Palo Alto Networksはこのほど、「The Art of Domain Deception: Bifrost's New Tactic to Deceive Users」において、遠隔操作型トロイの木馬(RAT: Remote Administration Trojan)として知られる「Bifrost(別名:Bifrose)」のLinux向けの新しい亜種を発見したとして、注意を喚起した。この新しい亜種はVMwareドメインを模倣した「vmfare[.]com」ドメインを使用して検出を回避するという。
The Art of Domain Deception: Bifrost's New Tactic to Deceive Users
○マルウェア「Bifrost」の新しい亜種が登場
Bifrostは2004年から活動が確認されている歴史のあるマルウェアとされる。通常、このマルウェアは電子メールの添付ファイルまたはWebサイトを通じて配布されることが確認されている。今回確認された新しい亜種はセキュリティソリューションによる検出を回避するため、台湾の公開DNSリゾルバを悪用して「download.vmfare[.]com」を名前解決し、得られたIPアドレスからコマンド&コントロール(C2: Command and Control)サーバへ接続するという。現在このドメインの名前解決はできなくなっているが、調査の時点ではVirusToatlにドメインの登録がなかったとされる。