ソフトウェアキーボードの入力も盗むトロイの木馬
同氏はさらに、トロイの木馬がどのように情報を盗み出すかを、実際にデモを行なって紹介した。
同氏が紹介したトロイの木馬は、「Windows\system32\」の下に独自のフォルダを作り、盗み出した情報を記録するもの。これは、多くのセキュリティソフトウェアが「\Windows」ディレクトリ以下を「システムファイル」としてマルウェア検出対象から除外しているためだ。
Costin Raiu氏
このマルウェアは、キーロガー機能を使ってユーザーが入力した情報を記録すると共に、ソフトウェアキーボードを利用して入力される「シークレットコード」を、連続的にスクリーンショットを取ることで補足しようとする。
実際に「\Windows\System32」の下にあるマルウェアのデータ保存ディレクトリに作成されたスクリーンショットを見てみると、ソフトウェアキーボード上のどこにマウスカーソルが置かれたかを連続した画像で追うことができることが確認できた。これと、キーロガーによって得られたIDとパスワードの入力情報を組み合わせれば、オンラインバンキング口座の奪取が可能になる。
続いて同氏は、Kaspersky Internet Security 2009に実装された「Secure Virtual Keyboard」のデモを行なった。
Secure Virtual Keyboardを利用してIDとパスワードの入力を行なうと、キーロガーではこの情報を取得できない上、Secure Virtual Keyboardの起動中は「あらゆるスクリーンショットの取得を阻害する」という。実際、トロイの木馬が保存した画像データはどれも真っ黒であることも示された。
同氏は「多くのオンラインバンキングサービスは単純な認証を採用しているが、これでは古いマルウェアでも容易に情報を盗み出せてしまう。最新のマルウェアでは、新しく、より複雑な認証メカニズムに対する対応策も開発され始めているのだ」と、オンラインバンキングサイト側での対応の遅れに対して注意を促した。
