最近、BitDefender AV スキャンを実行して、GenericKDZ トロイの木馬を検出し、クリーンアップしました。これは、キーストローク ロガーを含む非常に厄介な感染です。私はセキュリティにこだわり、常にデフォルトのパスワードを変更し、強力なパスワードを使用し、リンクを確認し、不要なサービス、ファイアウォール、NoScript、パッチ、エア ギャップなどをオフにしています。コンピューターを安定した状態に保つために、Deep Freeze もインストールしています (D データ ドライブは凍結解除されていますが、暗号化されています)。
この感染は衝撃的でした (15 年以上の経験と 3 つの認定を持つ IT プロフェッショナル)。ただし、私はセキュリティ プロフェッショナルではありません。個人的には、これは標的型攻撃である可能性が非常に高いと思います。現在のファイアウォール ログに基づくと、Amazon、MS などが運営するクラウド ベースのホスティング プラットフォームからの攻撃によって、私はまだ攻撃を受けているように「見えます」。これらの攻撃は、一貫して同じネットワーク グループから発生しているようです。さまざまなポートと IP をスキャンしています。
当初、いくつかの Word 文書に小さな「軽微な」損傷があったようです。不思議なことに、これらの文書はパスワードでロックされていました (わかっています)。損傷は数十の文書で同じでした。スクリプトが実行され、最初にこれらの文書のロックを解除し、次にまったく同じ方法で損傷を与えた可能性があります。不思議なことに、いくつかの Excel ワークブックで別の非常に奇妙な問題が発生しました。カーソルを別のセルに移動すると、カーソルが合計 11 回点滅します。毎回です。これは、新旧すべての Excel スプレッドシートで発生します。大きな数式でセルを更新しているときでも、数字「2」を入力しているときでも、単にカーソルを新しい空白のセルに移動しているときでも、関係ありません。操作中に現在どれだけのメモリが使用されているかは関係ありません。毎回、11 回点滅します。K はアルファベットの 11 番目の文字です。一連の「K」を並べると何になりますか? 3 つを横に並べてみてください。非常に奇妙です。 Windows Defender が停止したり、更新が失敗したり、オフライン スキャンが完了しなかったり、SysInternals の実行時に異常が発生したりするなど、他にもいくつか奇妙なことが起こっていました。
交換用ハードウェアを注文しましたが、非常に奇妙なことに、ノートパソコンの画面に旗が揺れている画像が残っています (ノートパソコンを起動するとはっきりと見えます)。これは作り話ではありません。
ウイルスに感染したラップトップでは、BIOS で Computrace が有効になっていました。結論を急ぐつもりはありませんが、これは永続的に有効になっています。この問題を解決する唯一の方法は、ハードウェアを完全に交換することでした。
現在、交換用ラップトップのビルドを行っています。新しいハードウェア、Computrace なし (無効)、OS、ファイアウォール、AV、更新、パッチなどの新規インストールです。この問題がなくなったとは思えず、DNS ポイズニングまたは MIM 攻撃の被害者になるのではないかと心配しています。簡単に言えば、いくつかの理由があります。
- 私が使用しているドメインに対して NSLOOKUP を実行すると、常に「非権限の回答」という応答が返されます。これは非常に懸念すべきことです。他の理由もありますが、以前にこのようなことがあったことを覚えていません。
- Fidelity.com などのドメインに tracert または ping を実行すると、異なる IP アドレスが表示されます。(104.78.120.120) (69.192.61.249)。Shutterstock.com などのサイトでは、tracert、ping、nslookup の間で 3 つの異なるアドレスが返されることがあります。多くのサイトが CDNS を使用していることはわかっていますが、それが負荷分散、IP アドレスなどにどのような影響を与えるかはわかりません。
- サイト証明書を見ると、驚くべきこともわかります。私が使用している地元の銀行の Web サイトの「ドメイン検証済み」サイト証明書が表示されています。少なくとも「組織検証済み」証明書が表示されることを期待しています。
- 「route print」コマンドを実行すると、ルーティング テーブルのほとんどが「オンリンク」であるという応答が返されます。私の理解では、これは問題の IP への直接の「ダイヤルアップ」リンクを作成し、ゲートウェイをバイパスするということです。これが本当であれば、本当に衝撃的なことです。
- tracert を実行すると、パケットが ISP のルーターに到達する前に 5 つの IP アドレスが表示されます。一見すると、これらは通常のルーター名ではなく、コンピューターの IP アドレス (1.2.3.4 など) のように見えます。これらの IP をトレースすると、ISP のネットワーク上にあるように見えますが、何が起こっているのかが問題です。
- 最近、セキュリティを強化するために BitDefender VPN を使い始めました。しかし、以前は接続を切断して、マイアミやニューヨークなどの別の米国サーバーに自動的に再接続できたのに、現在はシカゴにある VPN サーバーに強制的に接続させられているようです。これはインストールされてからまだ数日しか経っていない新しいソフトウェアです。現在接続できる唯一の米国サーバーは、シカゴにある「24 Shells」という会社のサーバーです。
- 私のコンピューターは一日中、WiFi から頻繁に切断されていました。日によっては、他の日よりもひどいこともありました。しかし、奇妙なことに、切断はシカゴの Comcast ルーターで 85% の確率で発生しました。サポートに電話しましたが、彼らはいつも私の機器とラップトップを指摘したがりました。しかし、ルートは 85% の確率で良好で、シカゴで切断されただけであるという事実は変わりません。WiFi を切断して再接続すると、問題は解決したようです。まるで、シカゴのそのデバイスから手動で切断されているかのようでした。
- 私はこのボックスから（あるいは、いつどのデバイスからでも）不正行為を一切行いません。保護する必要のあるビジネス資産とデータがあるだけです。私は自宅のオフィスから合法的なビジネスを運営しています。
どのようなご助力やご指導もいただければ幸いです。
答え1
私が使用しているドメインに対して NSLOOKUP を実行すると、常に「非権限の回答」という応答が返されます。これは非常に懸念すべきことです。他の理由もありますが、以前にこのようなことがあったことを覚えていません。
non-authoritative answerNSLOOKUP からの完全に正常な応答です。
非権威回答とは、照会されたドメイン名の権威 DNS サーバーから回答が取得されないことを意味します。
ソース：DNS - NSLOOKUP 非権限応答の意味は何ですか?
Fidelity.com などのドメインに tracert または ping を実行すると、異なる IP アドレスが表示されます。(104.78.120.120) (69.192.61.249)。Shutterstock.com などのサイトでは、tracert、ping、nslookup の間で 3 つの異なるアドレスが返されることがあります。多くのサイトが CDNS を使用していることはわかっていますが、それが負荷分散、IP アドレスなどにどのような影響を与えるかはわかりません。
あなたが説明していることは、これらの Web サイトでは正常であり、予想されることです。ブラウザに、問題の Web サイトの証明書に問題があることが示されない場合は、正当な Web サイトにアクセスしていることになります。
もちろん、安全な HTTP トラフィックをスキャンする機能を備えた BitDefender を実行しています。BitDefender は、独自の証明書を使用して、暗号化された安全な HTTP トラフィックをスキャンできます。
tracert を実行すると、パケットが ISP のルーターに到達する前に 5 つの IP アドレスが表示されます。一見すると、これらは通常のルーター名ではなく、コンピューターの IP アドレス (1.2.3.4 など) のように見えます。これらの IP をトレースすると、ISP のネットワーク上にあるように見えますが、何が起こっているのかが問題です。
これは実際には完全に正常な行動です
サポートに電話しましたが、彼らはいつも私の機器とラップトップを指摘したがりました。しかし、ルートは 85% の時間で正常であり、シカゴで切断されただけであるという事実は変わりません。WiFi を切断して再接続すると、問題は解決したようです。まるでシカゴでそのデバイスから手動で切断されているかのようでした。
マルウェアに感染していたことが確認されたので、問題はラップトップにあるという結論は正しかったようです。Windows のクリーン インストールを実行し、すべてのアプリケーションを再インストールする必要があるようです。
最近、セキュリティを強化するために BitDefender VPN を使い始めました。しかし、以前は接続を切断して、マイアミやニューヨークなどの別の米国サーバーに自動的に再接続できたのに、現在はシカゴにある VPN サーバーに強制的に接続させられているようです。これはインストールされてからまだ数日しか経っていない新しいソフトウェアです。現在接続できる唯一の米国サーバーは、シカゴにある「24 Shells」という会社のサーバーです。
私の意見では、BitDefender は最悪のソフトウェアの 1 つです。別の VPN アプリケーションを使用することをお勧めします。より優れたソフトウェアを提供している、または OpenVPN をさらに適切にサポートしている VPN プロバイダーは他にもたくさんあります。そのため、BitDefender は不要です。
個人的には、これは標的型攻撃である可能性が高いと思います。現在のファイアウォール ログに基づくと、Amazon、MS などが運営するクラウド ベースのホスティング プラットフォームからの攻撃によって、私はまだ攻撃を受けているようです。これらの攻撃は、一貫して同じネットワーク グループから行われているようです。さまざまなポートと IP をスキャンしています。
説明されている問題に基づいて、これは標的型攻撃ではなく、マルウェア感染を部分的に除去した後の深刻なシステム破損の結果であることを保証できます。説明されている問題の大部分は実際の問題ではありません。