きメールが届きましたので紹介します。




なんか親し気な感じで、画像送付したので見てくれというメールです。
差出人のドメインが"biglobe.ne.jp"　偽装されたのか乗っ取られているのかわかりません。
実在するアドレスなのかなぁ。

宛先には複数記載されていました。"@nifty.ne.jp"なんてniftyの初期のメールアドレスですね。漏れたアドレスが転売されているのかもしれません。その人のところにもこのメールが届いているのでしょうか。



添付されていたzipファイルを展開（解凍）してみました。
ウィルス対策ソフトは反応しませんでした。
一瞬見ると、png（画像フォーマットの一種）ファイルのように見えますが、「種類」を見ると「アプリケーション」になっています。明らかに実行ファイルです。



zipファイルの中のファイルのプロパティです。
「ファイルの種類：アプリケーション（.exe）」ですね。
実行してはいけません。



virustotalで検索すると明らかにマルウェアでした。
TrendMicroでは「TSPY_URSNIF.AUSINH」　うちのは何故検知しなかったのだろう・・・
Symantecでは「Infostealer.Snifula 」
Kasperskyでは「Backdoor.Win32.Androm.naei 」
として検知します。

実行するとどうなるか？安全に実験する方法はないものでしょうか。
やっぱり仮想環境を作るしかないかなぁ。

[0回]

今日も（本当は昨日ですが）、ウィルス付きメール（本当はマルウェアでしょうが、便宜上ウィルスとしています）が届きましたのでご紹介いたします。
 

英文です。前回の2通目の紹介したものと似ているようです。

文章を翻訳してみましょう。
原文はこちら
-----------------------------------

Dear 〇〇〇, this is from the insurance company concerning with your health insurance.

The new insurance contract is attached.

Please look over it and let us know if you have questions.

 

 

Best Wishes,

Preston Saunders

----------------------------------
〇〇〇はメールアドレスが書かれています。これも前回と一緒ですね。
googleに翻訳してもらいました
----------------------------------

[0回]

結構な頻度でウィルス（マルウェア）付きメールが届くようになってきました。
メールアドレス漏れているのが確実です。
もしくは、送信エラーとならなかったメールアドレスをデータベース化して
売買されているのかもしれません。

まぁほぼ海外製メールなので分かりやすいといえばわかりやすいのですが。
でもうっかり添付ファイルを開こうとしてはいけませんよ。
面白半分で調べてみようなんてこともやめたほうがいいでしょう。

では一通目です。

本文が書かれていません(笑)
レセプトと書かれた件名に、添付されたzipファイル。
怪しさ満載です。

ウィルストータルで検索すると、検出されます。
トレンドマイクロではJS_LOCKY.SM7として検出されました。 では２通目です。

[0回]

スマホを使うようになってから、PCを起動させる機会が少なくなりました。
ですので、PCメールが放ったらかしになってしまい、気が付いたら何日分ものメールを取得するはめに。IMAP設定するといいのでしょうが、私が契約しているプロバイダーはIMAP設定だとお金とるんですよね。

さて、何日分もの大量のメールの中に、ちらほらとウィルス付きメールが届きます。
いつもだと問答無用で削除するのですが、もしかしたら同じメールが届いて、添付ファイルを開いてしまう方もおられるかもしれません。

注意喚起も含めてウィルス付きメールの内容を紹介したいと思います。
では、ひとつめ。


ここ最近の傾向として、長文の日本語にすると粗が出るので、一言、短い文章にしているようです。
でも、逆の怪しいですよね。

ヘッダー情報をaguse.jpで解析してもらいます。


あら、日本が送信元ですか。もしかしたら乗っ取られているのかもしれませんね。
ブラックリストにも載ってしまっているようです。

添付ファイルを保存しようとすると・・・・



BEBLOH（ベブロー）でした。
zipファイルの中には、jpgファイルと見せかけた.exeファイルが入っています。
BEBLOH（ベブロー）は「URSNIF（アースニフ）」というネットバンキングを狙うウィルスをダウンロードするファイルだったようですが、今では、BEBLOH(ベブロー）本体がネットバンキングを狙うウィルスになってしまったようです。

さて、二通目です。


誰だよ(笑)

いきなりよろしくと言われても何もできません。

差出人はocn.ne.jpなので日本かな？と思いきや


インドネシア、ジャカルタからでした。

添付ファイルを保存しようとすると、ウィルスソフトが検知します。



こちらもBEBLOH（ベブロー）でした。

そして三通目です。

本文がありません(笑)
どうしろと？添付ファイルを開けと？
怪しさ満載です。

 

送信元アドレスはイスラエルでした。もうワールドワイドです。

で、添付ファイルを保存しようとすると、やはりウィルス対策ソフトが反応します。

LOCKYですか・・・。
LOCKY（ロッキー）はランサムウェアで、ZIPファイルの中にswfファイルというスクリプトファイルが入っています。このスクリプトファイルを実行してしまうと、PC内のファイルを拡張子を.lockyとした暗号化されたファイルに変えてしまいます。で、元に戻してほしければ、お金を払えと。いわゆる身代金要求ですね。

標的型メールでない限り、いわゆるばらまき型のウィルス付きメールについてはウィルス対策ソフトがちゃんと反応してくれます。

ウィルス対策ソフトをインストールしておき、常に最新状態にしておきましょう。
そして、何日か一度、コンピュータ全体をスキャンしておきましょう。

[0回]

日本語表示でAndroidユーザーに身代金を要求するランサムウェアが確認されたとトレンドマイクロが発表しました。
その画面が上のとおり。



一見しただけで、怪しさ満載、突っ込みどころ満載です。
おそらく外国の方が作られたのでしょうね。日本というイメージはこの配色なのでしょうか。
そして書いてある内容。
てにをははまるでなっていません。

「残り時間は、罰金を支払います」って・・・・。
また、日本には国土安全保障省なんてありません。（国土交通省か？全然関係ないだろー）


愛知県警にさらに詳しい画面が掲載されていました。（PDF)
なに！？罰金をiTunesで払うの！？
たぶん日本はまだビットコインなどのネットマネーが普及していないからなんでしょうね。

ただ、こんな画面が出て笑っている場合ではありません。
身代金の要求ですからこれをどうにかしないとロック解除できないわけです。
あきらめて初期化なんてできないですよね。

愛知県警にアンインストール方法が掲載されています。（PDF)
Androidのスマホにセーフモードなんてあったんだ。

ちなみにどうやったらセーフモードになるのだろう？
xperiaはホームページには古いのしか掲載されていませんね。
docomoではこちらのように説明しています。

シャープはホームページに掲載されています。それぞれ機種の「その他」に記載されています。
docomoの最新機種であるSH-01Hでもこちらに掲載されています。

今回のランサムウェアについていろいろツッコミましたが、いずれ洗練されてくるんでしょうねぇ。

[0回]

東京大学でPCの紛失があったようです。

で、大体このようなインシデントが発生した場合、決まって書かれるのがこの言葉

>ログインする際にはパスワードがかかっているため、即座に情報が流出することはない

いつも思うのですが、そんなことはありません。
ログインせずともPCのファイルにアクセスすることは可能です。

Linuxでリブートする方法や、HDDの復元ソフト使う手もあるでしょう。

だから本当ならば、

>暗号化されているため、即座に情報が流出することはない

が正解なんでしょうね。
どうも「パスワード＝暗号化」という解釈している方が多いように思います。

[0回]

ずいぶん前にUSBポートをふさぐ商品を紹介しました。
えぇ、こちらです。


大阪の堺市が職員による情報流出をうけてUSBポートをふさぐという措置をとったのですが、その時のネットの評判が悪いこと悪いこと(^^ゞ

＞円盤焼けば？とかクラウドに上げれば？マウスはどーしてるんだ？など突っ込みどころ満載だが
対策取れませんとは言えなかっただけの対策なんだろうな。

＞虚構新聞かと思った 堺の個人情報は揮発性（物理的な意味で）なのか？

＞公務員って馬鹿しかいない(笑)

＞対策がくそバカすぎる

そのほかのコメントはこちらで見ることができます。

でも意外にこのローテクの対応は必要だと思います。
もし、不正人物がUSB経由でデータを盗み出そうとしても、ポートがふさがれていれば、その部品を抜くにも、キーボードやマウスを抜いてUSBメモリを差すという手間も躊躇します。犯罪者は想定外の手間は非常に嫌がりますし。

突っ込みどころがないといえば当然あります。がっ、できることはやる。それがセキュリティ対策の鉄則です。

さて、もう一つ、突っ込みどころがありそうなものを。

やはり職員対策ですが、悪意を持った職員が自分の端末を不正に持ち込み、LANに接続したとしたら・・・。当然認証があるので入ることはできませんが、念には念を。

ということで、空きLANポートがあったらふさいでしまいましょう。ほこりの侵入防止にもなりますし。
そんな商品はこちら



抜くのもちょっと難儀します。専用工具があれば難なく抜けますが、ちょっとやちょっとでは抜けません。
ぜってー、突っ込みがありそうだなぁ。
でもやれることはやります。ほこり防止にもなるし(笑)・・・と言い聞かせながら・・・。

[0回]