【感染注意】危ない!!!日本郵政Rovnixメール

★日本郵政Rovnixメール残念なことにRovnixメールに添付されていたマルウエアは１回、あるいは２回程度実行するとC&Cサーバーとの更新がまったくもって不可能となり、
Rovnixは一切検知されなくなってしまう。普段使いの通信回線とはまったく異なる環境（PCも含め）で、再度チャレンジでもしない限り、簡単には本来感染はできないと見ている。

しかし、せっかくなので検体を現実環境で感染させて観察してみると、なるほどと思う部分がある。

↓
プロセスインジェクションという手法で感染が行われているという点。

comodo FWのHIPSで観察していると、sel77.exeは「explorer.exe」を呼び出している。そこでcmdからtasklistにて出力してみると
↓
iexplore.exe 4540 Console 1 194,260 K
VSSVC.exe 5296 Services 0 16,780 K
svchost.exe 2744 Services 0 8,152 K
explorer.exe 6804 Console 1 37,200 K
ProcessHacker.exe 2384 Console 1 21,080 K
explorer.exe 4624 Console 1 7,760 K
procexp.exe 5156 Console 1 31,808 K
SearchProtocolHost.exe 4256 Services 0 9,800 K
SearchFilterHost.exe 5532 Services 0 9,096 K

複数のexplorer.exeが起動していることがわかる。そこでProcess Explorerを起動しさらに観察すると
↓
\日本郵政 螳・・逡ｪ蜿ｷ_06012015_EMS^^0847767\” が起動していることがわかる。しかし、sel77.exeが呼び出していた「explorer.exe」は、これではなかったのである。

Process Explorerでさらに眺めていると正体不明のexplorer.exeがいる。そこでプロパティを見てみると、詳細が不明の上「エラー」表示がなされており、userを見ると「access denied」という処理がなされている。これはおかしい。そこで「Kill process」をすると、その処理を拒否されてしまう。しかしProcess Explorerでは、これ以上の詳細を知ることができないのである。そこでプロセスハッカーを使うことにした。

プロセスハッカーの「tool」タブを選択して「非表示のプロセス」を選び、さらに画面左下の「CSRハンドル」というボタンのプルダウンメニューから「Brute Force」を選択してからscanすると、出た！

いくつかの怪しいプロセスの中に、先ほどのアクセス拒否されているexplorer.exeがリストアップされていた。「間違いないな、これだ」（explorer.exe 4624 Console 1 7,760 K←これがプロセスインジェクションされていたプロセスだった）

↓

日本郵政Rovnixメールは「プロセスインジェクション」という手法を採用していたことが分かった。
explorer.exeはWindowsの正規のプロセスだから、これをヤドカリすることはFWをバイパスできるという意味である。logをパッと見ただけでは、見落としてしまうなあ、、、、、。

このプロセスインジェクションの背後では、実際は、以下のような感染活動が行われていたわけだ
Trojan.Dropper, HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN|AOMEI, C:\Users\crara6 gay unko\AppData\Roaming\ttvgevur\bcbctria.exe, , [045ae2569009b6803527f8a848bcfb05]
（MBAMのlogから）

↑
logを見ると「AOMEI」と表記してあり爆笑するが、この部分はFireｆoxであったりintelだったりと感染ごとに変化している。おいらは感染実験機にはFirefoxはインストールしていないのですぐにlogを見ていんちきだと気がついたが、AOMEIはバックアッパーとして偶然インストールしていたので、これには関心したというか、なんというか？

ーーーーーー
質問

さて。この日本郵政Rovnix（ファミリー）メールの恐ろしい部分のひとつは「MBR,VBR」領域への感染可能性だと思うが、その対策は、皆さん、どうされておりますか？

https://www.fireeye.com/company/press-releases/2015/12/thriving-bey…

大変な時代になりましたなあ、、、、

日本郵政ウイルスメール爆弾や、ランサムウェア（Cryptowall4.0、Lockyなどですよね）は、結論からいえば「ウイルス対策ソフト」ではブロックできません。とても太刀打ちできないんです。Rovnixなど亜種が（改良されて）ばら撒かれ、被害者が発生した直後に、亜種RovnixをVirustotalに送信してscanしても、ほとんどの有名ウイルス対策ソフトvendorは検知できません。惨憺たる有様です。この間、感染してしまった被害者達に訊きとり調査をしてみると（vendorを誹謗中傷する目的はありませんので、読者の皆さん、客観的情報として受け止めてくださいね）

A：Kinｇ soft internet security＋マイクロソフトfirewallという組み合わせ
B：トレンドマイクロのウイルスバスター＋ファイアウォールチューナーoffという組み合わせ
（結局、マイクロソフトのファイアウォールを組み合わせたのと同じ。ブログ主脚注：トレンドマイクロさんのせっかくの付加機能を使用しない場合ということです。）

全滅しているんです。これは結局、「Anti-Virus機能がRovnix亜種を検知できない」ことと、ファイアウォール機能のHIPSが有効になっていない事が「悪い意味で相乗効果」を発揮し、あっという間の感染になってしまう、ということなのです。

ーーーーーーーーーーーー
今、対策として一番簡単な方法は、これでしょう

＊Reboot Restore Rx

実はReboot Restore Rxを使えば、今、話題になっているマイクロソフトのWin10無謀アップグレードも、阻止できます。

うっかりとWin10のアップグレードが始まり、アップグレード行為を阻止できなかったとしてもPCを再起動すると「Win10アップグレード以前」の状態にタイムマシーン（Roll back）してくれるからです。

またReboot Restore Rxは「MBR領域」まで保護しているので、Rovnixに感染した場合であってもMBRも保護されているのでPCを再起動すれば、MBR感染も「無かった」ことにしてもらえます。

＊電机本舗さんの

フォーエバーセキュリティ

HDDへの書き込みを許さないのですから、これも非常におすすめです。

＝＝＝＝＝

ある程度、skillがある場合は
sandboxie

ネットサーフィンは仮想化されたIEや、Firefoxでアクセスし、メールZIPの開封と実行も仮想化環境下で行えば良いわけで、RovnixもCryptowall4.0も、現状完全に封じ込めています。

上記が一番簡単な方法だと思うんですね。そして簡単な方法論が、一番userに負担がなく、良いことなのです。

＝＝＝＝＝

それから外付けHDDを１個、用意しておき

↓
EaseUS Todo Backup Home 9
（有料版）

EaseUS Todo Backup Free　（Free版でも十分です。窓の杜さんのページです。）

↓

無感染のHDD状態を「丸ごと」外付けHDDに保存しておきましょう。そうすれば、万が一の感染の場合であっても外付けHDDに保存しておいたHDDのバックアップイメージから、復元できます。

↓

さらにいえば、マイクロソフトウイルスと揶揄されている暴力的Win10アップグレードウイルスに感染して「ある日突然、オラのWin8.1がWin10になっていた」としても、外付けHDDに保存されているバックアップイメージから完全な状態でWin8.1に復元できますんで。

この掲示板にアクセスしてくださった閲覧者の皆さん。せめて、この程度の「自衛」は、やりましょうよ。

なんでもマイクロソフトに「お任せ」は、ダメですよ、ダメ。だってその「マイクロソフト」自体が、PCウイルスのようなものなんだから。