BlackBerry、Purple Fox ルートキットを未然に防御

Purple Fox の詳細については、弊社の解析ブログ記事をご覧ください。アンチウイルス製品の手が届かない！多段階の攻撃チェーンで検知を回避：Purple Fox ルートキット

図 1 – Purple Fox がユーザーに権限を要求している様子

上の動画では、Purple Fox の第 1 段階と第 2 段階を実演しています。このルートキットは著名なメッセージングアプリ Telegram を装っています。

このシステムはCylanceOPTICS®（旧称：BlackBerry® Optics）の Audit-Only Mode で構成し、マルウェアの実行を許可しています。 in Audit-Only Mode, to allow the malware to run.

実行すると、Purple Fox が正規バージョンのアプリをインストールしますが、これはすぐには実行されません。その代わり、「TextInputh.exe」というファイルがメインの悪意あるダウンローダとして機能し、のちに他の攻撃段階を続行します。

CylanceOPTICS の根本原因分析からコマンドアンドコントロール（C2）通信が確認でき、攻撃者の IP アドレスへの接続試行がどのように行われているかが把握できます。また、すべての脅威の痕跡を一覧で取得し、各ファイルの機能を確認することもできるため、脅威全体の理解がさらに深まります。

なお、このCylance® AIモデルは 2015 年 10 月のもので、インターネット接続もシステムアップデートもしていません。にもかかわらず、この種のルートキットをミリ秒単位で検知し、実行を未然に防御することができています。

BlackBerry の予防ファースト理念

BlackBerry では、サイバーセキュリティに対して予防ファーストの AI 主導アプローチを採用しています。予防を第一とすることで、キルチェーンの悪用段階の前にマルウェアを無力化できます。   

BlackBerry® ソリューションは、この段階でマルウェアを阻止することで、組織の回復力向上に役立ちます。また、インフラストラクチャの複雑さが削減され、セキュリティ管理が合理化されて、業務、スタッフ、エンドポイントが確実に保護されます。   

BlackBerry なら、予防が可能なのです。 

・お問い合わせ：https://www.blackberry.com/ja/jp/forms/enterprise/contact-us

・イベント/セミナー情報：https://www.blackberry.com/ja/jp/events/jp-events-tradeshows

・サイバーセキュリティチームによるコンサルティング: https://www.blackberry.com/ja/jp/services/blackberry-cybersecurity-consulting/overview

・BlackBerry Japan：https://www.blackberry.com/ja/jp

・FaceBook（日本語）: https://www.facebook.com/watch/BlackBerryJPsec/

・Twitter（日本語）: https://twitter.com/BlackBerryJPsec

・ LinkedIn: https://www.linkedin.com/company/blackberry/

・Youtube（日本語）: https://www.youtube.com/channel/UCT2VHYwfUVC4V0AnkVZ2QIg/videos