海賊版サイトへのアクセスをブロックするだけのマルウェア

2021年6月20日 18:36

海賊版サイトへのアクセスをブロックするマルウェアキャンペーンについてSophosが解説している(Sophos News の記事、 TorrentFreakの記事、 HackRead の記事、 Ars Technica の記事)。

Sophos が「Vigilante」と呼ぶマルウェアはさまざまなゲームの海賊版を装って BitTorrent で配布されており、リンクが Discord で共有されているという。マルウェアを実行すると「MSVCR100.dll」が見つからないといった偽のエラーメッセージを表示し、バックグラウンドで処理が行われる。処理の内容としては、キルスイッチとみられるファイル名やレジストリ値の検索を行い、見つかればそこで処理を終了し、見つからなければ hosts ファイルの書き換えを行う。

また、インターネットに接続している場合はファイル共有サービス 1fichier のタイポスクワッティングサイトに接続して「ProcessHacker.jpg」という名前の実行ファイルをダウンロードするほか、マルウェアのファイル名を送信する。ただし、このサイトは既にアクセスできなくなっているとのこと。マルウェアの圧縮ファイルにはハッシュ値を変えて別ファイルとして配布するためのデータが同梱されている。.nfo という拡張子のファイルには先頭1,150バイトをゴミデータで埋めた後に人種差別的表現が1,000回以上繰り返されているそうだ。

hosts ファイルに追加されるエントリは ThePirateBay など数100～1,000件以上の海賊版サイトドメインを localhost アドレスの127.0.0.1に割り当てるものだ。ただし、マルウェアが常駐することはなく、ユーザーが hosts ファイルの変更を元に戻した場合、再びマルウェアを実行しない限り攻撃が続くことはない。Sophos の Andrew Brandt 氏は10年以上前に同様のマルウェアを発見しているが、そこから特に進化した様子は見られないとのことだ。

超音波で自動運転自動車の物体検出を誤らせる「ポルターガイスト」攻撃

スラド

著者: headless

2021年6月20日 16:30

自動運転自動車が物体を検出する機械学習モデルに対し、超音波を用いて誤った結果を導くという「ポルターガイスト」攻撃の研究成果を中国・浙江大学などの研究グループが発表している(GitHub プロジェクトページ、 The Registerの記事、論文: PDF)。

ポルターガイスト攻撃は研究チームが AMpLe (injecting physics into Adversarial Machine Learning) 攻撃と呼ぶ、機械学習モデルに対する物理的な攻撃の一つ。超音波のほか、可視光や赤外線、レーザー、電波、磁場、熱、液体などを用いてセンサーの出力を操作し、誤った結果を導くというものだ。今回の研究は現行の製品ではなく、まだ見ぬ将来の自律走行車がどのように映像スタビライズシステムへの音響攻撃を回避していくかの理解を深めることが目的だという。

映像スタビライザーの加速度センサーやジャイロスコープは音響共鳴攻撃に弱いことが知られており、ポルターガイスト攻撃もこの仕組みを用いてセンサーをコントロールし、被写体ぶれした映像を出力させる。機械学習モデルによる物体検出は映像のぶれの有無に左右されるため、攻撃者は物体を消す (Hiding Attacks: HA)・存在しない物体を作り出す (Creating Attacks: CA)・物体の種類を変える (Altering Attacks: AA)という3種類の攻撃が可能になる。

実験で使用した物体検出モデルは研究用の YOLO V3/V4/V5 と R-CNN、商用の Apollo で用いられている YOLO 3D の5種類。シミュレーションでの攻撃成功率は HA で100%、CA で87.9%、AA で95.1%。実際に走行する自動車で Samsung Galaxy S20 を用いた実験では HA 98.3%、CA 43.7%、AA 43.1%という結果になったとのこと。ポルターガイスト攻撃はさまざまな場面や天候、時刻、カメラ解像度にかかわらず安定した結果を出したそうだ。

大規模接種センターの接種対象拡大、接種券配布で混乱する自治体も

スラド

著者: headless

2021年6月20日 15:43

caret 曰く、

政府の大規模接種センターのCOVID-19ワクチン接種対象が17日から18〜64歳に拡大し、16日に予約受付が開始された。6月27日までの予約枠は東京会場にて17日午後に埋まり、大阪会場についても18日午後8時までに埋まっている(NHK ニュースの記事[1]、 [2])。

大規模接種センターでの予約・接種には地方自治体が発行する接種券が必要だが、64歳以下の人への接種券をすでに配送した自治体は非常に限られている。自治体によっては大規模接種センターの接種希望者に接種券を即時発行する特例措置を行ったが、希望者が殺到し対応に追いつかない自治体が出るなど、混乱が相次いだ(読売新聞オンラインの記事、 NHK 首都圏のニュースの記事、 FNN プライムオンラインの記事、 J-CAST トレンドの記事)。

JNNが17日に東京の大規模接種センターでワクチン接種を済ませた64歳以下の30人に在住する自治体を尋ねたところ、18歳以上の全員に接種券を発送済みの墨田区と中野区が8割を占めたという。NHKが話を聞いた10人余りも全員がこの2区の住民で、接種券の発送状況による地域格差が浮き彫りになった。

練馬区と文京区は申請者に対して接種券を個別に発行する特例措置を取ったものの、東京の大規模接種センターで予約枠が埋まったことを受けて練馬区は特例措置を停止。キャンセル待ち希望者のために文京区は特例措置を継続するなど、自治体によって対応は分かれている。

なお、28日以降の大規模接種センターでの予約枠は基本的に2回目接種の人が多くを占めるため、1回目接種の予約枠は非常に少なくなるものの、キャンセルが出た場合には都度予約枠が解放される。

64歳以下のスラド諸氏にあっては、すでに接種券を入手できただろうか。タレコミ子は週明けにも接種券が配達される見込みだ。

すべて読む | サイエンスセクション | 日本 | 軍事 | サイエンス | 医療 | 政府 |

Windows 11 の ISO ファイルへのリンクをインデックスから削除するよう Google に求める DMCA 要請

スラド

著者: headless

2021年6月20日 13:58

先日オンラインにリークした Windows 11 の ISO イメージファイルに関し、リンクをインデックスから削除するよう求める複数の DMCA 要請が Google に送られている(Fossbytes の記事、 Neowin の記事、 Windows Central の記事)。

送信者は米国の Microsoft Corporation が4件 ([1]]、 [2]、 [3]、 [4])、日本の Microsoft が1件。米国の4件は Google Drive のリンク削除を要請するもので、日本の1件はダウンロードリンクを含む記事の削除を要請するものだ。日本から送られた削除要請では「Windows 11 ISO」「a leaked copy of the unreleased Windows 11」と説明されていることから、「Windows 11」という名前が本物だと Microsoft が認めたなどと報じられているが、5件とも本物の Microsoft が送信したものかどうかはっきりしない。米国の1件はオリジナル URL が The Verge の Web サイトになっており、Lumenで送信者に「Microsoft」を指定して検索すると Microsoft と関係なさそうな削除要請もヒットする。

なお、日本の削除要請で対象になっているBeebomの記事は既に削除されており、一時は別の記事にリダイレクトされていたが、現在はリダイレクトもされないようになっている。

ブラジル・サンパウロ、バンキングアプリを狙うスマートフォン窃盗が増加

スラド

著者: headless

2021年6月20日 11:49

ブラジル・サンパウロでは本体の売却益ではなく、インストールされたバンキングアプリによる銀行口座へのアクセスを目的としたスマートフォン窃盗が増加しているそうだ(TecMundo の記事[1]、 [2]、 9to5Mac の記事、 Folha de S. Paulo の記事)。

犯行はハッカー集団により組織的に行われており、COVID-19 パンデミックが始まったころから増加している。主なターゲットはロック解除の容易な Android 端末だが、iPhone のロック解除も可能だという。路上などで被害者が使用中のロックされていないスマートフォンをひったくることもあるとのこと。

ある被害者はバンキングアプリを開くのにパスワードを入力し、取引の確認には別のパスワードを入力するので大丈夫だと思っていたが、警察の勧めに従って口座を確認したところ、盗難から30分以内に5,000レアル(約11万円)ほどが送金されていたそうだ。

そのためサンパウロ州の消費者保護当局 Procon-SP では、Apple/Motrola/Samsung の3社や、アプリを提供する銀行などに対し、スマートフォンが盗難被害にあった場合の保護機能について報告を求めている。

Microsoft、Windows Update を通じた Windows 7 へのドライバー提供を終了

スラド

著者: headless

2021年6月20日 09:56

Microsoft は17日、Windows Update を通じた Windows 7 SP1/Server 2008/2008 R2 のドライバー提供を同日終了すると発表した(Windows Hardware Certification ブログの記事、 Bleeping Computer の記事、 BetaNews の記事、 Windows Central の記事)。

Microsoft が5月10日からSHA-2 アルゴリズムへ全面移行したことで、信頼されたルートプログラム参加パートナーが未パッチの Windows デバイスに互換性のない SHA-2 署名入りドライバーを配信してしまう可能性が出てくる。これにより、該当するデバイスでは機能が低下したり、起動時間が長くなったりといった問題が発生することもある。

Microsoft は問題を回避するため、Windows 7 SP1/Server 2008/2008 R2 を対象に含む SHA-2 署名入りドライバーの Windows Update への発行を6月17日に中止するとのこと。このようなドライバーを発行するパートナーには変更が通知され、サポートの終了したバージョンをターゲットから除外して再送信する必要がある。

なお、Windows ハードウェア互換性プログラム (WHCP) では2023年1月まで Windows 7 SP1/Server 2008/2008 R2 ドライバーを受け付け、拡張セキュリティ更新プログラム (ESU) を利用する顧客へ提供できるようにする(ドライバーへの署名方法変更に関する解説記事)。ESU 利用者は WSUS などの手段で管理下のデバイスに引き続きドライバーを展開可能だ。

リーディングビュー