フラッシュバック マルウェアの作成者が Twitter を使用して感染マシンと通信

私たちは、Flash Player インストーラーを装って Mac ユーザーをターゲットにしてきた Flashback トロイの木馬 の物語をしばらく追跡してきましたが、このトロイの木馬は、ユーザーのコンピュータに感染するためのますます洗練された戦術を組み込むように進化しています。

ウイルス対策会社 Intego は、Flashback の作成者がトロイの木馬に感染したマシンとの通信に興味深い新しい戦術、Twitter を使用していると 報告しています 。報告書によると、Flashback は、毎日変更される固有の 12 桁のコードを含むツイートを Twitter で検索するようにプログラムされており、マルウェアの作成者は、適切なコードを含めるだけで、任意の数の Twitter アカウントから投稿することで、感染したコンピュータにコマンドを発行することができます。ハッシュタグとして。

これらのハッシュタグは、#Flashback や #MacMalwareMaster のように単純ではありませんが、毎日変更されるランダムな文字列のように見えます。 Intego のマルウェア研究チームは、Flashback のコードに使用されている 128 ビット RC4 暗号化を解読し、このシステムの鍵を発見しました。

ハッシュタグは12文字で構成されています。日を表す 4 文字、月を表す 4 文字、年を表す 4 文字があります。 […]

したがって、今日、2012 年 3 月 5 日のハッシュタグは #pepbyfadxeoa になります。

Integoは、ハッシュタグコードを使用して発行されたコマンドを探すためにTwitterを監視しており、また、FlashbackがTwitterの連絡先を探すWebクエリで多数の異なるユーザーエージェント文字列を使用し、検出と削除を回避しようとしていると指摘している。