「脆弱性攻撃ツール（エクスプロイトキット）」の2016年動向を振り返ると、主要なエクスプロイトキットが姿を消すなど、大きな変化が見られた年でした。2016年5月から「Nuclear Exploit Kit（Nuclear EK）」が勢いを失い始め、6月には「Angler EK」の関係者50名近くがロシア連邦保安庁に逮捕され、このエクスプロイトキットも姿を消しました。2016年9月には「Neutrino EK」が依頼ベースの提供のみにシフトしたと報じられました。そして現在、最も広く出回っているエクスプロイトキットは「Rig EK」と「Sundown EK」です。両者は「Neutrino EK」が姿を消して間もなくしてから勢いを増し始めました。

特に「Sundown EK」は、他のエクスプロイトキットとは異なる特徴を示していました。このエクスプロイトキットは、旧来のエクスプロイトキットを再利用してはいるようですが、自身を隠ぺいする動作を行ないません。ブラウザ上で動画等が再生される際、通常はブラウザ拡張機能「Silverlight」が拡張子「XAP」のファイルをリクエストします。他のエクスプロイトキットでは、この「Silverlight」の動作を偽装することで自身の存在を隠ぺいしようとします。しかし、「Sundown EK」がホストされたURL ではこのような隠ぺい工作はされず、通常とは異なる、拡張子「SWF」の Flashファイルをリクエストします。また、他のエクスプロイトキットが利用するアンチクローリング機能も備えていません。

■「Sundown EK」や「Rig EK」を利用した不正活動
「Sundown EK」と「Rig EK」は、2016年9月にランサムウェア「CryLocker」（「RANSOM_MILICRY.A」として検出対応）を拡散する不正広告が確認された際、この不正活動に利用されたことで注目されました。2016年9月1日、「Rig EK」による活動が最初に確認され、同月5日、「Sundown EK」による活動が確認されました。「CryLocker」は、感染PC から窃取した情報を Portable Network Graphic（PNG）ファイルに変換する機能を備えています。このPNGファイルは無料オンライン画像共有サービス「Imgur album」にアップロードされ、そこで攻撃者にアクセスされます。これにより検出を回避することが可能です。

「CryLocker」が情報窃取に PNGファイルを利用する際、このファイルには画像自体は含まれておらず、正規のPNGヘッダーが付与され、ASCII の文字列でシステム情報が記載されているだけでした。この点で、画像内に秘密のメッセージやファイルや情報を隠ぺいさせる「Steganography（ステガノグラフィ）」の手法とは区別されます。

■エクスプロイトキットに利用されたステガノグラフィの手法
ステガノグラフィとは、不正コードを画像ファイル内に隠ぺいしてシグネチャベースの検知を回避する手法で、不正広告やエクスプロイトキット攻撃によく利用されています。2016年初旬、大規模な不正広告キャンペーン「GooNky」において不正広告へのトラフィック隠ぺいに複数の手法が駆使され、その際、不正コードを画像ファイルに隠ぺいするため、この手法も利用されました。しかしこの攻撃では、不正コードが画像ファイル内に完全に隠ぺいされたわけではなく、画像ファイルの末尾に不正コードが追加されただけでした。

さらに巧妙なケースとしては、トレンドマイクロのリサーチャーが他のセキュリティリサーチャーと共同で調査した事例があげられます。この調査では、エクスプロイトキット「Astrum EK」による不正広告キャンペーン「AdGholas」で活用されたステガノグラフィの手法が分析されました。この不正広告キャンペーンでは、画像ファイルのアルファ値の箇所にスクリプトがエンコードされていました。アルファ値とは画像ファイルの透過度を示す値です。この手法によりマルウェア作成者は、画像ファイルの色彩がわずかに変化する範囲で正規広告を偽装できます。このため、不正広告の検知や解析はより困難になります。

■ステガノグラフィの手法を駆使する「Sundown EK」
そして2016年12月27日、弊社では、同様のステガノグラフィ手法を利用できるようにアップデートされたエクスプロイトキット「Sundown EK」を確認しました。この場合、PNGファイルは、窃取した情報の保管ではなく、自身のエクスプロイトコードの隠ぺいに用いられるよう設計されていました。

新たにアップデートされたエクスプロイトキット「Sundown EK」は、マルウェアを拡散させるため、複数の不正広告キャンペーンに利用されていました。最も影響を受けた国は、日本、カナダ、フランスで、中でも日本は全体の 30%以上を占めていました。

図１：「Sundown EK」の標的となった国（2016年12月21日から27日まで）

従来の「Sundown EK」は、上述のとおり、自身がホストされたページを閲覧したユーザに対して脆弱性を含むFlashファイルを直接接続させていました。今回のアップデート版では、不正広告上に隠ぺいされた iframe によりユーザは、このエクスプロイトキットがホストされたページへ自動的に接続されます。そしてこのページ上で探索されたPNGファイルの白い画像がダウンロードされ、PNGファイル内のデータが復号され、追加の不正コードが取得されます。

図2：「Sundown EK」の感染活動に利用されるステガノグラフィの手法隠ぺいに利用される PNGファイルの白い画像

このPNGファイル内のエクスプロイトコードを解析したところ、Internet Explorer（IE）を操作する JScript の脆弱性「CVE-2015-2419」を狙ったエクスプロイトコードも確認されました。Flashファイルの脆弱性「CVE-2016-4117」も、このエクスプロイトコードで探索されます。エクスプロイトキットがホストされたページ自体には、IE の別の脆弱性「CVE-2016-0189」を狙うエクスプロイトコードも含まれていました。これらのエクスプロイトコードはすべて修正対応済ですが、いずれも過去 1年間、他のエクスプロイトキットにも利用されていました。

図3：エクスプロイトキットがホストされたページにある PNGファイル復号用JavaScriptコード

このアップデート版エクスプロイトキット「Sundown EK」は、オンライン銀行詐欺ツール「Chthonic」（「TSPY_CHTHONIC.A」として検出対応）を作成します。「Chthonic」は、2016年7月、オンライン決済サービス「PayPal」関連詐欺に利用されたオンライン銀行詐欺ツール「ZBOT」の亜種でもあります。

■トレンドマイクロの対策
エクスプロイトキットは、脆弱性を利用して攻撃を仕掛けます。そのため、こうしたエクスプロイトキットの被害に遭わないためにも、インストールしているソフトウェアおよびオペレーションシステム（OS）を最新の状態にしてください。また、不正な Webサイトへ誘導される恐れのある、未知の送信元からのリンクをクリックしないでください。

企業ユーザは、これらの脅威によるリスク軽減のために、多層的かつ段階的な対策を取ることができます。メール攻撃対策製品「Deep Discovery™ Email Inspector」および Webゲートウェイ対策製品「InterScan Web Security Virtual Appliance™ & InterScan Web Security Suite™ Plus」は、不正なファイルを検出し、侵入を防ぎます。「ウイルスバスター™ コーポレートエディション XG」のようなエンドポイント製品は、挙動監視機能（不正変更監視機能）の強化やアプリケーションコントロール、およびブラウザ脆弱性対策により、脅威による影響を最小にすることができます。ネットワーク型対策製品「Deep Discovery™ Inspector」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などにより脅威を警告します。

トレンドマイクロの中小企業向けクラウド型のエンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」は、「FRS」技術によりウイルス検出を行っています。また同時に、これらのエンドポイント製品では挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応の脅威であってもその不正活動を検知してブロックできます。

トレンドマイクロの個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、不正なファイルやスパムメールを検出し、関連する不正な URL をブロックすることによって、強固な保護を提供します。

■攻撃痕跡（Indicators of Compromise、IOC）の情報
下記は、「Sundown EK」が利用するドメインおよびIPアドレスです。

• xbs.q30.biz (188.165.163.228)
• cjf.0340.mobi (93.190.143.211)

「Chthonic」（「TSPY_CHTHONIC.A」で検出対応）の検体のハッシュ値は以下のとおりです。

• c2cd9ea5ad1061fc33adf9df68eeed6a1883c5f9

この検体は、以下のコマンド＆コントロール（C&C）サーバを利用します。

• pationare.bit

参考記事：

• 「Updated Sundown Exploit Kit Uses Steganography」
  by Brooks Li and Joseph C. Chen (Threats Analysts)

翻訳：与那城 務（Core Technology Marketing, TrendLabs）

カーネギーメロン大学のセキュリティリサーチャは、2016年12月9日、Netgear製ルータの人気モデル数種に確認された深刻な脆弱性について注意喚起しました。任意のコマンドインジェクションが可能になるこの脆弱性によって、数千台に及ぶ家庭用ネットワーク機器が影響を受ける恐れがあります。この脆弱性を悪用された場合、家庭用ネットワーク機器が完全に制御され、感染機器はボットネットとして利用される恐れがあります。

この脆弱性は、当初、R6400、R7000、およびR8000の3つのモデルに存在すると報じられましたが、その後さらにR6200、R6700、R7100LG、R7300およびR7900の5つのモデルも影響を受けることが確認されました。リモートの攻撃者が、巧妙に細工したWebサイトへユーザを誘導することにより、認証を要求されることなく、脆弱性を持つルータ上で任意のコマンドをルート権限で実行することが可能です。セキュリティ専門家は、LAN接続の場合でも直接的なリクエストによって同様の攻撃を実行することが可能である、と警告しています。 この脆弱性を悪用することは難しくないため、ユーザは対象ルータの電源を切り、代替製品に切り替えるよう推奨されています。Netgearは、12月16日、脆弱性を持つルータのファームウェア更新のセキュリティアドバイザリを発表しました。なお、12月27日現在、影響を受けるすべてのモデルのファームウェアについて公開済みです。

過去の事例に見られるように、ルータに存在する脆弱性はますますセキュリティ上の問題として深刻化しています。「モノのインターネット（Internet of Things、IoT）」の機器利用が着実に拡大する中、企業や家庭のユーザは、感染した機器やセキュリティが確保されていないルータによる脅威にさらされています。攻撃者は今やPCを狙うだけではありません。ルータを狙いユーザの認証情報を取得するのが有効な攻撃手法で　あると考えています。

多くのルータ製造業者は、古くなったファームウェアの更新をほとんどしません。攻撃者は、そのような古いファームウェアの盲点を利用してローカルルータの設定にアクセスし、ルーターのユーザ名とパスワードを窃取します。そして、攻撃者は、デフォルトのユーザ名とパスワードでアクセスできるリモート管理インターフェイスを持つ他のルータを探すためのボットネットを構築します。そうして、このボットネットによってさらに別のユーザのルータを感染させます。いくつかの製品では最初からマルウェアに感染している場合もあります。

この数カ月間、「Mirai」を用いた攻撃によってさまざまな被害が生じました。2016年11月には、ヨーロッパ各地の家庭ユーザ約90万人のインターネットへのアクセスが不能となったり、その少し前にはDNSサービスプロバイダ「Dyn」に対する「分散型サービス拒否（DDoS）」攻撃によって、大手Webサイトが広範なサービス停止に追い込まれています。

Trend Microの脅威リサーチ部門「Forward-looking Threat Research（FTR）」のシニア・ディレクターである Martin Roesler は、「このような DDoS攻撃は過去にはなかった攻撃で、IoT のエコシステムが機能していないということだけでなく危険な兆候を示唆している」、と説明します。しかし、問題はインターネット接続業者（ISP）に任せるしか手はないように見られます。例えば、ISP は TCP / IPポートにリスクが存在することを認識する必要があります。ISPがオープンポートから顧客ユーザの IoT機器にアクセスするために、ISP によってのみアクセスが可能になるための必要な措置を講じる責任があります。インターネット上の任意のソースを利用することで、ルータと内部ネットワークの両方が誤って設定される可能性があります。しかし残念ながら、ISP は感染によって損害が発生する可能性を理解しているにもかかわらず、未だに安全面の確保は十分でなく、製品のセキュリティ確保のために取り組む姿勢に欠けているようです。

Roesler によれば、IoT のセキュリティの現状は厳しいとはいえ、これまでに発生した数々の事例は、サポート費用の増大を示しており、ISP が認識を改めるきっかけとなると考えられます。ISP は、ファームウェアが更新されていないルータに対して、適切なプロトコルの実装を開始すると共に、ルータの製造業者へは、ゲートウェイの侵入防御システムなどのセキュリティ増強ツールを導入するよう働きかけるべきです。Roesler は、さらに、「スマートホーム、スマートファクトリー、あるいはインターネット接続車両のような自律システムなど、すべての新しい IoT分野で最初に狙われるのがルータである。攻撃者にとって、ルータは常に最初の攻撃対象となる」と説明しています。

とはいえ、リスク軽減は IoT機器製造業者だけの責務ではありません。ユーザもまた、潜在的リスクを最小限に抑えるため、適切なセキュリティ対策を講じなければなりません。IoT のエコシステムに関わる全員が、セキュリティ確保のための役割を果たす必要があります。ISP は速度や帯域幅を競うだけでなく、セキュリティも優先すべきです。すでに多くの ISP は、セキュリティをサービスの中核部分に含めるように取り組んでおり、セキュリティ面を改善するために実施できる対策は複数あります。

■ルータへの攻撃を軽減するための推奨事項

• 製造業者向け
  セキュリティ対策を講じた設計：製品の機能と利便性は不可欠ですが、適切なセキュリティ対策を講じることにより、製品の安全と顧客の信頼を同時に確保することができます。

  脆弱性検査、その他のセキュリティ監査を定期的に実施：攻撃者の手口を知ることにより、適切なセキュリティ管理をいつ、どのように実施するか、どこに導入するかを、より正確に把握できます。

  セキュリティ専門家と提携：製造業者のセキュリティに関する経験には限界があります。機器の設計に従った機能を実装するため、サードパーティのセキュリティ専門家チームとの提携を検討することをお勧めします。

• ISP の場合
  セキュリティ上の不具合がないことを確認：セキュリティを脅かす機能が存在する場合は、そのようなコンポーネントを再評価し、ユーザのルータにアクセスする必要のある機能を取り除くことをお勧めします。

  基準となるフィルタを確立：ISP は、新しく、またまん延しているマルウェアを記録する標準に合意する必要があります。基準となるフィルタを実装することによって、他の ISP と「侵入の痕跡（Indicators of Compromise、IoC）」を共有し、攻撃から防御するのにも役立ちます。
  ユーザにセキュリティ通知を提供：ほとんどの場合、攻撃を受けているかどうかユーザが気付くことはありません。ISP は、データを安全に保護し、攻撃による影響を軽減するために、セキュリティ通知を提供し、顧客に修復サービスを提供する必要があります。

  インフラストラクチャにセキュリティ管理を適用：ファイアウォールや侵入検知などの適切なセキュリティ対策を実装することで、サービスを維持し、攻撃を緩和することができます。

■トレンドマイクロの対策
トレンドマイクロの「ウイルスバスター for Home Network」は、スマート家電に搭載されている OS やソフトウェアの脆弱性を悪用する攻撃をブロックし、スマート家電への不正プログラム感染や、攻撃者による不正な遠隔操作などの脅威を防ぎます。「Asus RT-AC68U/RT-AC87UデュアルバンドWi-Fiギガビットルータ」は、トレンドマイクロの「AiProtection」機能を搭載し、3重の強度のネットワークセキュリティを実現します。

ホームユーザのための洞察と実用的な情報については、以下をご参照ください。

• 家庭用ルータや IoT機器を「ゾンビ化」する攻撃、その影響を解説
  　　http://blog.trendmicro.co.jp/archives/14185

参考記事：

• 「Netgear Vulnerability Calls for Better Router Security across Businesses and Homes」

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

個人利用者においても法人利用者においても、PC やインターネットの利用はなくてはならないものになっています。それと同時に、さまざまな「サイバー脅威」の被害に遭う可能性も高まっています。昨今のサイバー脅威はそのほとんどが金銭利益を最終目的とした「サイバー犯罪」となっています。その大半は、金銭につながる個人情報やクレジットカードなどの決済情報を窃取・詐取するための攻撃、もしくは、利用者の持つ金銭を直接巻き上げるための攻撃です。2016年に日本国内で発生した様々なサイバー脅威の事例から、個人利用者では 1）「ランサムウェア」、2）「オンライン銀行詐欺ツール」、3）「モバイルの脅威」を、法人利用者では 1）「ランサムウェア」、2）「標的型サイバー攻撃」、3）「公開サーバへの攻撃」をそれぞれ 2016年における「三大脅威」として選定いたしました。本ブログではこの日本における 2016年個人と法人の三大脅威について、連載形式で解説してまいります。第 1回の今回は、国内の個人利用者と法人利用者の双方に対して 2016年 1年間を通じ、過去最大の被害をもたらした「ランサムウェア」について解説します。

図１：2016年国内の個人と法人における三大脅威

■日本におけるサイバー脅迫元年
データの復旧と引き換えに身代金を要求する「ランサムウェア」の被害は、日本では 2015年から顕著化していました。その被害は収まるどころか、2016年に入り、また大きく拡大しました。「身代金要求型不正プログラム」とも呼ばれるランサムウェアは、国内の個人利用者と法人利用者の双方に過去最大の被害をもたらし、2016年はまさに「日本におけるサイバー脅迫元年」となりました。トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」の統計によれば、日本国内でのランサムウェアの検出台数は、2016年 1～11月で既に 5万8千件を超え、2015年 1年間の検出台数 6,700件に対し、8.7倍の急増となっています。

図２：国内でのランサムウェア検出台数推移（トレンドマイクロSPNによる）

実被害の面からも、ランサムウェアの被害報告件数は 2016年 1～ 11月で2,690件と、2015年 1年間の 3.4倍に拡大しており、過去最大の被害となりました。特に、法人利用者からの被害報告が全体の 8割以上を占めており、ランサムウェアが行うネットワーク上のファイルを含めたデータ暗号化の活動が、法人の業務継続に深刻な被害を与えていることがわかります。

図３：国内でのランサムウェア被害報告件数推移（トレンドマイクロ調べ）

■大きな被害の流入元はメール経由
このような国内におけるランサムウェア被害の急増の背景として、世界的なマルウェアスパムによるランサムウェアの大量拡散の流入があります。弊社 SPN による監視では、1回の攻撃で検出台数 400件以上が確認されたランサムウェア拡散目的のマルウェアスパムの攻撃は 2016年11月までに 40回確認されました。2015年には同一基準でのマルウェアスパムのアウトブレイクは 1回も発生しておらず、2016年にメール経由での不正プログラム拡散が活発化していたことがわかります。

また、この 40回のアウトブレイクのうち、日本語の件名や本文を使用したメールによるものは 2回のみであり、全体の 95%が英語メールの攻撃となっていました。ここからは 2つのことが言えます。1つは、英語メールであっても被害に遭う利用者が想像以上に多い、ということ、もう 1つは、特に日本の利用者のみを狙ったランサムウェアの攻撃はまだほとんど無い、ということです。

通常、日本国内の利用者のみを狙うマルウェアスパムでは、日本語の件名や本文を使用した日本語メールが使用されます。実際、日本国内のネットバンキングを狙ったオンライン銀行詐欺ツールを拡散させるマルウェアスパムでは、アウトブレイクの 97%が日本語メールによるものでした。これと比較して考えると、日本国内で発生している被害は、全世界的にばらまかれた英語のマルウェアスパムにより引き起こされたものであると言えます。2016年 1月～ 11月におけるトレンドマイクロの SPN の監視と調査では、全世界におけるランサムウェアの攻撃総数は、ファイル、メール、Web の合計で 2億6千万件以上に達しました。この攻撃総数の 78%はメールであり、ランサムウェアの拡散は全世界的にメール経由が中心であったことがわかります。また、この全世界でのランサムウェア攻撃総数 2億6千万件のうち、日本に流入したものは全体の 2%に過ぎません。ここからも、ランサムウェアを使用する攻撃の全世界的な急拡大が、日本に大きな影響をもたらしたことがわかります。

図４：2016年 1~11月の全世界におけるランサムウェア攻撃総数の内訳（トレンドマイクロ調べ）

■世界から日本に流入するランサムウェアの攻撃傾向
世界的にみると、ランサムウェアは既に不正プログラムの一種ではなく、サイバー犯罪者にとって稼げる「ビジネス」として確立したものと言えます。ランサムウェアの新種亜種は 2016年を通じて大幅な増加を続けており、ランサムウェアの「ビジネス」に新規参入するサイバー犯罪者が後を絶たないことを示していると言えます。

図５：全世界で新たに確認されたランサムウェアファミリ数推移（トレンドマイクロ調べ）

このランサムウェアを利用する攻撃の全世界的な急拡大の中で、海外では不特定に対するばらまき型の攻撃だけでなく、攻撃対象の業種や法人を絞った「標的型」的な攻撃も確認されています。2016年 1～ 9月に海外で公表されたランサムウェア被害をトレンドマイクロで独自に整理したところ、医療機関、公共機関、教育機関での被害が全体の 9割以上を占めていました。これらの海外法人での被害では、一度身代金を支払ったにも関わらず身代金の吊り上げを受けた事例や、暗号化した情報を公開するという旨の脅迫を受けた事例など、明らかに単なるばらまき型では無いと言える事例が確認されています。既に海外法人でのランサムウェア被害は、業種や組織を絞った標的型の攻撃によるものが中心となっていると言えるでしょう。

図６：2016年 1~9月に海外で公表されたランサムウェア被害の業種別割合（公表事例を元にトレンドマイクロが独自に整理）

そして、このような法人を標的とする海外での攻撃傾向は、既に日本にも流入の兆候を見せています。トレンドマイクロでは 2016年 10月以降、同一のサイバー犯罪者によるものと思われる日本語メールを使用した法人への一連のランサムウェア攻撃を 4回確認しています。この攻撃では、1回に最大でも 30通程度の日本語メールのみが確認されています。その送信対象は法人のメールアドレスのみであり、中には同一企業の複数の支店に対して送られているものがあるなど、不特定多数を狙ったものではないものと考えられます。攻撃内容としては、同じフリーメールサービスとクラウドストレージを利用する、「STAMPADO」、「MISCHA」と言ったこれまでに国内では拡散が見られていなかったランサムウェアを使用する、など共通の特徴がありました。これらのことから、この一連の攻撃の背後には、同一のサイバー犯罪者がいるものと推測されます。今後は、同様の国内法人に標的を絞ったランサムウェア攻撃の増加に注意が必要です。

図７：2016年 10月~11月に確認された法人利用者を狙う一連の日本語メールの内容（トレンドマイクロが独自に整理）

■「ランサムウェア」まとめ
2016年に国内で確認されたランサムウェア被害の背景には、世界のサイバー犯罪動向の中でランサムウェアが儲かる「ビジネス」として完全に確立し、急拡大を続けていることがありました。この全世界的に急増したばらまき型のランサムウェア攻撃の流入が日本での過去最大のランサムウェア被害を引き起こしたものと言えます。これは観点を変えれば、過去最大の被害の発生にも関わらず、日本を狙うランサムウェアの攻撃はまだ本格化していない、と言える状況です。今後は世界的なばらまき型攻撃の流入と共に、特に日本を狙った日本語によるばらまき型攻撃も増加していくことが予測されます。また、海外では既に主流化している法人に対する標的型のランサムウェア攻撃も既に国内でその兆候を見せています。暗号化により重要データが使用不可となる被害だけでなく、ランサムウェアの感染を発端としたより巧妙な脅迫や外部への情報流出の発生にも注意が必要です。

■被害に遭わないためには
一般的にランサムウェアなどの不正プログラムは、電子メール経由か Web経由で PC内に侵入します。そもそもの侵入を止めるため、この 2つの経路での侵入を検知する対策製品の導入が重要です。

メール経由の攻撃では、受信者の興味を引き添付ファイルを開かせる手口は常に変化していきます。最新の攻撃手口を知り、安易にメールを開かないよう注意してください。また、そもそも不審なメールを可能な限りフィルタリングし、一般利用者の手元に届かないようにする対策も重要です。

Web経由の攻撃ではクライアント側の脆弱性を利用し正規サイトを見ただけで感染させる手口が主流です。ブラウザや Adobe Flash、Java などインターネット利用時に使用するアプリケーションのアップデートを必ず行ってください。

ランサムウェアによるデータ暗号化被害を緩和し、早期の復旧を行うためにも定期的なデータのバックアップが重要です。バックアップの際には 3-2-1ルールを意識してください。3つ以上のバックアップコピーを、可能なら 2つの異なる書式で用意し、そのうちの 1つをネットワークから隔離された場所に保管してください。

■トレンドマイクロの対策
トレンドマイクロでは、法人利用者、個人利用者それぞれにランサムウェアからの防護を可能にする対策を提供しています。

法人利用者では、複数のレイヤーを複数の技術で守る、多層防御が特に効果的です。防護のポイントとして、メール、Webなどのゲートウェイでの防御、エンドポイントでの防御、内部ネットワークとサーバでの防御が特に重要です。ゲートウェイでの防御としては、「InterScan Messaging Security Virtual Appliance」、「Trend Micro Hosted Email Security」、「Cloud Edge」などのメール対策製品や、「InterScan Web Security Virtual Appliance & InterScan Web Security Suite Plus」などのWeb対策製品が有効です。メール対策製品「Deep Discovery Email Inspector」や「Trend Micro Cloud App Security」などで使用可能なサンドボックス機能も未対応のランサムウェアの検出に有効です。

法人向けのエンドポイント製品「ウイルスバスターコーポレートエディション XG」や中小企業向けのクラウド型エンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」では、「FRS」技術によりウイルス検出と同時に、挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。特に「ウイルスバスターコーポレートエディション XG」はクロスジェネレーション（XGen）セキュリティアプローチにより、高い検出率と誤検出/過検出の回避を両立しつつ、コンピュータへの負荷軽減を実現します。

ネットワーク型対策製品「Deep Discovery™ Inspector」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などによりランサムウェア脅威を警告します。サーバ＆クラウドセキュリティ対策製品「Trend Micro Deep Security」は仮想化・クラウド・物理環境にまたがって、ランサムウェアがサーバに侵入することを防ぎます。

個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、「FRS」技術によるウイルス検出、挙動監視機能（不正変更監視機能）により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。同時にスパムメールの検出や、不正なURLをブロックすることによって、総合的な保護を提供します。

2016年を通じ、マルウェアスパム、つまりメール経由での不正プログラム拡散が猛威を振るったことは、2017年1月10日のランサムウェア、1月13日のオンライン銀行詐欺ツールに関する昨年の傾向をまとめた記事でも触れている通りです。このメール経由の攻撃が 2017年に入っても継続している例として、本日 1月17日朝、日本語メールによるオンライン銀行詐欺ツールの拡散を確認しました。

図1：今回確認されたマルウェアスパムの例

「依頼書を」、「取引情報が更新されました」、「【発注書受信】」、「備品発注依頼書の送付」、「送付しますので」、「発注依頼書」、「（株）発注書」など、複数の日本語の件名、本文が確認されておりますが、これらはすべて同一のオンライン銀行詐欺ツール「URSNIF」の拡散を目的としたものでした。メールに直接添付された圧縮ファイル内には「.JS」拡張子のスクリプトファイルが含まれており、スクリプトファイルは実行されるとダウンローダ活動を行って「URSNIF」の本体を感染させます。

図2：メールに添付されている圧縮ファイル内のスクリプトファイルの例

トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」の統計によれば、このマルウェアスパムから拡散される「URSNIF」は、17日12時時点までに 2,000件以上の検出台数を確認しており、相当の範囲に拡散していたことは間違いありません。

今回のマルウェアスパムは 17日火曜日の朝に拡散したものです。トレンドマイクロでは 2016年後半から、今回の事例同様、火曜日朝にオンライン銀行詐欺ツール頒布目的のマルウェアスパムが拡散する事例を定期的に確認していました。

図3：メール経由拡散とみられるオンライン銀行詐欺ツール検体の検出数推移（トレンドマイクロ SPNによる）
9月以降に毎週火曜日を中心にピークが来ていたが 11月以降不定期になり 12月には止んでいた

この火曜日朝の定期的なマルウェアスパム拡散は 11月下旬ころから不定期になり、12月には確認できなくなっていました。今回のマルウェアスパム攻撃は、この定期的な攻撃が 2017年に入り再開したものである可能性もあります。今後も同様の日本語件名と本文を使用したメールによる不正プログラム拡散に注意してください。

■被害に遭わないためには
現在拡散しているマルウェアスパムでは、添付ファイルを開かない限り感染することはありません。不用意にメールの添付ファイルを開かないようにしてください。添付ファイルを開く前に今1度メールの内容を確認することで不審な点に気づける場合もあります。

攻撃者は自身の攻撃を成功させるために、常にメールの件名や添付ファイルなどの攻撃手口を変化させていきます。常に最新の脅威動向を知り、新たな手口に騙されないよう注意を払ってください。また、そもそも不審なメールを可能な限りフィルタリングし、手元に届かないようにする対策も重要です。

■トレンドマイクロの対策
今回の攻撃に関連する不正プログラムに関しては、「ファイルレピュテーション（FRS）」技術により「TSPY_URSNIF」などの検出名で検出対応を行っております。個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」をはじめ、法人向けの「ウイルスバスター™ コーポレートエディション XG」、「ウイルスバスター™ ビジネスセキュリティサービス」などのエンドポイント製品では、「FRS」技術によるウイルス検出に加え、挙動監視機能（不正変更監視機能）により、侵入時点で検出未対応の不正プログラムであってもその不正活動を警告します。特に「ウイルスバスター™ コーポレートエディション XG」はクロスジェネレーション（XGen）セキュリティアプローチにより、高い検出率と誤検出/過検出の回避を両立しつつ、コンピュータへの負荷軽減を実現しています。

マルウェアスパムについては、「E-mailレピュテーション（ERS）」技術で受信前にブロックします。「InterScan Messaging Security Virtual Appliance™」、「Trend Micro Hosted Email Security™」、「Cloud Edge™」などのメール対策製品では特に ERS技術により危険な電子メールの着信をブロックします。

※調査協力：日本リージョナルトレンドラボ（RTL）

本ブログでは日本における 2016年個人と法人の三大脅威について、連載形式で解説しております。第 3回の今回は、特に個人利用者に関係する脅威としてモバイルを狙う脅威について解説します。国内でのモバイルを狙う脅威はこの 2016年に 1つの転換点を迎えたと言えます。

図1：2016年国内の個人と法人における三大脅威

■モバイルを狙う攻撃の転換点
日本国内でのスマートフォンやタブレットなどのモバイル端末を狙う攻撃の状況に関して、2016年は１つの転換点となった感があります。これまで日本国内でのモバイル端末を狙う不正/迷惑アプリの拡散事例に関しては、利用者に不要な正規アプリのインストールを促したり勝手にインストールしたりするダウンローダ的なものや、広告表示を行うアドウェアなどがほとんどでした。これらは「不正」とまでは断言しにくいグレーゾーンの活動で主にアフィリエイトによる金銭利益を狙うものであり、利用者にとってはどちらかというと「迷惑」の側面が強いものでした。端末内の情報窃取を狙う不正/迷惑アプリも断続的に確認されてはいますが、PC におけるランサムウェアやオンライン銀行詐欺ツールといった不正プログラムのような利用者に直接の被害を与えるような不正アプリが広く拡散した事例は、国内ではこれまで確認されていませんでした。

しかし、3月に確認された日本語表示に対応したモバイル向けランサムウェアの感染事例以降、その傾向には明らかな変化が見えています。発端となった日本語表示に対応したモバイル向けランサムウェアの拡散に関しては、モバイル端末やスマートテレビを含めたAndroid環境での実際の感染被害がトレンドマイクロに対して報告されており、身代金の脅迫を伴う深刻な感染が実際に国内でも発生したことは間違いないところです。そしてこの 3月以降、日本国内でのモバイル向けランサムウェアの検出数は継続して 1万件を超えており、2月以前の月数千件といったレベルからは明らかな拡大が見られます。モバイル向けランサムウェアのような利用者に深刻な被害をもたらす脅威が継続的に検出されていることは、国内でのモバイルを狙う脅威の状況において １つの転換と言えます。

図2：日本国内のモバイル端末でのランサムウェア検出数推移（トレンドマイクロSPNによる）

図3:日本語表示に対応したモバイル向けランサムウェア「ANDROIDOS_FLOCKER.A」の画面表示例

■モバイルを狙う手口：人気アプリ偽装と不正サイトへの誘導
現在、世界的な不正/迷惑アプリの頒布経路としては、海外の比較的審査の甘いサードパーティマーケットが主体となっています。しかし、日本の利用者が使用するサードパーティマーケットは携帯電話会社などの信頼性の高い運営母体によるものがほとんどであり、そもそも不審なアプリに遭遇する可能性は低かったものと言えます。このような状況の中で、利用者の興味のあるアプリに偽装して入手させる「人気アプリ偽装」の手口と、Web上の不正広告などの手法で不正サイトへ誘導する手口の 2つがモバイルを狙う脅威の攻撃手法となっています。

「人気アプリ偽装」の手法では 7月以降、「ポケモンGO」や「スーパーマリオ」、「アングリーバード」、「ねこあつめ」などの人気ゲームアプリの偽装事例を複数確認しています。また、ゲーム本体の偽装だけでなく、ゲームの攻略方法のガイドや、ゲーム上で普通ではできない操作を可能にする「チートツール」と呼ばれるアプリの偽装なども確認されています。人気ゲームがいち早く入手できる、ゲームの攻略方法を教える、本来は不可能な機能を可能にする、などの名目でサードパーティマーケットなどのダウンロードサイトへ誘導し、興味を持った利用者自身に不正/迷惑アプリを入手させます。このような人気ゲームに便乗する手口はモバイルを狙うサイバー犯罪者にとって１つの常とう手段となっています。

図4：「スーパーマリオ」を偽装した複数の不正アプリのインストール画面例

図5：「ポケモンGO」のチートツール（ゲーム内通貨を自由に増やす）を偽装した不正アプリの例

もう1つの「不正サイトへの誘導」については、不正広告により、偽のウイルス検出メッセージ、懸賞の当選やアンケートの依頼などのメッセージを表示し、利用者を誘導する手口が多く見られています。最終的に利用者が誘導される不正サイトでは、不正/迷惑アプリをインストールさせる、フィッシングサイトで利用者の情報を詐取するなどの攻撃に繋がります。トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」の統計によれば、日本国内のモバイル端末からこれらの不正サイトへ誘導された件数は 2016年 1~11月までで 2015年 1年間の 2.2倍となっており、不正サイトへの誘導がモバイル利用者にとって大きな脅威となっていることがわかります。

図6：日本国内のモバイル端末から不正サイトへ誘導されたアクセス件数（トレンドマイクロ SPNによる、単位：万）

図7：偽のウイルス感染メッセージ例

図8：アンケートを偽装した詐欺サイトの例

■「モバイルを狙う脅威」まとめ：
2016年には日本国内で Android端末向けランサムウェアの被害事例が初めて確認されました。これは、モバイル向け不正アプリでも、PC での不正プログラム同様の深刻な被害をもたらす攻撃が今後増えていくことを示す、一つの兆候と言えます。実際にモバイル端末を狙う攻撃手法としては、人気アプリの偽装により利用者の興味を引き不正/迷惑アプリを入手させる手法と、不正サイトへ誘導し不正/迷惑アプリを拡散したり個人情報を詐取したりする手法が拡大しています。

また、モバイル向けランサムウェアの事例でスマートテレビに感染した事例が確認されているように、既にサイバー犯罪者の狙いはモバイル端末と同時に IoT機器にも向かっています。2016年には「Mirai」のような IoT機器を感染対象とした攻撃も既に確認されており、今後はモバイルの先にある IoT機器のセキュリティも合わせて考えていく必要があります。

■被害に遭わないためには
不正/迷惑アプリはそのほとんどが海外のサードパーティマーケットで頒布されています。一般の利用者の中には、まだ正式に公開されていないアプリがいち早く手に入る、本来は有料のアプリが無料で手に入る、などを求めて海外のサードパーティマーケットを利用している方がいるかもしれません。しかし、そのようなアプリはそもそも正当なものではなく、安全が保証されたものでもありません。正規の Android向けアプリマーケットである「Google Play」の他、運営者がはっきりしている信頼できるサードパーティマーケットからのみ、アプリをインストールするようにしてください。Android OS のセキュリティ設定から「提供元不明のアプリのインストールを許可する」の設定を無効にしておくことで、サードパーティマーケットやインターネット経由での不用意なインストールから端末を保護できます。意識して信頼できるサードパーティマーケットからアプリをインストールする場合のみ、「提供元不明のアプリのインストールを許可する」の設定を有効にしてインストールを行ってください。

利用者に気づかれないように他のアプリをインストールする、自身のアイコンやプロセスを隠す、などの不正活動のためにはデバイスの管理権限が必要です。したがって、インストール時にデバイスの管理権限を要求する場合、不正/迷惑アプリの可能性が高いものとして注意すべき、ということも言えるでしょう。以下のようなデバイスの管理権限を要求する表示があった場合、アプリの内容に対して妥当かどうか、再確認してください。

図9：「機器管理者」の権限を要求する不正/迷惑アプリの表示例

■トレンドマイクロの対策
トレンドマイクロでは、モバイル環境での総合セキュリティ対策として、個人利用者向けには「ウイルスバスターモバイル」、法人利用者向けには「Trend Micro Mobile Security」を提供しています。これらの製品ではトレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network（SPN）」の機能である「モバイルアプリケーションレピュテーション（MAR）」技術や「Webレピュテーション（WRS）」技術により、不正/迷惑アプリの検出、詐欺サイトや不正/迷惑アプリに関連するサイトなどの不正Webサイトのブロックに対応しています。

また、家庭内のネットワークに接続するモバイル端末や IoT機器を一括して保護するホームネットワークセキュリティ製品として「ウイルスバスター for Home Network」を提供しています。

■「2016年個人と法人の三大脅威」連載記事リンク：

1. 2016年個人と法人の三大脅威：日本におけるサイバー脅迫元年「ランサムウェア」
   http://blog.trendmicro.co.jp/archives/14229
2. 2016年個人の三大脅威：ネットバンキングを狙う「オンライン銀行詐欺ツール」
   http://blog.trendmicro.co.jp/archives/14247
3. 2016年個人の三大脅威：転換点を迎えた「モバイルを狙う脅威」
4. 2016年法人の三大脅威：法人の持つ情報を狙う「標的型サイバー攻撃」
5. 2016年法人の三大脅威：法人の持つ情報を狙う「公開サーバへの攻撃」

身代金要求型不正プログラム（ランサムウェア）の感染事例は、2016年から頻繁に報道されています。トレンドマイクロで把握しているだけでも、主に米国等の英語圏を中心に2016年1年間の報道件数は 77件に達しました。第4四半期に入り減少が見られるものの、月平均 6件近くの事例が報道されたことになります。これら全 77件のランサムウェア感染報道を見渡した際、どのような傾向が確認できるでしょうか。なお、第４四半期の報道事例減少は、弊社が「2017年セキュリティ脅威予測」でも示したとおり、「急増期」から「安定期」への変化を示唆しているのかもしれません。

図１：2016年ランサムウェア報道事例の四半期ごとの業種別推移

■報道された被害事例の約8割が「医療」または「公共」
図1 はランサムウェアの報道事例における、業種別の件数推移を示しています。もちろん他の業種も被害に見舞われていたと考えられますが、主に米国等の英語圏で報道された事例に基づいた場合、「医療」、「教育」、「公共」、「教会」、「IT」といった業種に被害が集中していました。キリスト教系の教会での被害報道が多かった点も英米圏の特徴といえます。本稿では「教会」という業種として区別します。

2016年上半期は、医療機関を中心に教育機関や公共へ標的が拡大され、１万7,000米ドル（2016年12月時点で約200万円）の身代金が支払われたカリフォルニア州ロサンゼルス市の医療機関「Hollywood Presbyterian Medical Center」の事例や、カナダアルバータ州の大学「University of Calgary」の 2万カナダドル（2016年12月時点で約177万円）の事例などが話題になりました。

第3四半期に入ると、対象業種は、教育が減少してほぼ医療と公共に二分されているのが分かります。第3四半期には、初めて IT企業を狙った事例が報道されました。2016年9月に発生した英クラウドサービスプロバイダ「VESK」を狙った攻撃では、バックアップにも関わらず1万8,600ポンド（2016年12月時点で約268万円）の身代金も支払って復旧に至りました。

そして 1年を通して振り返った場合、医療と公共での被害事例が全体のほぼ 8割を占めていました。医療や公共などは市民の日々の生活に影響が出るサービスであり、特に報道されやすいことからこうした傾向が見られると推測されます。

図２：2016年ランサムウェア報道事例の業種別割合

■実際に支払われた身代金の平均額は「約127万円」
身代金の金額は、全 77件中 20件の報道事例で公表されました。また、支払ったかどうかに関わらず、2016年に報道された身代金の最高額は、英リンカンシャー郡議会が要求された 100万ポンド（2016年12月時点で1億1,400万円）の事例です。この事例では身代金の支払いには応じなかったようです。20件で言及された金額を平均すると、1事例につき約840万円となります。

さらに、公表された 20件の中で「実際に身代金を支払った」と報じられた事例は下記の 8件で、最高額は、米インディアナ州マディソン郡庁舎が支払った 2万8,000米ドル（2016年12月時点で約329万円）の事例になります。法執行機関で支払った事例が 3件も報道されています。8件で言及された金額を平均すると、1事例につき約127万円となります。

次に「実際に身代金が支払われたかどうか」を確認します。報道内容に基づく範囲で確認すると、77件中、「支払った」と報道されていた事例は 10件で全体の 13％になりました。支払いの有無を公表していない報道は、77件中 22件で 28.6％ですが、ここに「支払った」が含まれている可能もあります。

図３：身代金支払い有無の割合

■「公共」における被害事例では、半数以上がバックアップ対策を実施していた
次に「バックアップしていたかどうか」を報道内容に基づいて確認すると、全 77件中、「バックアップしていた」と報道された事例が24件で 31.2％、「バックアップしていなかった」が 7件で 9.1%、そして「未公表」が46件で59.7％となりました。一部報道では速やかに復旧を果した際のバックアップの重要性が強調されていましたが、多くのケースではバックアップの有無については触れられていませんでした。

図４：バックアップ有無の割合

業種別の情報を加味すると、図５のとおり、公共でバックアップをしていた割合が高く出ています。2016年は公共と医療で多数の被害事例が報道されましたが、バックアップという観点では、他に比べ公共での対策が大きく進んでいることが分かります。

図５：各業種におけるバックアップ有無の割合

■まとめ
2016年全体の事例を改めて見渡した場合、特に「公共」、「医療」業界の被害が顕著に報道されていたことが伺えます。ランサムウェア対策において繰り返し強調される点は「攻撃者を増長させないためにも身代金の支払いには応じないこと」や「仮に被害に遭っても直ちに復旧を果たすためバックアップを徹底しておくこと」などでした。むろん、そうした対策により被害を最小限に食い止めた企業もたくさんありましたが、現実には対応が後手に回ってしまったケースも多かったようです。

恐らくサイバー犯罪者側も同様にこの1年を振り返り、2017年以降、どの業界への攻撃が有効であるかといった分析をしている可能性があります。そしてより脆弱と思われる業界にターゲットを絞り込み、同じ傾向を示す別の業界を新たな標的にしていくかもしれません。「絶対にオフラインにできないシステム」、「バックアップ対策が遅れている組織」、「風評被害が業務に深刻な影響を及ぼす業種」など、いくつかの傾向が抽出されて新たな標的が見出される可能性も懸念されます。例えば第 4四半期、サンフランシスコ市営交通局を狙った事例では、当局は毅然とした対応を示したものの、このような「絶対にオフラインにできないインフラ」や、同様の特徴をもつ産業制御システムなどが新たな標的として増加する可能性があります。

ランサムウェアの被害を未然に防ぐためには、セキュリティ対策に万全を期すと同時に、今後もこうした報道事例を注視し、ランサムウェア対策の強化を検討していくことが重要です。

■トレンドマイクロの対策
トレンドマイクロは、企業や中小企業および個人ユーザそれぞれに、暗号化型ランサムウェアによる被害を最小にするための対策を提供します。

企業ユーザは、これらの脅威によるリスク軽減のために、多層的かつ段階的な対策を取ることができます。メール攻撃対策製品「Deep Discovery Email Inspector」および Webゲートウェイ対策製品「InterScan Web Security」は、ランサムウェアを検出し、侵入を防ぎます。「ウイルスバスター コーポレートエディション」のようなエンドポイント製品は、挙動監視機能（不正変更監視機能）の強化やアプリケーションコントロール、および脆弱性シールド機能により、脅威による影響を最小にすることができます。ネットワーク型対策製品「Deep Discovery Inspector」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などによりランサムウェア脅威を警告します。サーバ＆クラウドセキュリティ対策製品「Trend Micro Deep Security」は仮想化・クラウド・物理環境にまたがって、ランサムウェアがサーバに侵入することを防ぎます。

トレンドマイクロの中小企業向けクラウド型のエンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」は、「FRS」技術によりウイルス検出を行っています。また同時に、これらのエンドポイント製品では挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。

トレンドマイクロの個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、不正なファイルやスパムメールを検出し、関連する不正な URL をブロックすることによって、強固な保護を提供します。

報道によると、2017年1月3日（現地時間）、米連邦捜査局（FBI）と連携したイタリア警察当局は、二人のイタリア人を、イタリアの著名人や多くの人物から機密情報を窃取した容疑で逮捕しました。コードネーム「EyePyramid（アイピラミッド）」と名付けられたマルウェアを不正な添付ファイルで拡散したとされる、この標的型メールの攻撃キャンペーンで、政治的に重要な地位にある人物も含めイタリアの市民が官民を問わず標的とされたと報道されています。このマルウェアを利用して、ユーザ名、パスワード、閲覧データおよびファイルシステムの内容を含む、87ギガバイト以上に相当するデータが窃取されました。

■感染経路
入手した情報およびトレンドマイクロによる検体の初期解析の結果、攻撃者は、標的型メールによりEメールアカウント、特に、いくつかの法律事務所の弁護士や関係者のアカウントに首尾よく侵入したようです。これは不正な添付ファイルを開封させるためのおとりとして利用したものと考えられます。実際には先述のマルウェアである不正な添付ファイルが開封されると、実行ファイル形式で擬似ランダムなファイル名の自身のコピーを組み込み、プログラムを読み込んで実行準備を完了させます。以下に、弊社で確認したマルウェアのファイル名のいくつかを挙げます。なお、マルウェアの他のビルドやバージョンでは変更される可能性があります。

図１：利用されているファイル名

■検体の初期解析
マルウェアは、一見「.NET（バージョン 4.5かそれ以上）」で書かれた単純なコードのように見えますが、詳しく見るとそうでないことが明らかです。まず標準的な難読化処理（この部分は既製のツールを利用して復元が可能）をした後、逆コンパイルされたソースコードの繊細な部分が難読化されています。これにより検出および分析を困難にしています。例えば、コマンド＆コントロール（C&C）サーバの URL、および攻撃者の名前で購入されていると伝えられる「MailBee」のライセンスキー情報は、以下の図２のコードの抜粋に示されるように、高度に難読化されていました。

図２：難読化されたコード

弊社の解析によると、入力データの難読化の復元処理には、3DES暗号化、MD5変換、次に SHA256変換に基づく復号手順が含まれることがわかっています。

マルウェアは、暗号化の後、抽出したデータを、標準の Webトランスポートを介してC&Cサーバへ送信します。

図３：トラフィックを抽出するコード

C&Cサーバの URL の一部は難読化されていないことに注意してください。

図４：URLの公開されている部分（上のサムネイルをクリックするとコード全体が確認できます）

マルウェアは、また、「MailBee.NET.dll」のAPIを利用していました。これは、メールソフトウェアを構築するための有料ライブラリです。これを利用して、抽出したデータを、攻撃者が利用するEメールアドレスなどへ送出します。

興味深いことに、この有料ライブラリの購入履歴が、攻撃キャンペーンを仕掛けた攻撃者の特定へとつながりました。

弊社は、このマルウェアについてさらなる詳細解析を進めると同時に、マルウェアを使用した攻撃キャンペーンについて監視を継続しています。関連する追加情報があった場合は、本ブログなどを通じてお知らせします。

※注：オリジナルの英語記事は、2017年1月11日に公開されました。

参考記事：

• 「The Eye of the Storm: A Look at EyePyramid, the Malware Supposedly Used in High-Profile Hacks in Italy」
  by Federico Maggi (Senior Threat Researcher)

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

大学生 Zachary Shames は、2017年1月13日、米国バージニア州の連邦地方裁判所で、キーロガー「Limitless Logger（Limitless）」を作成した罪状を認めました。「Limitless」は、数千に及ぶパスワードや銀行の認証情報など、ユーザの個人情報を窃取するために利用されたマルウェアです。また、「Business E-mail Compromise（ビジネスメール詐欺、BEC）」で利用されるキーロガーとして知られており、アンダーグラウンド市場で 35米ドル（約4,000円、2017年1月20日現在）という低価格で販売されていたこともありました。トレンドマイクロの脅威リサーチ部門「Forward-looking Threat Research（FTR）」は、2014年11月、「Limitless」について明らかにしたリサーチペーパーを公開し、このキーロガーがどのように数千に及ぶユーザから情報を収集するために利用されたかについて説明しています。トレンドマイクロは、その公開に先立って、作成者が Shames であることを断定できる詳細情報を米連邦捜査局（FBI）に提出しました。このブログ記事では、リサーチペーパーには言及されていなかった「弊社がどのように手がかりをつかんだか」について詳しく説明します。

バージニア州東部地区の米連邦検事局によると、バージニア州のジェームズ・マディソン大学コンピュータ科学部に在籍する 21歳の学生 Shames はコンピュータネットワークへの侵入ほう助の罪で起訴されました。Shames は、情報収集する機能を備えた不正なソフトウェアなどを開発し 3,000以上のコピーを販売したことを認めました。それらのコピーは、1万6,000台以上の PC を感染させるために利用されました。これは、「Title 18 of the United States Code, Section 1030(a)(5)(A) and 2（日本語訳：合衆国法典第18編第1030条（a）の（5）の（A）と2）」に違反しています。

FTRのリサーチャ数名は、2014年7月、市販されている 2つのキーロガー「Predator Pain」と「Limitless」について調査を開始しました。この両キーロガーが、著名人を狙った攻撃を含む多くの攻撃の侵入段階に利用されているのを確認したからです。

当時の調査では、「Limitless」は他のツールと並んで標的型攻撃関連キャンペーンに広く利用されていました。攻撃による影響を最も受けた国は、マレーシア、インド、オーストラリア、デンマーク、そしてトルコでした（図1）。

図１：「Predator Pain」と「Limitless」が影響を与えた国分布

調査時、攻撃に関与した一人が主にマレーシアを狙い東南アジア諸国を攻撃対象としていた傾向が確認できます。

図2：Limitless Logger ビルダ

「Limitless」は、市販のキーロガーに共通する多くの機能を備えており、気づかれないようにキー入力を記録する機能、セキュリティ制御を無効にする機能、アカウントのパスワードを回収してライセンスを持つ攻撃者に送信する機能が含まれています。“hackforums[.]net” のフォーラムで販売されていたこのソフトウェアは、有効期限なしのライセンスが 35米ドルという価格もあって人気を呼び、中でも「ビジネスメール詐欺（BEC）」を実行するアフリカ人サイバー犯罪者グループの間で特に普及しました。「Limitless」のようなツールが購入可能であれば、BEC や類似した手口において大いに役立つことが証明される結果となりました。BEC の手口ではしばしば、外部公開されているメールアドレスを収集しておき、それらの宛先へビジネス関連の Eメールを送信することが含まれます。これらの Eメールのメッセージには通常キーロガーが含まれており、収集した情報を、Eメール、FTP、または PHPスクリプトによるコントロールパネルを経由して、サイバー犯罪者に送信します。

図3：「Mephobia」による Hackforums への投稿

トレンドマイクロは、ツールのユーザについての調査と共に、その背後にいる作成者について調べました。なお、弊社の他の調査では、別件の「国際刑事警察機構（インターポール）」と「ナイジェリア経済金融犯罪委員会（EFCC）」の連携による、ビジネスメール詐欺の首謀者逮捕につながっています。作成者のアカウント名による Hackforums へのいくつかの投稿から、初期の段階で以下のことが判明しました。

• 「Mephobia」が「Limitless」のプロジェクトを引き渡したのは 2014年 1月で、彼の大学での最初の学期が終了した時期であった
• 作成者による販売広告には Skypeアカウント、PayPalアカウントなど連絡先の詳細が含まれていた。彼はまた、「Github」、「Photobucket」、およびコードの投稿がある「Pastebin」など他のさまざまなアカウントを有しており、「Limitless」のプロジェクトが「Mephobia」（あるいは「HFMephobia」。HFはHackforumsの意）という名前につながりがあることを示していた
• 「Pastebin」のコードには別の Skypeアカウントが記載されており、その Skypeのプロフィールには、ワシントンDC の住所と、誕生日である可能性のある日付が記載されていた

これまでの調査から、「Limitless」より前から存在する、「Reflect Logger」やオンラインゲーム「Runescape」用キーロガーといった初期のマルウェアのプロジェクトの中に、ニックネーム「Mephobia」の存在が確認されました。

「Mephobia」というユーザ名はまた、他の調査の手がかりにもなりました。特に、ハッキングフォーラムで外部に流出したさまざまな SQLインジェクションのダンプファイルの中に確認されました。そのようなデータの信頼性と妥当性を検証することは困難ですが、ニックネームと関連する同じ Eメールアドレスが繰り返し利用されていると、少なくとも、実際に関係のある可能性が大きいと推測できます。「Mephobia」は、フォーラムでのこれらの情報流出を通してハッキング技術を修得し、また、Hackforums でのコミュニケーションの大部分に利用していた Gmailアカウントではなく、より個人的な Eメールアドレスを利用していました。1つのアカウントには「RockNHockeyFan」というニックネームを利用していました。

このニックネームは、次に、いくつかの他の Webサイトへと導きました。特に「Quizlet」というオンライン学習サポートサイトのプロフィールでは、ニックネーム「RockNHockeyFan」がZach Shamesとつながりました。また、Runescape のゲームのフォーラム 「Sythe.org」への投稿ともつながりました。「Z3r0Grav1ty」というニックネームを持つユーザが、Runescape のアカウントを窃取するためのツールを宣伝しているのが確認されました。トレンドマイクロのマルウェアデータベース内に、「Mephobia」という文字列を含む同じ名称のツールが確認されています。その投稿には ２つの連絡先が記載されていました。１つはニックネーム「RockNHockeyFan」が含まれる AOL のアカウント、もう1つは MSN のアカウント “zman81895[@]live[.]com“ です。ここから、次に、Zach または Zachary Shames という名前に関連づけられた複数のソーシャルネットワークのプロフィールが導き出されました。

トレンドマイクロは、容疑者「Mephobia」の本名を検証するため、彼についてのこの新しい情報を手にした上で、Hackforums への投稿について 2度目の検査を実施しました。果たして 2012年 1月の投稿に、現在は閉鎖された「Mephobia」のアカウントから彼自身の本名 Zach Shames を明らかにしているチャットのログが確認できました。

図4：本名「Zach Shames」を明らかにする「Mephobia」

この情報により、FTRチームは、2014年、容疑者の居住するワシントンDC に所在する FBI の事務所宛に詳細な調査報告書を送付しました。大学の寮で「Limitless」を完成させる以前、バージニア州北部で高校に通っていた当時キーロガーの初期バージョンを開発したことを認めた Shames は、現在、禁錮 10年の最高刑に直面しています。Shames の判決は 2017年 6月16日に予定されています。

「Limitless」は、高価でもなければ、巧妙に細工されているわけでもありません。しかし、その程度のマルウェアでも壊滅的な影響を与えられることを明らかにしています。また、今回の事例は、このようなツールを作成すれば現実社会へ影響を与え非常に重大な結果を招くことを、若い世代の専門家が十分理解するとともに、その才能を、世界をより安全にするために役立てるよう奨励するための機会となるでしょう。最後に、FBI と協力する FTR の取り組みは、法執行機関との提携へのトレンドマイクロの継続的な責任を表しています。最終的に官民協働によってのみ本当に「安全にデジタルインフォメーションを交換できる世界の実現」に近づけることを示す、法執行機関と民間企業のパートナーシップの価値を再度認識させる事例となりました。

参考記事：

• 「Not so Limitless after all: Trend Micro FTR Assists in the Arrest of Limitless Author」
  by Trend Micro Senior Threat Researchers

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

2017年 1月3日（現地時間）、米連邦捜査局（FBI）と連携したイタリア警察当局により、2人のイタリア人が、同国の著名人その他多くの人物から機密情報を窃取した罪で起訴されました。これを受けて、トレンドマイクロは、2017年 1月11日、この情報窃取に使われたマルウェア「EyePyramid（アイピラミッド）」について報告しました。

両容疑者は Occhionero という名のイタリア人姉弟で、特別に細工したマルウェア「EyePyramid」を添付した標的型メールを用いて、機密情報を窃取したようです。陰謀説も噂されているこの事例で使われているマルウェア「EyePyramid」の名前は、調査中に確認されたドメイン名とディレクトリパスに由来しています。

そしてイタリアの報道機関「AGI」は、2017年1月11正午頃（現地時間）、裁判所からの命令を公開しました。そこには、弊社が前回報告した解析情報も含まれています。今回は、この攻撃キャンペーンについて、包括的な解析の詳細を報告します。

■解析の範囲
トレンドマイクロは、毎日のように新しく検出される「EyePyramid」関連の検体を、250種類ほど解析しました。そして、第1回目の報告の直後、10数個ほどの怪しい検体が、不正プログラムや URL の検索サービス「VirusTotal」にアップロードされ、それらの検体に「#eyepyramid」が付けられているのを確認しました。しかし弊社は、それらの検体は「偽物」と考えています。なぜなら、それらの検体は、「EyePyramid」の事例との関連が確認された検体のいずれとも類似していないからです。それらの「偽検体」と、「EyePyramid」として識別された検体の間に全く関連がないと断言することはできませんが、「偽検体」は意図的に除外して解析を進めました。

■攻撃対象となった Eメールアカウント
いくつかの検体から、さまざまなドメインのメールアカウントが対象とされた証拠が確認できます。メールアカウントと一緒に、アカウント認証情報とメッセージ両方の情報も窃取されていました。以下は対象ドメインの一覧です。

■攻撃フロー
今回の攻撃では、効果的かつ着実に標的型メールを実行するために巧妙に計画された準備段階が特徴です。攻撃者は、同じ「EyePyramid」を利用した別の攻撃であるいはそれ以外の方法で窃取されたメールアカウントのリストから開始します。これらのメールアカウントは、最終的な標的である著名人に信頼されていると考えられる個人あるいは組織のものです。

攻撃者は、これらのメールアカウントを送信元として利用すると同時に、マルウェアの実行形式ファイルの拡張子「.exe」を隠ぺいするために添付ファイル名を偽装し、標的者の PC に最終的に感染させました。

感染PC上でマルウェアのファイルが実行されると、マルウェアは自身を更新し、上記の攻撃対象ドメイン一覧に記載のあるメールアカウントに関連した情報を収集し、得た情報を HTTP または HTTPS経由で、メールアドレスやコマンド＆コントロール（C＆C）サーバへ送出します。このようにして、窃取したメールアカウントが攻撃者の感染メールアドレスのリストに追加され、さらに他のユーザにマルウェアを拡散するために利用されます。

図1：攻撃フロー

■コンパイル日時と攻撃対象地域
トレンドマイクロは、コンパイル日時のタイムスタンプを基に、図2を作成しました。これは、弊社の他の継続した解析結果にも合致しています。「EyePyramid」として識別された検体がコンパイルされた年を見ると、2014年に突出しており、他の年の3倍以上となっています。

図2：「EyePyramid」の検体から確認された、コンパイル日時の分布（年別）

「EyePyramid」はイタリアを拠点にしていますが、以下の地図が示すように、攻撃対象がイタリアに集中したわけではありません。

図3：「EyePyramid」の攻撃対象地域の分布

■「EyePyramid」はどのように改良されてきたのか
弊社は、継続した解析の結果、さまざまな機能から「EyePyramid」の検体をいくつかのグループに分別することが可能になりました。

1. 実行ファイルが作成された年（コンパイル日時のタイムスタンプ）
2. 当初の、あるいは内部で利用されるファイル名
3. 利用されている難読化ツールとパッカー。難読化ツールの利用には2つの組み合わせが存在
   • 人気の難読化ツール「Skater.NET」と「Dotfuscator」の組み合わせ（ほとんどはこの方法で処理されていました）。
   • 最近の強力な難読化ツール「ConfuserEx」（最近解析された検体のみ該当）。
4. 当初の検体のコード、難読化復元後のコード、デコンパイル後のコードあるいは文字列復号後のコードに、以下の文字列が存在
   • ”gmail.it ” ：この文字列は、Google のメールアカウントのドメインとして知られる ”gmail.com” と ”googlemail.com” に隣接して表示されます。これはイタリアの Gmailユーザを対象にしようとした作成者のミスであった可能性があります。”gmail.it” ではなく、無料メールサービスである ”Gmail.it” のユーザを対象にしようとしていた可能性もありますが、作成者に確認する手段がないため、その裏付けを得ることはできません。なお、”Gmail.it” は、Google のサービスとは何ら関わりはありません。
   • 「EyePyramid」の事例とのつながりを示すパス：トレンドマイクロは、コンパイル日時2014年12月13日の検体に文字列 “\Work\EyePyramid\” を確認し、当初のファイル名は “mfkr.exe” でした。これは、この事例の名称の元となった文字列の一つです。このような文字列の存在は、マルウェアが「EyePyramid」に関連していることを示す強力な指標となります。しかし、「EyePyramid」に関係するすべての検体にこの文字列が含まれるわけではありません。
   • 「Desaware」製の「SpyWorks」コンポーネントの利用：キー入力のキャプチャ機能の実装、またシステムレベルのフックの作成に利用されています。
   
   図4：キー入力のキャプチャ機能のコード
5. 以下のとおり特定のコンポーネントのコード再利用を示すパスあるいはライブラリ名
   • :\Projects\VS2005\ChromePass\Release\ChromePass.pdb
   • :\Projects\VS2005\MyLastSearch\release\MyLastSearch.pdb
   • :\Projects\VS2005\NK2View\Release\NK2View.pdb
   • :\Projects\VS2005\ProduKey\Release\ProduKey.pdb
   • :\Projects\VS2005\RecentFilesView\Release\RecentFilesView.pdb
   • :\Projects\VS2005\USBDeview\Release\USBDeview.pdb
   • :\Projects\VS2005\WirelessKeyView\Release\WirelessKeyView.pdb
   • :\Projects\VS2005\mspass\Release\mspass.pdb
   • :\Projects\VS2005\netpass\Release\netpass.pdb
   • :\projects\VS2005\iepv\Release\iepv.pdb
   • :\projects\vs2005\shortcutsman\release\shman.pdb

これらの文字列は、特定の機能を備えるソフトウェアコンポーネントが、マルウェアに組み込まれていることを示しています。例えば “iepv\Release\iepv.pdb” は小型のユーティリティソフトウェア兼ライブラリ「IE PassView」で、これにより保存されたパスワードを回収することができます。他のコンポーネントについても、同様に情報を回収する機能を備えています。これらのコンポーネントから、マルウェアの目的にはブラウザのデータを収集することが含まれることを意味しています。

頻出するパスの文字列 “:\projects\vs2005” もまた、マルウェアの作成者についての手がかりとなります。弊社は、2014年と 2015年の亜種にこれらの文字列を確認しました。どちらの亜種のファイル名も “vmgr.exe” で、これは、どちらも作成者が同じであることを示唆しています。とはいえ、同じプログラミング環境でコンパイルされたのではないことが確認されています。2014年の亜種は、「.NET 4.5.5416.41981」でコンパイルされているのに対し、2015年の亜種は、「.NET 4.5.5604.16127」でコンパイルされていました。

トレンドマイクロは、これらの特徴に基づいて、マルウェアの概要を作成しました（図5）。例えば、Skype の会話を収集し送出する機能を持つ亜種と、そうでないものが存在することからもわかるように、この犯罪を実行した攻撃者が時間をかけてマルウェアの機能、C＆C および送信先の Eメールアドレス、コンパイラのバージョン、および保護機能を変更を加え「改良」していったことがうかがえます。

図5：一覧表（2010～2016）

■2011年に発生した 「Bisignani」の事例との関連
2012年、著名なイタリアの実業家と、Luigi Bisignani という名前の元ジャーナリストが、「Propaganda 4 secret society（P4秘密結社）」の一味として起訴されました。 P4 は政治的な決定に影響を与えたとされるイタリアのフリーメイソンの第4ロッジでした。

「Bisignani」の事例で利用されたマルウェアには、収集した情報の送出先 Eメールアドレスとしていくつかの Gmail アドレスが利用されていました。そして、イタリアのサイバー犯罪対策機関である CNAIPIC の調査員は、同じメールアドレスが、最近の「EyePyramid」の亜種でも利用されていたことを確認しました。また、トレンドマイクロは、2012年のものである「EyePyramid」の古い亜種でも、同じメールアドレスが利用されているのを確認しました。

もう一つ、利用されているメールサーバ “mail.hospenta.com” からも両事例のつながりが確認できます。このメールサーバは、最近の「EyePyramid」のバージョンでも利用されていますが、妙なことに、2010年のバージョンで “mail.hostpenta.com” が利用されているのに対し、2012年のバージョンでは利用されていませんでした。2010年と 2012年の両バージョンとも、よく知られることとなった「MailBee」のライセンスキー “MN600-D8102F401003102110C5114F1F18-0E8C” を利用していますが、このライセンスキーは Giulio Occhionero が購入したものか、あるいは彼の名前を利用して購入されたものです。

■「EyePyramid」の主要な機能
EyePyramidの主要な機能を以下に挙げます。ここでは、「EyePyramid」の機能すべてではなく、関連する主要なものについて説明しています。

●持続性
最初にマルウェアが実行されると、通常、ハードドライブ上の ”\ C” 以下のフォルダ内に、ランダムなリストから選択したファイル名で、自身のコピーを作成します。

図6：ランダムなファイル名の選択

マルウェアの効果を持続させるために、レジストリキー “CurrentVersion\Run” および “CurrentVersion\RunOnce” を変更するか、またはエントリを追加するという従来の手法が利用されています。

図7：自動起動レジストリのエントリ

マルウェアの実行ファイルパスにこれらのエントリの値を設定すると、ユーザのログオン時に毎回必ず実行されることになります。

●コードの再利用：亜種によってライブラリの組み合わせが異なる
「EyePyramid」の興味深い特徴は、周知のサードパーティのコンポーネントや、オープンソースライブラリを利用している点です。これは作成者が持つ技術の判断基準にもなります。

以下のライブラリが確認されました。

• 「MouseKeyboardActivityMonitor：システムすべての、キー入力とマウスの動作を監視するためのライブラリ。キー入力情報を窃取するために、このコンポーネントが利用されていました。
• 「Internet Explorer Passwords Viewer」：この他にも、例えば、Google Chrome のパスワードを回収するコンポーネントなどが、ブラウザに保存された認証情報を窃取するために利用されていました。
• ソフトウェア開発会社「Desaware」による「SpyWorks」：これは、キー入力をキャプチャ、あるいはプログラムの実行フローを迂回するシステムフックを作成するために利用されています。Desaware のコンポーネントの存在は、コード内に次の文字列が確認され明らかになりました。
  • d:\srcnet\Desaware.SpyWorksDotNet\Release820\Desaware.shcomponent20.pdb
• 「MailBee」：Eメールの処理に利用されるコンポーネント。これは Giulio Occhionero への攻撃を仕掛ける際に利用されたコンポーネントです。埋め込まれたライセンスキーは、彼の名前で購入されていたものでした。
• 「SevenZip」：7z のデータを作成するための共通ライブラリ。暗号化して攻撃者に送出する前に、窃取したファイルを圧縮するために利用されます。

●ファイルの収集および送出
前回報告したとおり、「EyePyramid」の主な機能は、ファイルの収集および送出です。以下の拡張子を持つファイルが対象とされます。

図8：対象ファイルの拡張子

また、「EyePyramid」は、Microsoft Exchange Client、 Windows Messaging、Microsoft Outlookといったさまざまなアプリケーションソフトウェアが、メッセージや予定表などのコピーを保存するために使用する拡張子「*.pst」のファイルを検索します。

図9：PSTファイルを狙うコード

●Skypeのデータ
図10は、通常「vmgr.exe」というファイル名を持つ「EyePyramid」亜種の、部分的に逆コンパイルされたソースコードに確認されたクエリです。アカウント・連絡先・メッセージ・Skypeの SMSのデータベース（Skypeの情報が含まれている）を読み出そうとしていることが確認できます。

図10：Skype を狙うコード

●セキュリティ対策ソフトウェアの無効化
「EyePyramid」は、さまざまなセキュリティ対策ツールを無効化します。以下の図11～13から、リアルタイム保護機能とマルウェア検知・処理といった機能の両方を起動させないようにしていることが確認できます。

図11～13：セキュリティ対策ソフトウェアを狙うコードの例

●難読化と回避
マルウェアのコードは、「Skater」と「Dotfuscator」の組み合わせ、あるいは「ConfuserEx」、これら 3つのツールによって難読化されています。その結果、完成した実行ファイルは、単純なデバッグ処理や仮想環境下での動的解析を回避します。しかし、そのような回避機能は比較的軽いもので、高度に保護されているわけではありません。

さらに、仕上げに、逆コンパイルされたソースコードに特別な文字列暗号化または難読化が施されています。具体的には、「Skater」と「Dotfuscator」の組み合わせを利用している検体のほとんどは、シリアル化した後バイト配列に短縮し、3DES暗号化を使用して文字列を暗号化しています。トレンドマイクロは、暗号化活動のリバースエンジニアリングによって、暗号化された文字列を復号しました。

■その他の目立った特徴

●HTMLメールでクロスサイトスクリプティング実行
弊社は、図14のコードの一部に見られるように、マルウェア作成者がEメールを利用した「クロスサイトスクリプティング（XSS）」を試していたことを確認しました。これは、デバッグの目的で利用されていたものです。

図14：XSSを実行するコード（21b6f2584485b8bbfffdefd45c1c72dc2133290fd8cefb235eb39cf015550316）

●流出したメールアカウントの利用
解析の間、さまざまな解析者から、詳細を求めるEメールを受け取りました。ある読者からは、流出情報のデータベース「Leaked Source」の情報によれば、「EyePyramid」の標的型メールの送信に利用されたメールアドレスと同じものが、複数の出会い系サイトのユーザ登録で利用されていた、と指摘がありました。

裁判所命令に記載されている、データの収集活動に関係しているというドメインを「Leaked Source」で検索すると、指摘のような状況が明らかになりました。出合い系やソーシャルメディアなどのWebサイトに登録するため利用されたEメールアドレスは、情報漏えい事例などで流出したものでした。つまり、そのようなメールアカウントの認証情報は、正当な所有者によって変更されるまで、基本的にだれでも利用可能であると言えます。

●アイコン
検出基準には含まれませんが、トレンドマイクロが解析した検体には、81種類のアイコンがありました。そのうちのいくつかを以下に示します。

図15：「EyePyramid」が利用するアイコン

■解析方法

図16：解析のプロセス

トレンドマイクロは、「EyePyramid」の解析にあたって、AGIが公開した裁判所の命令にも含まれている内容から開始し、一般的な方法を用いました。そこから、弊社はいくつかのパターンを抽出し、従来の解析方法に従い、Yaraルールおよび特殊な後処理スクリプトを書きだし、最初のパターンを一致させます。こうして、一連の検体を確認することが可能になり、その中に、「d3ad32bcb255e56cd2a768b3cbf6bafda88233288fc6650d0dfa3810be75f74c」が確認されました。他の解析者も、これが「EyePyramid」に関係していることを確認しています。

弊社は、マニュアルで難読化を復元し、コードを逆コンパイルし、ソースコードの系図を取得しました。そこで、マルウェアの活動のさらなる詳細を確認することができました。これらの活動の一部は、「Deep Discovery™ Analyzer」のカスタムサンドボックス環境下で最初の検体を実行した際に確認されました。

新たに確認された詳細を元に、従来の解析プロセスを精錬し、さらに多くの検体を解析することができました。そのうち数種は、現在手作業で解析されています。使用した属性、例えば、ライブラリ名、ドメイン名、Eメールアドレスなどの中で、実行ファイルの元の名前は、特に有用でした。これは珍しいことで、巧妙な攻撃者であれば、少なくとも、PEヘッダの一貫した名前をランダム化するために手間をかけるでしょう。

トレンドマイクロでは、日々このような反復プロセスを実行し、顧客ユーザから送られる報告と弊社の調査結果をあわせて調査、解析を行っています。

■結論
「EyePyramid」の起源と帰属は依然として不明です。Giulio Occhionero の名前で登録されているライセンスキーは有力な証拠と見なすことができます。しかし、マルウェア作成者は、痕跡を隠ぺいするために、例えば、難読化、パッカーの利用、暗号化、セキュリティ対策ツールの無効化という、単純とはいえ手間のかかる機能を利用したのにもかかわらず、主流亜種のすべてに自分の名前のライセンスキーを埋め込んでしまったのでしょうか。それは不明なままです。さらに、裁判所の命令にあるドメイン一覧の、ドメインと IP履歴データの解析から、「occhionero.com」と「occhionero.info」と名付けられたドメインが明らかになっており、これも理屈に合わない点といえます。

また、今回の解析から、当初のソースコードから定期的に更新されてきたことが判明しています。そして、長年にわたって「EyePyramid」のさまざまなバージョンが作成されていた PC環境も、コンパイラのバージョンが更新されているところから、Microsoft developer tools のバージョンも併せて更新されていること、また利用する難読化ツールも「Skater」と「Dotfuscator」の組み合わせから、より強力な「ConfuserEx」へ変更したりと、同時に改良を加えていったことがうかがえます。

弊社の解析についてさらなる詳細はこちらを参照してください。

参考記事：

• 「Uncovering the Inner Workings of EyePyramid」
  by Federico Maggi（Senior Threat Researcher）

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

世界190カ国以上に9,300万人以上の加入者を持つ動画配信サービス「Netflix」から、サイバー犯罪者が分け前を得ようと考えても不思議ではありません。彼らは、Netflix会員の認証情報を窃取しアンダーグラウンドで金銭に換える、あるいは Netflixアプリの脆弱性を悪用する、また、最近では、会員の金融関連その他の個人情報を窃取するマルウェアを PCに感染させる、などの不正活動を行ないます。

窃取された Netflix の認証情報は、他の目的のためにも利用されます。例えば、サイバー犯罪者間の交渉で、取引材料とされることがあります。さらに悪質な場合、ユーザにマルウェアをインストールさせるための餌とし、金銭をだまし取るために利用されることがあります。つまり、Netflix で好きな番組を「タダ見」しようとしたユーザの PC がランサムウェアに感染し、ファイルが人質にとられてしまう、ということがあり得ます。

トレンドマイクロは、Netflix の偽ログインアカウント生成プログラムを利用して、Windows PCユーザをおびき寄せるランサムウェア「RANSOM_NETIX.A」を確認しました。このアカウント生成プログラムは、主に、会員アカウントを乗っ取るためのソフトウェアに利用されるツールの一つです。これらのプログラムは、大抵、不正コピーしたアプリや、プレミアム会員用など有料の Webベースのサービスへの違法アクセス方法を公開している、不正な Webサイトで頒布されています。

図1：感染PC に壁紙として表示される脅迫メッセージ

図2：身代金支払い方法が指示されている脅迫メッセージ部分

図3：Netflix の偽ログインアカウント生成プログラム

図4：「ログインアカウントを生成」をクリックすると表示されるウィンドウ

■詐欺の手口
“Netflix Login Generator v1.1.exe“ という実行ファイル名を持つランサムウェアは、ます自身のコピー “netprotocol.exe” を作成し、その後このコピーが実行されます。「Generate Login（ログインアカウントを生成）」ボタンをクリックすると、正規の Netflix のアカウントのログイン情報を表示するとされる、別のウィンドウが表示されます。「RANSOM_NETIX.A」は、これらの偽のウィンドウを表示してユーザの注意をそらしている間に、C:\Users ディレクトリにある以下の 39のファイル形式の暗号化を実行します。

ランサムウェアは、AES-256暗号化アルゴリズムを採用し、暗号化したファイルに拡張子「.SE」を追加します。脅迫メッセージでは、他のランサムウェアファミリの要求額に比べ、低価格の身代金 0.18BTC（ビットコイン、2017年1月31日時点で日本円にして 19,000円前後）が要求されます。ランサムウェアは、コマンド＆コントロール（C＆C）サーバに接続し、例えば識別番号をカスタマイズするなど情報を送受信し、また、脅迫メッセージをダウンロードし、そのうちの一つが感染PC に壁紙として表示されます。また、注意をひく点として、感染PC のオペレーティングシステム（OS）が Windows 7または 10でない場合、ランサムウェアは自身を終了します。

■被害に遭わないためには
サイバー犯罪者が狙うユーザアカウントは多様化しています。たとえば、窃取された Netflixアカウントは、異なる IPアドレスで同時に使用可能であるため、使い勝手のよい商品となっています。また、アカウントを窃取されたユーザも、端末数の制限を超えていない限り、この不正にすぐには気づきません。サイバー犯罪者から加入者アカウントを保護するために重要な点として、ユーザは、サービスの提供者のセキュリティに関する推奨事項を遵守してください。さらに、良好なセキュリティ習慣を実行することが重要です。正規のメールに偽装した Eメールに注意し、定期的に認証情報を更新しましょう。二要素認証を使用し、ダウンロードする際には正規の Webサイトからのみダウンロードしてください。

この Netflix をかたる詐欺は、動画、音楽、ソフトウェア、または会員用など有料コンテンツの海賊版の利用に伴う危険に注意させる事例となります。重要なファイルを暗号化される危険を冒してまで、著作権の侵害である海賊版を利用したいとは思わないはずです。Netflix のプレミアムプランは、12米ドル前後（日本円で月額1450円）で、同時に 4台の端末でコンテンツをストリーミングできます。ユーザがファイルを暗号化された場合に支払う身代金 0.18BTCと比較してください。しかも、過去のランサムウェア被害事例が示しているように、支払いをしても復号は保証されません。

サイバー犯罪者は、「更新プログラム」が適用できないわずかな弱点、つまり人の心理を突いてきます。ソーシャルエンジニアリングはこのような詐欺の不可欠な要素だということを、ユーザは覚えておきましょう。あり得ないことを約束した広告をクリックしたり、コンテンツをダウンロードしたりしないでください。話がうますぎる場合、大抵は偽物です。

■トレンドマイクロの対策
トレンドマイクロは、企業や中小企業および個人ユーザそれぞれに、暗号化型ランサムウェアによる被害を最小にするための対策を提供します。

クラウド型業務アプリケーションのセキュリティを向上させる「Trend Micro Cloud App Security™」は、トレンドマイクロが持つコア技術であるサンドボックスや、レピュテーション技術をクラウド型業務アプリケーションでも活用できる機能を実装し、セキュリティ対策を高いレベルで実現します。一方、ネットワーク挙動監視ソリューション「Trend Micro Deep Discovery（トレンドマイクロ ディープディスカバリー）」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などによりランサムウェア脅威を警告します。

企業ユーザは、これらの脅威によるリスク軽減のために、多層的かつ段階的な対策を取ることができます。メール攻撃対策製品「Deep Discovery™ Email Inspector」および Webゲートウェイ対策製品「InterScan Web Security Virtual Appliance™ & InterScan Web Security Suite™ Plus」は、ランサムウェアを検出し、侵入を防ぎます。「ウイルスバスター™ コーポレートエディション XG」のようなエンドポイント製品は、挙動監視機能（不正変更監視機能）の強化やアプリケーションコントロール、および脆弱性シールド機能により、脅威による影響を最小にすることができます。ネットワーク型対策製品「Deep Discovery™ Inspector」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などによりランサムウェア脅威を警告します。サーバ＆クラウドセキュリティ対策製品「Trend Micro Deep Security」は仮想化・クラウド・物理環境にまたがって、ランサムウェアがサーバに侵入することを防ぎます。

トレンドマイクロの中小企業向けクラウド型のエンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」は、「FRS」技術によりウイルス検出を行っています。また同時に、これらのエンドポイント製品では挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。

トレンドマイクロの個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、不正なファイルやスパムメールを検出し、関連する不正な URL をブロックすることによって、強固な保護を提供します。

この脅威に関連する SHA1ハッシュ値：

• 6ddc37ded7ab01e17e9c274b930d775a513db760 — 「RANSOM_NETIX.A」として検出

※協力執筆者：David Sancho および Sylvia Lascano

参考記事：

• 「Netflix Scam Delivers Ransomware」
  by Marvelous Pelin (Threat Response Engineer)

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

本ブログでは、トレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network（SPN）」の「Mobile App Reputation（MAR）」からのフィードバック、および、昨年発生した事例の外部の調査データを基に、2016年における世界のモバイル脅威事情を 2回にわたって振り返ります。今回は攻撃規模と対象の拡大が続く不正アプリについて解説します。

■2016年のモバイル脅威傾向の概要
6,500万件　－　これは、トレンドマイクロが 2016年にモバイルを狙う脅威を検出しブロックした回数です。弊社では、2016年12月までに、1,920万個に達する Android端末向け不正アプリの検体を収集し解析しました。この数は 2015年に収集された検体数 1,070万個を大きく上回るものです。モバイル端末は、技術の進歩とともに個人・企業ユーザの間で飛躍的に普及しています。それと同時にモバイルを狙った脅威も複雑化し、攻撃能力を強化させています。

2016年、モバイル脅威の活動内容や感染経路については目立った変化はありませんでしたが、一方で、攻撃規模と対象の拡大や攻撃手法の複雑化が見られました。個人所有の端末を職場で利用する「Bring Your Own Device（BYOD）」の導入や、企業所有のモバイル端末の利用が一般的になったことにより、モバイル端末向け不正アプリ（マルウェア）対策を考慮する企業が増えました。逆にサイバー犯罪者は引き続きモバイル端末を狙っており、2016年を通じてモバイル端末向けランサムウェアが急速にまん延しました。国別の観点では、日本においてモバイル向けランサムウェアの拡散が目立ち、一方米国ではユーザに気づかれないうちに情報を収集して流出させるタイプのマルウェアや、ショートメッセージ（SMS）の送受信などを実行するマルウェアが最も拡散しました。

■継続して企業に影響を与えるモバイル向けマルウェア
BYOD の増加や、企業のネットワーク、サービスおよび資産へのスマートフォンからのアクセスの増加傾向は、モバイル脅威が継続して企業に影響を与える結果となりました。 逆に、企業を標的とするために特化したマルウェアは観測されませんでした。弊社が確認した感染事例は、大抵、ユーザがサードパーティによるアプリのマーケットプレイスから不正なアプリをダウンロードして、企業のネットワークに接続している端末にインストールし、社内のファイルを処理することによって発生していました。たとえば、「QVOD」（「ANDROIDOS_EHOOPAY.AXM」として検出）は、ビデオプレーヤを偽装します。ユーザは、気付かぬうちにプレミアムショートメッセージサービス（SMS）に加入し、多額の電話料金を徴収される可能性があります。情報を収集するマルウェア「DressCode」（「ANDROIDOS_SOCKSBOT.A」として検出）は、最適化ツール、あるいはレクリエーションアプリとして偽装されていました。スパイウェア「Jopsik」（「ANDROIDOS_JOPSIK.OPSLB」として検出）は、Android OS の更新プログラムまたはゲームアプリとして頒布されていました。

弊社の「Trend Micro Mobile Security™」からのフィードバックによると、2016年に企業が最も影響を受けた脅威は、アドウェアやスパイウェア、オンライン銀行詐欺ツール（バンキングトロジャン）、ルート化するマルウェア、SMS型トロイの木馬などの不正／迷惑アプリ（Potentially Unwanted Application、PUA）でした。検出率は中国が最も高く、フランス、ブラジル、ドイツ、ポーランドが続きました。

図1：2016年全世界における企業を狙ったモバイル向けマルウェアの検出数推移

図2：2016年全世界における企業を狙ったモバイル向けマルウェアに影響された国別割合

弊社が解析した検体の多くはサードパーティのアプリストアから拡散されていましたが、正規のマーケットプレイスに不正なアプリが潜り込んでいるのも確認されました。Google Play で公開されているアプリ 322万以上を調査したところ、1.02％が「DressCode」と「Jopsik」を含む不正/迷惑アプリであったにも関わらず、それらは Google によって積極的に取り上げられていました。「DressCode」については、米国、フランス、イスラエル、ウクライナの企業で最も多く検出されました。

■急激に発達したモバイル向けランサムウェア
モバイル向けランサムウェアは、2016年、急激に増加しました。例えば、2016年の第4四半期に弊社が解析した検体総数は、2015年の同期間と比較して、3倍になりました。大きく増加したものの、これらのランサムウェアの活動は類似しています。端末の機能を悪用し、ユーザを餌でおびきよせ、脅し、金銭をゆすり取る、という活動です。ほとんどが Android OS の機能を悪用した、画面ロック型のランサムウェアです。偽のシステム更新プログラム、人気のゲームアプリ、あるいはポルノなどを餌にソーシャルエンジニアリングの手法を利用します。疑いを持たないユーザは、管理者権限を許可してしまい、端末の画面ロックのパスワードを変更させられ、ダウンロードしたアプリはアンインストールできなくなります。

図3：トレンドマイクロが解析したモバイル向けランサムウェアの検体数推移比較（全世界）

トレンドマイクロではモバイル向けランサムウェアのいくつかのファミリを、弊社の検出と解析に基づいて以下のように大まかに分類しました。

• SLocker、別名Simple Locker（「ANDROIDOS_SLOCKER」）
• FLocker、別名Frantic Locker（「ANDROIDOS_FLOCKER」）
• SMSLocker（「ANDROIDOS_SMSLOCKER」）
• Svpeng（「ANDROIDOS_SVPENG」）
• Koler（「ANDROIDOS_KOLER」）

「SLocker」と「Koler」は、金銭を支払わせるため、法執行機関を偽装し被害者を責めることで知られています。「SLocker」の焼き直しである「SMSLocker」、および「Svpeng」はオンライン銀行詐欺ツールとしても機能します。これらのランサムウェアはサイバー犯罪者が用意した遠隔指令用の不正サーバ（C＆Cサーバ）の指令により端末をロックし、身代金を脅し取ります。

モバイル向けランサムウェアは、インドネシアおよびロシアで活発化したために、2016年8月から9月にかけて検出が急増しました。2016年8月、インドネシアで偽の音楽やビデオプレーヤのアプリが急増した際、「SLocker」（「AndroidOS_Slocker.AXBDA」として検出）の亜種がまん延しました。9月には、「Svpeng」（「AndroidOS_Svpeng.AXM」として検出）の別バージョンがロシアで頻繁に拡散しました。2016年、インドネシアとロシアは、インドと日本に並んでモバイル向けランサムウェアの検出および感染最多国の上位となりました。

図4：2016年全世界におけるモバイル向けランサムウェアの検出数推移

図5：2016年全世界におけるモバイル向けランサムウェア検出国割合

日本では、2016年3月に日本語での身代金要求に対応したモバイル向けランサムウェア「Flocker」の感染被害が初めて確認されました。この感染事例を契機としてモバイル向けランサムウェアの日本への流入は拡大しており、3月以降は毎月1万件以上の検出を確認しています。「FLocker」はその中でも、4月に単独で最多の3万2,000件以上の検出を記録するなど、2016年の日本において最も拡散したモバイル向けランサムウェアと言えます。その後 6月には、「FLocker」がスマートテレビに感染した事例も確認され、IoTデバイスでのランサムウェア被害例として大きなニュースになりました。

図6：2016年日本におけるモバイル向けランサムウェアの検出数推移

■窃取するのはアカウント認証情報だけでない、「オンライン銀行詐欺ツール」
2016年に弊社で確認したモバイル向けオンライン銀行詐欺ツールのほとんどは、ロシアのモバイルユーザを狙ったもので、世界的な検出数の 74％を占めていました。次いで影響を受けた国は、中国、オーストラリア、日本、ルーマニア、ドイツ、ウクライナ、台湾となっています。弊社の調査によると、拡散活動は第4四半期中に最も活発でした。

図7：2016年全世界におけるモバイル向けオンライン銀行詐欺ツールの、新しい検体の検出数

弊社は、これらの脅威の 15種類以上を確認しており、中でも「FakeToken」（「ANDROIDOS_FAKETOKEN」として検出）、「Agent」（「ANDROIDOS_AGENT」として検出）、「Asacub」（「ANDROIDOS_ASACUB」として検出）、「HQWar」（「ANDROIDOS_HQWAR」として検出）がバージョン・検体数の双方から優勢となっています。しかし、2016年はオンライン銀行詐欺ツールとランサムウェアを組み合わせたマルウェア「Svpeng」が注目をさらいました。実に、確認された感染および攻撃の約76％は、「Svpeng」によるものでした。

「Svpeng」は、2016年9月に検出数が 8万を超え、ピークに達しました。「Svpeng」は、SMSのメッセージ、連絡先、通話履歴、そしてブラウザの履歴を盗み、クレジットカード情報のフィッシングを実行し、モバイル端末の画面をロックして身代金を要求します。「Svpeng」がロシアの銀行を狙った手口から、当然ながらロシア語を話すユーザ、特にロシア、ルーマニア、ウクライナのユーザが影響を受けました。

弊社が 2016年に確認した別の際立ったファミリは「FakeToken」で、インストール後に自身を隠蔽し、C＆C通信を利用して二要素認証を回避することで知られています。中国で最も検出数が多く、次いでロシアとドイツとなっています。オーストリア、ハンガリー、ルーマニア、スイスの銀行を狙った「SMSSecurity」（「ANDROIDOS_FAKEBANK」として検出）は、リモート操作および画面の共有ができるツール「TeamViewer」を利用してモバイル端末を制御し、「Marcher」（「ANDROIDOS_FOBUS」として検出）は、攻撃者用のシェルコンソールが作成されていました。

■トレンドマイクロの対策
トレンドマイクロでは、モバイル環境での総合セキュリティ対策として、個人利用者向けには「ウイルスバスターモバイル」、法人利用者向けには「Trend Micro Mobile Security」を提供しています。これらの製品ではトレンドマイクロのクラウド型セキュリティ基盤「Trend Micro Smart Protection Network（SPN）」の機能である「モバイルアプリケーションレピュテーション（MAR）」技術や「Webレピュテーション（WRS）」技術により、不正/迷惑アプリの検出や不正/迷惑アプリに関連する不正Webサイトのブロックに対応しています。また、アプリ、データ保護、および環境設定の管理を提供するとともに、脆弱性を利用した攻撃から端末を保護し、不正なアクセスを防止します。

弊社の検出に基づく、2016年の Android端末向けマルウェアの一覧、および弊社が公開した Android と iOS／MacOS の脆弱性の一覧は、こちらを参照してください。

参考記事：

• 「In Review: 2016’s Mobile Threat Landscape Brings Diversity, Scale, and Scope」
  by Trend Micro

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）
日本語版構成：岡本 勝之（セキュリティエバンジェリスト）　　　　

2016年はランサムウェアが世界中で猛威を振るい、個人・法人を問わず多くのユーザがその脅威にさらされました。トレンドマイクロでは、国内の法人組織におけるランサムウェアの被害状況を把握するべく、2016年6月に国内法人ユーザを対象とした「企業におけるランサムウェア実態調査 2016」を実施し、その結果、「自組織がランサムウェアの攻撃に遭ったことがある」と回答した割合が 25.1%にのぼるなど、その深刻な実状が浮き彫りになりました。

こうしたランサムウェアの脅威は、日本のみならず IT技術、セキュリティ分野で世界をリードする米国においても大きな問題となっています。トレンドマイクロでは、米国の法人ユーザにおけるランサムウェア被害の実態を明らかにするため、昨年8月から 9月にかけて、主に金融機関、医療機関、政府機関を対象とした米国版のランサムウェア実態調査を実施しました。調査からは、米国の法人ユーザが日本以上に深刻な状況に直面している事実が明らかとなり、また 39%の回答者が 2017年に向けてランサムウェア対策に対する投資の増強を検討していることが分かりました。本ブログでは「米国版ランサムウェア実態調査 2016」から見られた興味深い数字とともに、米国の状況についてご紹介します。

■半数以上の回答者が過去１年以内にランサムウェアの被害に直面
2016年にトレンドマイクロが確認した米国におけるランサムウェアの攻撃総数は約4,200万件とその数は日本の約8.3倍にのぼりました。そうした中、本調査では回答者のおよそ 2人に 1人が過去1年以内にランサムウェアの被害に遭ったと回答しており、これは単純に国内法人ユーザの状況と比較しても、より深刻であると言えるでしょう。やはり、米国におけるランサムウェアの脅威は、その攻撃総数はもちろんのこと、実際に被害に遭ったという回答者の数を見ても、多くの法人ユーザがランサムウェアの脅威に直面していることが考えられます。

図１：過去1年以内にランサムウェアの被害に遭ったと回答した割合
（米国版ランサムウェア実態調査 2016）

また、ランサムウェアの被害に遭ったと回答した米国法人ユーザのうち 82%がバックアップからの復旧に成功しており、サイバー犯罪者に身代金を支払った割合はわずか 3%という結果でした。2016年2月の米国カリフォルニア州ロサンゼルス市の医療機関「Hollywood Presbyterian Medical Center」の事例など、米国ではサイバー犯罪者に身代金を支払った事例が複数報道されましたが、本調査から、米国ではランサムウェアの被害に遭った場合、大多数の法人ユーザが身代金を支払うことなく、バックアップで復旧していたという実態が明らかになっています。

■ランサムウェアは事業に影響を及ぼす深刻な問題、過半数が経営層にそのリスクを説明
本調査では、ランサムウェアの被害に遭ったことがあると回答した米国の法人ユーザが、具体的にどのような事態に陥ったのかについても明らかにしています。最も多く見られた被害は「業務の中断」であり、ランサムウェアの被害に遭ったと回答したうちの 59%が自組織の事業・業務に影響を受けていました。同様に、業務の中断等による売り上げへの影響等で最終的に損失が発生したと回答したユーザも 22%にのぼりました。

こうした結果からも、米国の法人ユーザにとって、ランサムウェアは自組織に深刻な影響を及ぼす脅威として認識されていると言えるでしょう。そして、本調査の回答者のうち 54%が、過去12カ月の間にランサムウェアが事業運営にもたらすリスクについて経営層に説明していたことが明らかとなっており、これはランサムウェアの脅威が経営層レベルの課題として捉えられていることを意味しています。

図2：「過去12カ月以内にランサムウェアがあなたの組織にもたらす業務運営リスクについて経営層に説明したことがありますか？」に対する回答結果
（米国版ランサムウェア実態調査 2016）

このように経営層に説明し理解を得ることは非常に重要です。ランサムウェア対策ソリューションを導入していく場合には、経営層の承認を得て予算を確保してく必要がありますし、職員のセキュリティ意識を高めていこうとした場合においても、研修の受講、ポリシーの厳格な遵守など経営層からのトップダウンによる指示は効果的です。

次に、ランサムウェア対策に組織として取り組んでいく上で、米国の法人ユーザはどのような課題に悩まされているのかを見ていきましょう。

■ランサムウェア対策における最大の障壁は攻撃の巧妙化
本調査では、ランサムウェアに対する自組織の防御力に関する質問も実施しており、回答者の 59%が自社の防御力は平均よりも優れていると認識している結果になりました。それにもかかわらず、引き続き多くのユーザがランサムウェアの攻撃に苦しめられているのはどうしてでしょうか。ここでは、その理由について見てみましょう。
本調査の結果、米国の法人ユーザが、ランサムウェア対策の強化における自組織の最大の障壁として感じているのは、やはり「ランサムウェアの攻撃の巧妙化」でした。事実、2016年1月から 9月の期間で 146個に及ぶランサムウェアの新ファミリーが登場し、ランサムウェアが凶悪化・巧妙化した年となりました。また、エクスプロイトキットやマルウェアスパムによるランサムウェアの拡散など、ランサムウェアの攻撃経路も多様であり、法人ユーザにとっては対策が難しい脅威であったと言えます。

図3：「ランサムウェア対策の強化において、あなたの組織にとって最大の障壁は何だと思いますか？」に対する回答結果
（米国版ランサムウェア実態調査 2016）

また、トレンドマイクロでは、「2017年セキュリティ脅威予測」の中で、こうしたランサムウェアの攻撃はその手口と標的が多様化し、2017年も引き続き米国のみならず、世界中の法人ユーザがランサムウェアの脅威に直面すると予測しています。

■巧妙化するランサムウェアの攻撃を防ぐには？
本調査の回答者のうち 39%が、2017年度のランサムウェア対策用予算の増加を検討しており、ランサムウェア対策の強化に前向きであるという結果が出ています。また、予算を減らすと回答したのはわずか 2%に止まっており、米国の法人ユーザにおけるランサムウェア対策への取り組みが重要視されていることが理解できます。自組織の経営状況に依存しますが、ランサムウェア問題の深刻さを考慮すると、米国の法人ユーザに限らず世界中の組織が対策予算の増加を検討すべきでしょう。ランサムウェアの対策ソリューションの多くは、ランサムウェアだけでなく標的型サイバー攻撃などの対策としても機能するため、自組織のセキュリティレベルを底上げさせることにもつながります。

それでは、巧妙化するランサムウェアにはどのように立ち向かえばよいのでしょうか。米国の法人ユーザでは、ランサムウェアの被害に遭った後、多くのケースでバックアップからの復旧に成功しています。こうしたことからも重要データのバックアップは一つの対策として有効であることは間違いありませんが、やはり被害に遭う前にランサムウェアの攻撃をブロックする対策が必要です。例えば、ゲートウェイ対策製品で Webまたはメール経由によるランサムウェアの侵入を防ぎ、万が一自組織内に入られた後でもエンドポイント対策製品で検知・ブロックするなど、複数のセキュリティ技術で対策を実施することが重要です。

トレンドマイクロでは、ランサムウェア対策として次世代の AI技術と成熟した技術を融合したエンドポイント対策製品「ウイルスバスター™ コーポレートエディション XG」を提供しています。また、メールによるランサムウェアの侵入を防ぐために有効なメール対策製品である「Deep Discovery™ Email Inspector」や不正プログラムの侵入や攻撃を防ぐ統合型サーバセキュリティソリューション「Trend Micro Deep Security™」を提供しており、こうした複数のソリューションを連携させる「Connected Threat Defense™」のアプローチによって信頼性の高いランサムウェア対策が実現できます。

■米国版ランサムウェア実態調査 2016（英語）の概要
調査名：Ransomware Response Study
URL：http://www.businesswire.com/news/home/20161227005020/en/Trend-Micro-ISMG-Survey-Reveals-Organizations-Victimized
実施時期：2016年8月－9月
回答者：米国内の法人組織のユーザ 225名（主に金融機関、医療機関、政府機関が対象）
手法：インターネット調査

「正規サイトを見ただけで感染する」攻撃が継続して発生しています。このエクスプロイトキットと呼ばれる脆弱性攻撃ツールを使用した脆弱性攻撃サイト（EKサイト）に国内のインターネット利用者を誘導する攻撃手法について、トレンドマイクロでは継続した監視を行っています。今回は、不正広告や正規サイト改ざんなどの手法で正規サイト利用者を EKサイトへ誘導して感染させる、まさに「正規サイトを見ただけで感染する」攻撃手口の、国内での現状をお伝えします。

■脆弱性攻撃ツールの変遷
2016年を通じマルウェアスパムの攻撃が全世界的に拡大し、最大規模の不正プログラム拡散を招きました。このメール経由攻撃の激化の陰に隠れ、EKサイトを中心とする Web経由の攻撃は国内でも海外でも見過ごされがちになっていたと言えます。ただし EKサイトによる Web経由攻撃自体は 2016年を通じ、全体的に委縮の傾向が出ています。トレンドマイクロの監視では 2016年下半期（7～12月）に日本からアクセスされた EKサイトをのべ 6,000件近く確認していますが、月別推移では右肩下がりとなっています。

図1：国内からアクセス誘導された EKサイト数の推移（2016年トレンドマイクロ調べ）

これは、EKサイト構築に利用される脆弱性攻撃ツールのうち、主要な 2種が活動を停止した影響と考えられます。2016年5月まで、Web経由の攻撃で最も使用されている脆弱性攻撃ツールだった「Angler Exploit Kit（アングラー、Angler EK）」について、関連するサイバー犯罪者 50人が逮捕されたことが 6月に報道されました。それ以降「Angler EK」は活動停止状態となり、日本国内の監視でも 6月6日を最後にアクセス誘導は見られなくなりました。活動停止した「Angler EK」に代わり、6月以降は「Neutrino EK（ニュートリノ）」の使用が多くみられるようになりましたが、その「Neutrino EK」もまた 9月に活動終了を宣言、現在では「Private Mode」での稼働、つまり特定の攻撃者のみ使用可能な状態に限定されているようです。サイバー犯罪者の大規模逮捕を発端に主要な脆弱性攻撃ツールが連続して活動停止したことは、EKサイトを使用する Web経由攻撃、ひいては不正プログラムを拡散させようとするサイバー犯罪者全体に大きな影響を与えたものと言えます。

■「見ただけで感染する攻撃」国内での現状
しかし、EKサイトへ誘導する攻撃がすべて停止してしまったわけではありません。9月の「Neutrino EK」の活動停止以後、日本から誘導される EKサイトは「Rig EK（リグ）」の独占状態となっています。現在、国内で EKサイトの脆弱性攻撃によって拡散される不正プログラムについては、ランサムウェアが主流です。「Rig EK」の独占状態となった 10月以降に EKサイトから拡散された不正プログラムのうち、ランサムウェアが 85%を占めていました。

図2：国内からアクセス誘導された EKサイトから拡散された不正プログラムの種別割合
（2016年10~12月トレンドマイクロ調べ）

対して、マルウェアスパムによる拡散ではランサムウェアと攻撃を二分しているオンライン銀行詐欺ツールは全体の 1.9%に過ぎず、Web経由とメール経由の攻撃の差異が表れているものと言えます。

また、Web経由の拡散では寡占状態となっているランサムウェアに関しても、メール経由の拡散とは傾向が大きく異なっています。不正プログラム種別同様に EKサイトから拡散されたランサムウェアのファミリー別割合を集計したところ、「CERBER」が 94%を占めました。対して、マルウェアスパムのアウトブレイク事例のほとんどすべてで使用されている「LOCKY」は 4%に過ぎません。このランサムウェア拡散傾向の相違からは、Web経由とメール経由では背後にいるサイバー犯罪者が異なることが推測されます。

図3：国内からアクセス誘導された EKサイトから拡散されたランサムウェアのファミリ別割合
（2016年10~12月トレンドマイクロ調べ）

図4：主に Web経由で拡散するランサムウェア「CERBER」の身代金要求画面例
日本語以外にも英語、中国語など 12カ国語の表示に対応している

不正プログラムの拡散経路はメールか Webに二分されます。不正プログラムを大規模に拡散させたいサイバー犯罪者がいる限り、どちらの攻撃手法もなくなってしまうことは考えられません。2016年に行われた対応の成果もあり、脆弱性攻撃ツールに関しては不活発な状況を維持できていることが監視結果から確認できます。しかし、また新たな攻撃手法や利用可能な脆弱性の登場により、活発化するでしょう。トレンドマイクロでは今後も継続して Web経由攻撃の状況を監視してまいります。

■被害に遭わないためには
EKサイトの攻撃では脆弱性を利用し「見ただけで感染」する攻撃を実現しています。逆に、利用される脆弱性がすべてアップデートにより解消されてさえいれば、EKサイトに誘導されたとしても自動的に感染することはありません。Internet Explorer（IE）などのブラウザや Adobe Flash Player、Java など、インターネット利用時に使用される製品のアップデートを欠かさず行ってください。また、正規サイト閲覧時であっても意識せずファイルのダウンロードが始まった場合にはキャンセルし、決して開かないでください。不正広告やサイト改ざんなどにより正規サイトから不正サイトへ誘導する攻撃に対しては、不正サイトへのアクセスを自動的にブロックする Web対策製品を導入することも重要です。

■トレンドマイクロの対策
Web経由で拡散されるランサムウェアなどの不正プログラムに関しては、「ファイルレピュテーション（FRS）」技術により検出対応を行っております。個人向けクライアント用総合セキュリティ対策製品「ウイルスバスタークラウド」をはじめ、法人向けの「ウイルスバスターコーポレートエディション XG」、「ウイルスバスタービジネスセキュリティサービス」などのエンドポイント製品では、「FRS」技術によるウイルス検出に加え、挙動監視機能（不正変更監視機能）により、侵入時点で検出未対応の不正プログラムであってもその不正活動を警告します。特に「ウイルスバスターコーポレートエディション XG」はクロスジェネレーション（XGen）セキュリティアプローチにより、高い検出率と誤検出/過検出の回避を両立しつつ、コンピュータへの負荷軽減を実現しています。

EKサイトを含む不正サイトに関しては、「Webレピュテーション（WRS）」技術でアクセスをブロックします。特に不正広告や改ざんによる誘導など、利用者には気づけない不正サイトへの誘導もブロック可能です。「ウイルスバスタークラウド」、「ウイルスバスターコーポレートエディション」、「ウイルスバスタービジネスセキュリティサービス」などのエンドポイント製品や、「ウイルスバスターモバイル」、「Trend Micro Mobile Security」などのモバイル端末向け製品では、WRS技術により不正サイトへのアクセスをブロックできます。特に法人利用者の場合、「InterScan Web Security」、「Cloud Edge」などのゲートウェイ製品によって、LAN内全体からの不正サイトへのアクセスを一括してブロックすることができます。

※調査協力：中谷 吉宏（Regional Trend Labs）

トレンドマイクロは、2016年9月、更新したランサムウェア「CRYSIS（クライシス）」（「RANSOM_CRYSIS」として検出）がオーストラリアとニュージーランドの企業を標的に、「リモート・デスクトップ・プロトコル（RDP）」を経由したブルートフォース（総当り）攻撃を仕掛けていたことについて報告しました。そして現在、RDP経由のブルートフォース攻撃は続行中であり、世界中の大企業や中小企業に影響を及ぼしています。事実、2017年1月には、2016年末に比べ攻撃数が倍増しています。ざまざまな業界が影響を受けていますが、終始一貫して標的とされているのは、米国の医療業界です。

図１：影響を受けた地域および業界

トレンドマイクロは、前回確認された攻撃と継続中の攻撃キャンペーンの背後に同じサイバー犯罪グループであると考えています。攻撃で利用されるファイル名は、各地域で同一です。他の部分でも、例えば、不正なファイルが感染PC に作成される場所など一貫して同じであることが確認されています。

2016年9月に報告した際と同様、RDPセッション中、攻撃者の PC からリモートデスクトップ接続先の PC へマルウェアを転送するため、リモートPC の共有フォルダを利用していることが確認されました。

図２：RDPセッションで利用される共有フォルダの設定

他に、クリップボードがファイルの転送に利用される場合もあります。

図３：RDPセッションで利用されるクリップボードの設定

どちらの方法でも、攻撃者のローカルリソース、例えば、ローカルドライブ、プリンタ、クリップボード、サポートされているプラグアンドプレイデバイスなどをリモートPC に公開する、またはその逆が可能になります。インターネットに公開されている端末の RDP機能は初期設定で制限されておらず、制限を適用するかどうかは管理者次第です。

攻撃者は、一般的に使用頻度の高いユーザ名とパスワードを利用してログインを試みます。正しいユーザ名とパスワードの組み合わせを探し当てると、攻撃者は、通常、短期間のうちに何度もアクセス接続し、PCを感染させます。このような繰り返しの作業により、通常数分で感染に成功します。

ある事例では、毎回異なる方法で圧縮・難読化された「CRYSIS」を利用し、10分間に6回攻撃しているのが確認されました。コピーされたマルウェアのファイルを確認すると、最初の感染を試みた時から 30日間のさまざまな時点で作成されていました。攻撃者の手元には複数のファイルがあり、首尾よく動作するものが見つかるまで、さまざまなマルウェアを試しているようでした。

■「CRYSIS」による攻撃の疑いがある場合
攻撃の疑いがある場合の対処方法として、2016年9月に開催されたトレンドマイクロのイベントで討議された、重要なポイントを以下に挙げます。

リモートデスクトップ接続サービスを利用する際には、適切なセキュリティ設定を適用し、ネットワークへの潜在的なリスクを限定します。共有ドライブやクリップボードへのアクセスを無効にすることによって、RDP経由でファイルをコピーする機能が制限できます。他のセキュリティ設定に制限を加えることも有効な手段です。なお、このような機能を制限することは、ユーザの使いやすさに影響することがあります。

• • 攻撃に利用されているIPアドレスの特定を試みてください。新しいバージョンのWindowsでは、オペレーティングシステム（OS）がリモートデスクトップ接続の詳細をWindowsイベントビューアにイベントID 1149で記録します。ログに記録される情報には、利用されたユーザアカウント（例えば、乗っ取られたアカウント）と、攻撃者のIPアドレスなどが含まれます。

トレンドマイクロのお客様は、以下のような製品の機能をご利用ください。

• 「ウイルスバスター™ コーポレートエディション XG」などの設定を確認してください。具体的には、「ネットワークドライブの検索」などのオプションを確認し、有効になっていることを確認します。この機能は通常無効になっていますが、「CRYSIS」による攻撃などの場合には有効です。攻撃者の利用するホストをクリーンアップできる可能性もあります。 “\\ tsclient” にある共有ネットワークドライブは、完全な読み取り・書き込みができるように初期設定されています。 「ネットワークドライブの検索」オプションを有効にすると、この共有ネットワークドライブからマルウェアが駆除されます。

「Deep Discovery™ファミリー」などの高度なネットワーク検出ツールによって、ブルートフォース攻撃を監視することできます。度々「Kerberosへのログオン失敗」と「ログオン試行-RDP」イベントが確認された場合は、進行中のブルートフォース攻撃の目印となり、IT管理者は攻撃を確認することができます。RDPを経由してインターネットに公開されているホストは、常に監視してください。

■トレンドマイクロの対策
トレンドマイクロは、企業や中小企業および個人ユーザそれぞれに、暗号化型ランサムウェアによる被害を最小にするための対策を提供します。

企業ユーザは、これらの脅威によるリスク軽減のために、多層的かつ段階的な対策を取ることができます。メール攻撃対策製品「Deep Discovery Email Inspector」および Webゲートウェイ対策製品「InterScan Web Security」は、ランサムウェアを検出し、侵入を防ぎます。「ウイルスバスター コーポレートエディション」のようなエンドポイント製品は、挙動監視機能（不正変更監視機能）の強化やアプリケーションコントロール、および脆弱性シールド機能により、脅威による影響を最小にすることができます。ネットワーク型対策製品「Deep Discovery Inspector」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などによりランサムウェア脅威を警告します。サーバ＆クラウドセキュリティ対策製品「Trend Micro Deep Security」は仮想化・クラウド・物理環境にまたがって、ランサムウェアがサーバに侵入することを防ぎます。

トレンドマイクロの中小企業向けクラウド型のエンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」は、「FRS」技術によりウイルス検出を行っています。また同時に、これらのエンドポイント製品では挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。

トレンドマイクロの個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、不正なファイルやスパムメールを検出し、関連する不正な URL をブロックすることによって、強固な保護を提供します。

参考記事：

• 「Brute Force RDP Attacks Plant CRYSIS Ransomware」
  by Jay Yaneza (Threats Analyst)

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

2016年末、Linux を搭載した IoT機器を狙う「Mirai」（「ELF_MIRAI」ファミリとして検出）による、大規模な「分散型サービス拒否（DDoS）」攻撃が数々の被害を発生させました。これらの事例は、「モノのインターネット（Internet of Things、IoT）」のエコシステムが、機能していない事実を明らかにしました。Mirai は、さらに拡散範囲を拡大するべく、今度は Windows PC を踏み台とするための機能を取り入れ、再び注目を集めています。

トレンドマイクロは、2017年脅威予測において、「Mirai と同様のマルウェアを利用した DDoS攻撃の増加」を指摘していますが、今回入手したWindows版マルウェア（「BKDR_MIRAI.A」として検出）は、Mirai同様の機能を持つものではありません。Mirai の感染対象である Linux機器を探し、Mirai 本体を拡散させ、最終的にMirai のボットネットを拡大させることを目的としたものです。これまでMiraiは特定範囲のIPアドレスに対しブルートフォース（総当り）攻撃を行い、自身のボットネットを拡大していました。今後はこの「BKDR_MIRAI.A」により、Windows環境からも「Mirai」のボットネットが拡大されることになります。

「BKDR_MIRAI.A」は、コマンド＆コントロール（C＆C）サーバに接続し、スキャンする IPアドレスリストを受信します。システムにログインできた場合、感染端末および機器のオペレーティングシステム（OS）を確認します。Linux機器であった場合は、そこにマルウェアMirai を作成し、新しいボットとして利用します。機器の OS が Windows であった場合、マルウェアは、そこに自身のコピーを作成し、Linux機器の探索を継続します。マルウェアは、Linux用と Windows用の2種類のマルウェアを作成します。

2016年8月に最初に確認された「Mirai」は、Linux のファームウェアを搭載した IoT機器（ルータ、デジタルビデオレコーダ（DVR）、プリンタ、監視カメラなど）を対象としていました。これらの IoT機器に感染させるために、マルウェアは、無作為に IPを選択し、デフォルトの管理認証情報を試行し、ポート7547 と 5555（TCP／UDP）、23（Telnet）、22（SSH）を介している機器を乗っ取ります。Mirai による攻撃は、そのソースコードが 2016年10月に公開されて以来、増加しています。大手 Webサイト「Netflix」、「Reddit」、「Twitter」、「AirBnB」などへの攻撃や、ドイツの大手 ISP「Deutsche Telekom（ドイツテレコム）」の 90万台の家庭用ルータに影響を与えた事例には、Mirai の亜種が利用されていました。

図1：Windowsを狙うマルウェアによるポートスキャンのコード

Windows を狙うマルウェアは、Linux を狙う最初の Mirai よりも多くのポートが追加されており、攻撃対象を可能な限り拡大しています。マルウェアは、以下のポートがオープンであるかどうかをチェックします。

• 22（SSH）
• 23（Telnet）
• 135（DCE / RPC）
• 445（Active Directory）
• 1433（MSSQL）
• 3306（MySQL）
• 3389（RDP）

これらのポートは、配信されたソフトウェアの追加や上書き、ファイルの共有、および遠隔の端末管理など、さまざまな理由から、通常、オープンに設定されています。

マルウェアが狙うポートから、マルウェアは、MySQL や Microsoft SQL Server データベース等、Windows PC で使用されているソフトウェアの識別する役割も果たすと考えられます。これらのいずれかであると識別されると、マルウェアは、管理者権限を持つ新規ユーザを作成します。具体的には、例えば感染機器が Microsoft SQL Server を使用していた場合、sysadmin権限を持つデータベースのユーザとして “Mssqla”を作成します。悪意のあるユーザが、管理者レベルのアクセス権限を得ることにより、サーバ全体の環境設定オプションの変更、サーバのシャットダウン、ログイン情報とプロパティの変更、実行中のプロセス終了、BULK INSERT命令文の実行、データベースの作成・変更・削除・復元が可能になります。

この Windows版マルウェアは、Mirai の拡散専用に設計されていますが、機能が拡大される可能性もあります。このマルウェアは、容易に別のマルウェアを拡散するように修正することが可能です。しかも、Windows PC を狙う手口は、Mirai の活動拡大に役立つと言えます。

このマルウェアは、感染した機器が接続しているネットワーク内の IoT機器への侵入にも利用されるおそれがあります。ホームネットワークの IPアドレスは大抵、予測が可能です。ほとんどの家庭用ルータは 192.168.x.x の IPアドレス空間を使用しています。Windows版マルウェアは、マルウェアの C＆Cサーバから IPアドレスを指示し、C＆Cサーバはマルウェアを送り込んだ機器に、ローカルの IPアドレス空間をスキャンするよう命令することが可能です。こうして、ネットワーク内のデフォルトのパスワードを利用するすべての IoT機器が感染することになります。

■トレンドマイクロの対策
トレンドマイクロの「Trend Micro Smart Home Network™」を搭載したルータや、家庭用ルータを中心に構成されるホームネットワークを保護する「ウイルスバスター for Home Network」では、トレンドマイクロがクラウド上に保有するWebレピュテーションデータベースと連携し、フィッシング詐欺サイトやマルウェアの配布サイトなど不正サイトへのアクセスをブロックします。また、家庭内に接続されている各デバイスへの脆弱性を悪用する攻撃をネットワークレイヤでブロックし、ルータなどの脆弱性を悪用する攻撃に対応します。

またルータに接続する PC やスマホにも「ウイルスバスター クラウド」のようなセキュリティ対策製品を導入し、多層での防御を行うことが有効です。

トレンドマイクロではホームネットワーク用オンラインスキャンとして、「オンラインスキャン for Home Network」を無料で提供しています。「オンラインスキャン for Home Network」は、ホームネットワークをスキャンし、Wi-Fiルータや Webカメラなど、現在ホームネットワークにつながっている機器を確認できます。加えて、各機器のセキュリティの問題点と解決策を提示してくれるため、それをもとに適切なセキュリティ設定を行うことができます。

家庭用ルータを狙う脅威やホームネットワークのセキュリティ対策についての詳細は、リサーチペーパー「Securing Your Home Routers: Understanding Attacks and Defense Strategies」（英語）もあわせて参照ください。

ネットワークセキュリティ対策製品「TippingPoint」では、以下の MainlineDVフィルターにより今回の脅威をブロックします。

• 27134: HTTP: BKDR_MIRAI.A Checkin

トレンドマイクロの解析した「BKDR_MIRAI.A」検体のSHA1ハッシュは以下のとおりです：

• 42c9686dade9a7f346efa8fdbe5dbf6fa1a7028e
• F97E8145E1E818F17779A8B136370C24DA67A6A5
• 9575D5EDB955E8E57D5886E1CF93F54F52912238
• 938715263e1e24f3e3d82d72b4e1d2b60ab187b8

※協力執筆者：Julie Cabuhat

参考記事：

• 「Mirai Widens Distribution with New Trojan that Scans More Ports」
  by Giannina Escueta (Technical Communications)

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

「脆弱性攻撃ツール（エクスプロイトキット）」の脅威状況は、2016年後半に大きく変わりました。それまで非常によく利用されていたエクスプロイトキットが突然減少する、あるいはサイバー犯罪者がその運用方法を切り替える、などの変化が見られました。「Angler Exploit Kit（Angler EK）」は、2015年以来、最も活発なエクスプロイトキットでしたが、突然活動を終了しました。2016年第1四半期に検出された 340万件のAngler EKの攻撃について、トレンドマイクロが追跡調査したところ、2016年後半、攻撃率は「０」にまで急低下しました。

全体的に攻撃率の減少傾向が見られます。トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」の統計によると、2016年に確認されたエクスプロイトキットによる攻撃は、2015年に確認された攻撃総数の 3分の1にとどまり、約2,700万件から 880万件にまで減少しました。今回、Angler EK が活動停止に至った背景について、また、その他のエクスプロイトキットも全般に活動が減少している要因について考察します。

■エクスプロイトキットの活動が減少した理由
過去の事例から、法執行機関の取り組みがエクスプロイトキット活動の減少に大きな影響を与えた、と言えるでしょう。2013年後半、ロシア当局によって「BlackHole EK」の作成者「Paunch」が逮捕されたため、それまでの 1年間最も損害を与えたエクスプロイトキットが取り除かれる結果となりました。Paunch 逮捕の後、BlackHole EK の操業は終了し、エクスプロイトキットの脅威状況から姿を消しました。その結果、Angler EK が 2015年に優勢なエクスプロイトキットとなり、全エクスプロイトキットによる攻撃の 57.25％が Angler EK によるものと記録されました。2016年にも同様の経緯がありました。ロシアで 50人のサイバー犯罪者が逮捕され、それは、Angler EK の活動の急落に反映されています。この逮捕事例は、すでに 2015年以来優勢ではなくなっていた「Nuclear EK」の活動も終了させたと見られています。

エクスプロイトキットによる攻撃の減少は、逮捕の他に、ゼロデイ脆弱性の減少に起因するとも考えられます。2016年は、前年と比較して、エクスプロイトキットに利用されやすかったゼロデイ脆弱性、特に Adobe Flash、Internet Explorer（IE）、Java などの脆弱性が少なくなっていました。現在、ほとんどのエクスプロイトキットは、古くなった脆弱性の利用に依存しているため、成功率が低くなっています。また、以前は新しい脆弱性を素早く取り入れていたエクスプロイトキットの更新活動が鈍くなっています。

図1：エクスプロイトキットに組み込まれた新しい脆弱性の推移

また、企業や個人ユーザのセキュリティに対する認識が高まっており、ソフトウェアの更新を実行する、あるいは既知のエクスプロイトキットからシステムを防衛するため専門家に依頼するなど、積極的な取り組みがうかがえます。これらの要因がすべて複合し、エクスプロイトキットの成功率の著しい低下に結びついています。

■手法を変え、依然として脅威となるエクスプロイトキット
強力なゼロデイ脆弱性の欠如、新しい脆弱性の取り込みの遅れなど、エクスプロイトキットの鈍化は認められるものの、依然として脅威であることは変わりありません。現在流通している古いエクスプロイトキットでも、防衛対策をとらずソフトウェアの更新プログラムを適用していないなどの無防備なユーザに被害を与えるおそれがあります。古いシステムのゼロデイ脆弱性を利用するものもあります。いまだにFlash Player の古いバージョンを狙う「Magnitude EK」は、その一例です。

これらのエクスプロイトキットの作成者は、過去に利用可能であることが実証済みの悪用ツールに、改良を加え、効果的な難読化を次々と取り入れます。そのようなエクスプロイトキットには、セキュリティソフトによる検出回避機能が含まれます。一部のエクスプロイトキットでは、セキュリティソフトウェアを検出した上で、特定の製品がインストールされていた場合は、シャットダウンするものもありました。正規のアプリケーションを悪用して不正活動を隠ぺいするエクスプロイトキットも確認されています。過去、Angler EK は、ファイルを圧縮するために「Pack200」を利用していました。Magnitude EK と「FlashPack EK」は、ファイルを難読化するために DoSWF という市販の Flashファイル暗号化ツールを利用していました。

エクスプロイトキットを利用する攻撃者は、新しいセキュリティ対策技術と賢明なユーザよりも先を行くため、常に新しい感染経路を模索しています。トレンドマイクロは、2016年、不正なコードを隠ぺいするため画像を利用する手口の増加を確認しました。 同年7月には、「Astrum EK」に関連する不正広告活動キャンペーン「AdGholas」で、画像のアルファチャンネルの中に不正なスクリプトを暗号化しているのが確認されました。マルウェアに感染した広告と正規広告との差は、色のわずかな違いだけでした。

2016年12月、トレンドマイクロは、「Sundown EK」がステガノグラフィの手法を取り入れ更新されたことを確認しました。作成者は、PNG画像ファイルにエクスプロイトコードを隠ぺいしていました。エクスプロイトキットの「malvertising（不正広告活動）」により、ユーザを Sundown EK のランディングページに誘導し、ユーザにエクスプロイトコードの埋め込まれた画像をダウンロードさせます。このバージョンで利用されている脆弱性はすべて修正プログラムが公開済みです。しかし、古いシステムは、現在でも影響を受けるおそれがあります。

エクスプロイトキットによって作成されるマルウェアも定期的に更新されています。ランサムウェアはよく利用されるマルウェアですが、2013年に初めてエクスプロイトキットに取り入れられました。この組み合わせはサイバー犯罪者に非常に人気があり、多くがその流行に飛びつき、大きな被害を発生させました。ユーザはいまや、エクスプロイトキットが作成するマルウェアと一緒に、ランサムウェアの感染にも対処しなければなりません。2013年から 2015年まで、エクスプロイトキットの選択肢といえば「CryptoWall」、「CRYPTESLA（別名：TeslaCrypt）」、「CryptoLocker」でしたが、2016年にはその他のさまざまなランサムウェアが組み合わせられるようになりました。

■エクスプロイトキットは今後どうなるか
エクスプロイトキットの減少傾向が続き、一般的なブラウザに悪用可能な脆弱性が発見されない場合、サイバー犯罪者はエクスプロイトキットの利用から離れ、マルウェアを感染させるためより効果的な手段である、フィッシングやスパムメールなどのソーシャルエンジニアリングの手法へ戻ることが予想されます。スパムメールは、最近ランサムウェア拡散に好まれている方法です。

活動が鈍化しているにもかかわらず、エクスプロイトキットは依然として危険な脅威であり、過去数年間に渡ってそうしてきたように、今後も進化を続けるでしょう。特定の国々において、とりわけロシアの法執行機関がエクスプロイトキットを利用する攻撃者や作成者の逮捕に成功しているところから、サイバー犯罪者はそのような国への攻撃を避け始めることが予測できます。攻撃者は、攻撃対象の国を絞り、比較的狙いやすい地域に標的を移すと考えられます。エクスプロイトキットに対処した経験が少ない国では、より狙われやすい可能性があります。

図2：エクスプロイトキットの攻撃を受けた国分布（2016年）

エクスプロイトキットのビジネスモデルも変化し続けることが予想されます。特定の攻撃用に限定した、よりカスタマイズされたエクスプロイトキットが登場する可能性があります。Neutrino EK はそのようなエクスプロイトキットの一例です。顧客を内密に管理し、特定の標的を狙い、目立たないように活動することによって検出を回避することが可能です。このようなタイプのエクスプロイトキットは、セキュリティ製品による追跡も回避します。

エクスプロイトキットの有効性や法執行機関の取り組み、その他、影響を与える要因があるとしても、Angler EK、Nuclear EK、Neutrino EK の終了後の空きを埋める新しいエクスプロイトキットが登場する可能性も考えられます。また、ランサムウェア、オンライン銀行詐欺ツール（バンキングトロジャン）、情報収集型マルウェア、ボットネットなど人気のマルウェアは引き続きエクスプロイトキットを介して拡散されると考えられます。エクスプロイトキットの作成者は、検出回避の新技術を採用する可能性が非常に高いでしょう。また、エクスプロイトキットのトラフィックを、ステガノグラフィの利用や広告トラフィックの偽装などにより、通常のトラフィックに見せる手口も推測できます。

エクスプロイトキットは絶えず進化する脅威であり、作成者は新しい戦略を取り入れ続けます。これに対処するには、予測される未知の亜種を検出して対処することができる、次世代技術と成熟した技術のブレンドによる多層防御、そして、リアルタイムでエクスプロイトキットを検出しブロックするのに役立つ、AI技術による機械学習を備えた対策が必要です。

■トレンドマイクロの対策
法人向けのエンドポイント製品「ウイルスバスターコーポレートエディション XG」や中小企業向けのクラウド型エンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」では、「FRS」技術によりウイルス検出と同時に、挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。特に「ウイルスバスターコーポレートエディション XG」はクロスジェネレーション（XGen）セキュリティアプローチにより、高い検出率と誤検出/過検出の回避を両立しつつ、コンピュータへの負荷軽減を実現します。

トレンドマイクロの中小企業向けクラウド型のエンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」は、「FRS」技術によりウイルス検出を行っています。また同時に、これらのエンドポイント製品では挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応の脅威であってもその不正活動を検知してブロックできます。

トレンドマイクロの個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、不正なファイルやスパムメールを検出し、関連する不正な URL をブロックすることによって、強固な保護を提供します。

※協力執筆者：Joseph C. Chen

参考記事：

• 「Tracking the Decline of Top Exploit Kits」
  by Giannina Escueta (Technical Communications)

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

「CERBER」は、2016年初期に出現して以来、随時斬新な手法を取り入れることで知られる暗号化型ランサムウェアのファミリです。これまで、音声による脅迫、クラウドサービスの悪用、データベースの暗号化、「malvertising（不正広告）」を利用した拡散、Windows スクリプトファイルの利用、各種のエクスプロイトキットなどを機能に取り入れ、時とともに改善してきました。目立って広く利用されている理由の1つは、CERBER はロシアのアンダーグラウンド市場で販売されているため、各方面のサイバー犯罪者にとって入手しやすいことにあるかもしれません。CERBER は日本国内でも拡散が確認されており、国内で 2016年10~12月に確認したランサムウェアを感染させる脆弱性攻撃サイトのうち、9割以上が「CERBER」を拡散させていたことは以前の記事で報告の通りです。

しかし、トレンドマイクロは、これまでとは異なる不正活動を見せる亜種（「RANSOM_CERBER.F117AK」として検出）を確認しました。この亜種は、セキュリティ対策ソフトウェアを暗号化対象ファイルから除外するため、一見無意味な骨折りをしています。

一般的に暗号化型ランサムウェアは、感染PC のデータを暗号化しますが、PC が正常に稼働できるようアプリケーションのファイルは暗号化せず、そのままにしておきます。そのためにソフトウェアがインストールされているフォルダ、そしてオペレーティングシステム（OS）があるフォルダのファイルについては、暗号化の対象から除外されています。暗号化型ランサムウェアは特定の拡張子を持つファイルのみ暗号化しますが、通常は実行可能ファイルも暗号化から除外されています。

新しく確認された CERBERの亜種は、そのような通常の暗号化型ランサムウェアの前提から外れ、感染PC にセキュリティ対策ソフトウェアがインストールされているかどうか確認します。ほとんどの Windows に実装されている「Windows Management Instrumentation （WMI）」は、Windows OS のシステム統計情報の収集、システム正常性の監視、およびシステムコンポーネントの管理ツールですが、実際には、システムの管理情報を共有するために利用できる強力なツールです。この情報には、通常、アプリケーションソフトウェア、つまりセキュリティ対策ソフトウェアの情報も含まれます。

CERBER は、“FirewallProduct”、“AntiVirusProduct”、および “AntiSpywareProduct” という 3つの WMI のクラス名についてクエリを出します。これらのクラス名はそれぞれファイアウォール、ウイルス対策、およびスパイウェア対策ソフトウェアを指しています。CERBER は、これらのソフトウェアがインストールされているディレクトリを抽出し、暗号化から除外するフォルダが列挙されたホワイトリストに追加します。

図1と図2：セキュリティ対策ソフトウェアを検出するコード

この活動の当面の目的が何であるかは、はっきりしません。大抵の Windows用ソフトウェアがインストールされているディレクトリは、通常、暗号化型ランサムウェアのホワイトリストにもともと含まれています。同様に、拡張子「exe」または「dll」のような実行可能ファイルも、暗号化の対象に含まれていないのが普通です。さしあたり、攻撃者はセキュリティ対策ソフトウェアが暗号化されないよう、三度も念入りに確認しているようなものです。

セキュリティ対策ソフトウェアの検出機能を別にすれば、この亜種の活動は他の CERBER の亜種と類似しています。１BTC（ビットコイン、2017年2月17日時点で日本円にして 12万円前後）の身代金を要求し、5日後に2BTC（約24万円前後）に倍額します。感染経路も類似しています。

図3：CERBERの脅迫状

■トレンドマイクロの対策
暗号化型ランサムウェアに関しては、感染してから対応するのでは間に合いません。ゲートウェイ、ユーザ機器、ネットワーク、そしてサーバを保護する、多層的なセキュリティ対策を積極的に導入しておくことが重要です。

トレンドマイクロは、企業や中小企業および個人ユーザそれぞれに、暗号化型ランサムウェアによる被害を最小にするための対策を提供します。クラウド型業務アプリケーションのセキュリティを向上させる「Trend Micro Cloud App Security™」は、トレンドマイクロが持つコア技術であるサンドボックスや、レピュテーション技術をクラウド型業務アプリケーションでも活用できる機能を実装し、セキュリティ対策を高いレベルで実現します。一方、ネットワーク挙動監視ソリューション「Trend Micro Deep Discovery（トレンドマイクロ ディープディスカバリー）」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などによりランサムウェア脅威を警告します。

企業ユーザは、これらの脅威によるリスク軽減のために、多層的かつ段階的な対策を取ることができます。メール攻撃対策製品「Deep Discovery™ Email Inspector」および Webゲートウェイ対策製品「InterScan Web Security Virtual Appliance™ & InterScan Web Security Suite™ Plus」は、ランサムウェアを検出し、侵入を防ぎます。「ウイルスバスター™ コーポレートエディション XG」のようなエンドポイント製品は、挙動監視機能（不正変更監視機能）の強化やアプリケーションコントロール、および脆弱性シールド機能により、脅威による影響を最小にすることができます。ネットワーク型対策製品「Deep Discovery™ Inspector」は、「文書脆弱性攻撃コード検出を行うエンジン（Advanced Threat Scan Engine、ATSE）」などによりランサムウェア脅威を警告します。サーバ＆クラウドセキュリティ対策製品「Trend Micro Deep Security」は仮想化・クラウド・物理環境にまたがって、ランサムウェアがサーバに侵入することを防ぎます。

トレンドマイクロの中小企業向けクラウド型のエンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」は、「FRS」技術によりウイルス検出を行っています。また同時に、これらのエンドポイント製品では挙動監視機能（不正変更監視機能）の強化により、侵入時点で検出未対応のランサムウェアであってもその不正活動を検知してブロックできます。

トレンドマイクロの個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、不正なファイルやスパムメールを検出し、関連する不正な URL をブロックすることによって、強固な保護を提供します。

参考記事：

• 「CERBER Changes Course, Triple Checks for Security Software」
  by Marvelous Pelin and Gilbert Sison

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

2016年6月、サイバー犯罪集団「Lurk（ラーク）」に関連する犯罪者 50人が逮捕されました。Lurkは、遅くとも 2011年から活動を開始し、2016年6月に逮捕されるまで、約4,500万米ドル（約50億円、2017年2月20日現在）相当を窃取しました。私達は、2011年から 2016年中旬まで、Lurk が利用する不正活動のコード解析や、ロシア国内における弊社の侵入検知システムが監視したネットワークトラフィックと URLパターンを分析することにより、このサイバー犯罪集団のネットワークアクティビティを監視、調査してきました。この調査によって収集した情報を元に、逮捕されるまでの約5年間の不正活動の変遷について 2回に分けて報告します。

第1回：

• 痕跡を残さない不正活動。検出回避して攻撃対象かどうかを確認
• 2011年から 2012年初期：Lurk、活動を開始
• 2012年中頃から 2014年中頃：マルウェアの向上、組織化した犯罪集団に

■痕跡を残さない不正活動。検出回避して攻撃対象かどうかを確認
「Lurk」は、ファイルを利用せずに感染する手法を利用して、金融機関だけでなく IT関連企業や通信事業企業から金銭を窃取してきました。この「fileless」と呼ばれる「ファイルを利用しない」で感染させる手法は、不正なファイルを物理的にダウンロードしたりハードディスクへの書き込みをしたりせずに不正活動を実行する方法です。この手法を用いるマルウェアの例として挙げられるのが 2014年に確認された「POWELIKS（パウリクス）」です。このような侵入した痕跡を残さない手法が確認されて以降、他のマルウェア、例えば、ランサムウェアの拡散や POS（販売時点情報管理）システムの侵害などに利用されており、現在、特に目新しい手法ではありません。とはいえ、物理的な感染方法を利用しないということは、検出が困難になり、ユーザが気づかないうちに感染している可能性が発生します。そして、管理者権限を取得するなどして、攻撃者の必要に応じて、感染PC に潜伏することが可能となるため、企業や個人ユーザにとって深刻な脅威となります。

Lurkは、遅くとも 2012年当時で、金融機関を攻撃対象として痕跡を残さない手法を利用していました。典型的な感染の流れは、不正なiframe が挿入された改ざん Webサイト経由で不正コードを感染させます。この不正なiframe は、Webブラウザの脆弱性を利用して、「drive-by download（ドライブバイダウンロード）攻撃」で PCに感染させ、ロシアの大手 Webサイトが水飲み場型攻撃として利用されたこともありました。ファイルを利用しないマルウェアとして悪名高い「POWELIKS」との大きな違いは、１）感染後、メモリ上に攻撃コードを実行し、２）攻撃対象か否か確認する点です。また、POWELIKS がセキュリティ製品による検出回避を目的に不正コードを Windowsレジストリに上書きする一方、Lurk が利用する手法は、エクスプロイトコードを RAM内で実行し、攻撃対象かどうか感染PC 内を調査することです。そして、インストールされているソフトウェアやそれらのバージョンなどの情報を自身のコマンド＆コントロール（C&C）サーバに送信して、攻撃対象であるかどうか判断します。攻撃対象である場合、情報窃取するマルウェアをダウンロードさせ、攻撃対象でないと判断された場合、エクスプロイトコードの実行プロセスで作成されるファイル以外の自身の痕跡を抹消します。

■2011年から2012年初期：Lurk、活動を開始
Lurkの活動が確認され始めたのは、2011年末で、Webサイトへの攻撃を発端に確認されました。そして既に、セキュリティ対策ソフトによる検出を回避する手法を利用していました。例えば、特定の時間帯のリクエスト、または彼らの優先配信地域に含まれていない送信元IPアドレスからのリクエストは、GoogleなどのサードパーティのWebサイトへリダイレクトされるように設計されていました。

Lurkは、不正なiframeが挿入された改ざんWebサイト経由で感染するだけでなく、「ｍalvertising（不正広告）」やソフトウェア「memcached」のキャッシュポイズニングといったコンテンツ配信アプリケーションコンポーネントへの感染なども、トラフィックの誘導手法として利用していました。

上述の通り、“隠密”活動は、すでにLurkの常とう手段でした。次のマルウェアが攻撃対象に送り込まれる前に、ファイルを利用しない不正コードがメモリ内で実行され、感染PCの情報を収集し、事前に調査します。

トレンドマイクロは、調査の際、URLベースの文字列パターン（シグネチャ）を作成し、Lurkに関連するネットワークトラフィックの検出に使用しました。「^[A-Z0-9]{4}$」というシグネチャは、2011年から2013年の間にLurkが利用していたURLのパターンを検出するため特に有効でした。これらのシグネチャの有効期間（Time to Live, TTL）はは、平均2カ月から3カ月でした。このシグネチャのTTLによって、「Lurk」が利用するソフトウェアの更新サイクルについても特定することができました。

■2012年中頃から 2014年中頃：攻撃手法の向上、組織化した犯罪グループに
Lurk は、この期間中に最も活発に活動し、ロシア内での活動を広範囲に展開しました。大量のトラフィックを扱う大手 Webサイトが、知らずに訪れるユーザを「XXX Exploit Kit（XXX EK）」というエクスプロイトキットに誘導するための中間プラットフォームとして利用されていました。

Lurk はまた、特殊な広告インフラを狙い、攻撃規模を拡大しました。例えば、2012年2月、通信社である「RIA Novosti」や「ria[.]ru」の広告配信サーバが iframe を利用して Lurk関連の Webサイトへ誘導していることが確認されました。この一環で、選択された IPアドレス範囲にのみ、問題の不正コードが拡散されていました。

トレンドマイクロは、2012年8月までに、感染中と感染後の HTTPリクエストの配列を確認することができました。それには、感染PC からのコマンド＆コントロール（C＆C）通信が含まれていました。2014年に入ると、Lurkは「Angler Exploit Kit（Angler EK）」と同様のパターンを表し始めました。例えば、Lurk はランディングページの URLパターンとして「indexm[.]html」を多用するようになりましたが、これは Angler EK が利用する攻撃手法の1つにも、間もなく確認されています。

図1：「ria[.]ru」で、エクスプロイトコードが読み込まれる順序（2012年2月）

図2：「[bg].ru」の閲覧者がLurkのエクスプロイトキットへ誘導される（2012年2月）

図3：「adfox[.]ru」のバナー広告から、Lurkのランディングページへ誘導される

図4：「tks[.]ru」に埋め込まれた不正なiframeコンテンツ（2013年8月）

Lurk が「Webブラウザの脆弱性の利用」という単純な手法で活動する集団から、組織立ったサイバー犯罪グループへと変化を遂げたのも注目すべき点です。活動範囲を拡大し、攻撃頻度も増加しました。攻撃基準が頻繁に修正され、不正活動も何度も更新されました。ある種のブラウザに存在する脆弱性だけを悪用していた一方、エクスプロイトコードも頻繁に変更されました。データサイズの大きなコードは、大抵の場合、より多くの機能が埋め込まれたことを意味し、サイズの小さな変更のときは、既存の不正コードをリパックして再利用されたことを意味していました。

Lurk は、サンドボックスによる検出の回避手法を開発しました。IPアドレス １つにつき不正なコンテンツを 1度しか拡散しない、というだけでなく、彼らは IPアドレスの範囲を攻撃対象のサブセットのみに限定しました。Lurk が実行する不正活動は、複数段階、連続で実行され、後期の段階で配信されるコンポーネントだけが持続的機能を備えていました。最初に感染する、ファイルを利用しない不正コードは、エクスプロイトキットのシェルコードによって起動するように設計されています。このエクスプロイトキットのシェルコードは、感染PC の動作確認をします。その後、Lurk の C＆Cサーバに Windows実行可能ファイル形式でコールバックし、次に別の分析を実行し、感染PC にインストールされたソフトウェアのパッケージとそのバージョン、オペレーティングシステム（OS）情報などのシステム情報を収集します。この情報は C＆Cサーバに送出され、次の不正活動が決定されます。この包括的な精査によって、Lurk の画策に沿った次のモジュールを感染PC に送り込むかどうかを決定します。

Lurk は、コードが実行された環境によって活動内容が大きく左右されたため、実際の検体を取得することが困難でした。例えば、Lurk が利用する URL をサンドボックス環境下で読み込んだ場合、マルウェアのモジュールを追加で取得することは、ほとんど不可能でした。

Lurk の不正なコンテンツは、大抵、モスクワのタイムゾーンでの昼食時、非常に短い間隔で拡散されました。トレンドマイクロは、これがサンドボックスによる自動検出を回避する手段であると推測しています。Lurk にとって関心のある地域である、ロシアおよび独立国家共同体（CIS）の領域かどうかを確認するため、訪問者IPアドレスの地理情報が詳細に照合されていました。また、金曜日と祝日の前日という特定の曜日に拡散頻度が増しました。

Lurk で利用されるインフラにも新しい機能が加えられていました。中でも、HTTPリクエストとホスティングプロバイダに利用される明確なパターンが確認されました。トレンドマイクロは、Lurk が利用していたホスティングプロバイダと、ホスティングプロバイダ移行のタイミングから、彼らがソフトウェア配布会社の Webサイトを改ざんし、ソフトウェアのインストールファイルを書き換えていたことを確認しました。

Lurk の攻撃では、他にも多数の脆弱性が悪用されており、プログラムによって運営される広告配信サーバや Webサーバその他の Webコンポーネントの認証が迂回される脆弱性が含まれます。誘導の仕組みは、媒介となるユーザごとに異なります。広告バナーネットワークや実際の Webサイトが利用される場合もあれば、Webサイトのコンテンツ配信コンポーネントが感染している場合もありました。

次回は、2014年から Lurkに関連するサイバー犯罪者逮捕の 2016年までをご報告します。

痕跡を残さないサイバー犯罪集団「Lurk」の変遷：第2回 攻撃の拡大と組織の消滅

• 2014年から 2016年：不正活動を世界に拡大
• 2016年：Lurk の消滅
• 被害に遭わないために

参考記事：

• 「Lurk: Retracing the Group’s Five-Year Campaign」
  by Fyodor Yarochkin and Vladimir Kropotov (Senior Threat Researchers)

翻訳：室賀 美和、編集：船越 麻衣子（Core Technology Marketing, TrendLabs）

英国の詐欺やサイバー犯罪の報告センターである「Action Fraud」は、2017年１月12日（現地時間）、移住者支援慈善団体「Migrant Helpline」を偽装して寄付者を狙う標的型メールを利用した詐欺について注意喚起しました。標的型メールには、寄付ページへのリンクが含まれていました。ユーザが何も疑わずにリンクをクリックすると、正規の Webサイトが開く代わりに、「RAMNIT（ラムニット）」がダウンロードされます。「RAMNIT」は、現在活動しているマルウェアの中でも非常に強力なものの一つで、2016年に脅威状況に復活しました。

トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」よると、2016年の四半期ごとの統計において、上位のオンライン銀行詐欺ツール（バンキングトロジャン）として RAMNIT の亜種が毎回検出されていました。しかし、2015年2月、欧州刑事警察機構（ユーロポール）により、RAMNIT のコマンド＆コントロール（C＆C）サーバがいくつも閉鎖されたことがニュースとなりました。この閉鎖の時点で、320万人のユーザが RAMNIT に感染していたと見られています。

当然、閉鎖後は RAMNIT の感染が大幅に減少すると想定されていました。ところが、2015年2月に一旦減少が見られたものの、翌月にはほぼ復活し、2015年の残りの期間常時1万を超える感染数を記録していました。2015年12月および 2016年8月に再び RAMNIT の活動が報告され、都度、翌月以降に急増が確認されていました。

図1：RAMNIT 感染数（2015年から2016年）

注視すべき点として、オンライン銀行詐欺ツールとしての RAMNIT と、その拡散の源となったサイバー犯罪者とは区別して考慮する必要があります。過去、2015年に米連邦捜査局（FBI）によって閉鎖された「DRIDEX」が、その後、RAMNIT と似たような様相で再出現したように、閉鎖は必ずしも拡散の減少に結びつかないことが証明されています。トレンドマイクロは、RAMNIT が 2016年まで継続して活動していることから、元のサイバー犯罪者の手を離れて成長した、と推測します。

■絶えず進化する脅威
2010年、トレンドマイクロは、RAMNIT の初期の亜種である「HTML_RAMNIT.ALE」を検出しました。この亜種は、感染PC に作成したマルウェアを実行します。単純な「HTML_RAMNIT.ALE」は、2016年の閉鎖時に確認された「VBS_RAMNIT.SMC」と「PE_RAMNIT」と比較して明確に差があります。

図2：RAMNIT 感染フロー

ユーザが改ざんされた Webサイトにアクセスすると、「VBS_RAMNIT.SMC」が実行されます。そして、バックドア機能と情報収集機能で大きな害をもたらすマルウェア「PE_RAMNIT」が作成され、実行されます。「PE_RAMNIT」は、その後、コマンド＆コントロール（C&C）通信を利用して遠隔でコマンドを受信し、感染PC から収集した Cookie や個人アカウント情報などを送信します。また、ユーザが持つ機密情報に気付かれずにアクセスするため、銀行の Webサイトに不正なコードを追加します。さらに、「PE_RAMNIT」は、メモリに常駐するため、実行中のすべてのプロセスに自身のコードを追加し、セキュリティソフト関連のレジストリキーを削除して検出を回避する機能を備えるなど、頑強なマルウェアとして知られています。

RAMNIT の高い感染率の大きな要因は、機能を改変し拡散する能力です。2010年に最初に確認された RAMNIT の亜種は、リムーバブルドライブと FTPサーバを経由して伝染するワームでした。2011年、RAMNIT は「ZBOT（別名：Zeus）」のソースコードの一部をコピーし、ユーザの認証情報その他の個人情報を窃取するバンキングトロジャンに変化したことが確認されました。サイバー犯罪者は、マルウェアを「改良」し続け、Webインジェクションなどの機能を追加し、金融機関のウェブサイトを改ざんすることを可能にしました。

RAMNIT のまん延は、マルウェアスパムやソーシャルエンジニアリングの手法などの伝統的なフィッシング詐欺を含む、感染経路の多様さに起因すると推測されます。最近では、改ざんされた Webサイトに埋め込まれた「Angler Exploit Kit（Angler EK）」を介して RAMNIT が拡散されており、既に十分強力な攻撃方法へさらに追加されています。RAMNIT は、駆除されないまま感染ファイルが新たなユーザの間に容易に広がり、再感染を起こす傾向があります。

■予防は最良の治療法
RAMNIT の増加は、ユーザはいまだに古典的な脅威に感染するおそれがあることを証明しています。十分に注意を払うことに加えて、RAMNIT のような進化する脅威から企業を保護するために以下の注意事項を参考にベストプラクティスを導入することが重要です。

• 企業は、メールやソーシャルメディアについてのセキュリティ対策のベストプラクティスについて、従業員への教育を実施する必要があります。特に不審な送信元からである場合は、リンクをクリックしたり添付ファイルをダウンロードしたりしない等徹底しましょう。
• ネットワーク管理者は、メールのセキュリティ対策を強化する必要があります。リンクが埋め込まれた不審なメールには、Webサイトのフィルタリングと検出レベルを、企業にとって最適な設定にすることにより、効果的に対処することが可能です。さらに、そのような不審なメールは、IT部門に報告し解析を行う必要があります。
• Migrant Helpline の事例からわかるように、フィッシング詐欺の手法は RAMNIT の拡散に大きな役割を果たしています。ユーザにリンクをクリックさせる、あるいはファイルをダウンロードさせるためにサイバー犯罪者が利用するソーシャルエンジニアリングの手法について、どのような点に留意する必要があるか、理解しておきましょう。
• 2要素認証を導入し、アカウントパスワードを定期的に更新管理することで、機密情報を窃取するサイバー犯罪者からユーザを保護することができます。

■トレンドマイクロの対策
トレンドマイクロの法人向けのエンドポイント製品「ウイルスバスター™ コーポレートエディション」、中小企業向けのクラウド型エンドポイントセキュリティサービス「ウイルスバスター ビジネスセキュリティサービス」、個人向けクライアント用総合セキュリティ対策製品「ウイルスバスター クラウド」は、不正なファイルやスパムメールを検出し、関連する不正なURL をブロックすることによってこの脅威からユーザを保護します。

※調査協力：Nikko Tamaña

参考記事：

• 「RAMNIT: The Comeback Story of 2016」
  by Trend Micro

翻訳：室賀 美和（Core Technology Marketing, TrendLabs）

前回、サイバー犯罪集団「Lurk（ラーク）」が利用する痕跡を残さない手法、2011年から2014年までの活動について報告しました。今回、2014年から関係者50人が逮捕され活動停止するまでの2016年の活動、そして、こうした脅威の被害に遭わないため対策などについて報告します。

第1回 組織化とマルウェアの巧妙化：

• 痕跡を残さない不正活動。検出回避して攻撃対象かどうかを確認
• 2011年から 2012年初期：Lurk、活動を開始
• 2012年中頃から 2014年中頃：マルウェアの向上、組織化した犯罪集団に

第2回 攻撃の拡大と組織の消滅：

• 2014年から 2016年：不正活動を世界に拡大
• 2016年：Lurk の消滅
• 被害に遭わないために

■2014年から 2016年：不正活動を世界に拡大
2014年は Lurk の歴史において重要な年となりました。多くの大手 Webサイトや媒介がいつでも利用できる状態にしておき、標的とするユーザPC への侵入に備えていました。このサイバー犯罪集団は勢いに乗っていました。利益を増やすために世界進出しない手はない、と考えたのも不思議ではないでしょう。

この期間に Lurk のために利用されたドメインのほとんどは、サードパーティの再販業者から購入され、ロシアで利用可能なインターネット決済「WebMoney」など匿名の支払い方法によって支払われました。トレンドマイクロが確認した活動は、ロシアと CIS 以外のバナーネットワークでの不正なインジェクションの予行演習であったことを暗示しています。2014年4月には、Lurk が「mail[.]ru」経由で誘導していることが確認され、恐らくこれは広告配信サーバのコンテンツへ埋め込むことによって実行されたと考えられます。2014年6月から 9月にかけて、Lurk が利用するランディングページから、彼らがインフラを移行し、世界規模の不正活に取り掛かったことを示唆していました。

2014年後半には、Lurk による拡散地域が劇的に変化しました。ロシアおよび CIS への攻撃は希薄となり、「.ru」ドメインの感染ユーザは手動で確認されるようになりました。その後、Lurk で利用される URL に新しいパターンが確認されました。それは、世界中を攻撃対象とするため IPアドレスの所在地について事前の選別をせず、また、24時間活動を実行するものでした。

Lurk は、2011年から 2012年、Java の脆弱性を利用するエクスプロイトコードを好んで利用し、Adobe Flash ファイル（拡張子「.swf」）のコンテンツが導入されました。脆弱性「CVE-2013-5330」を利用する、難読化された Flashファイルが 2014年12月に確認されました。これは、対象ユーザの送信元IPアドレスおよび時刻が Lurk のパラメータに合致する場合にのみ拡散され、それ以外の場合は 404エラーの応答を返していました。

上述のように、Lurk が利用していた XXX EK は、いくつかの URL提供のパターンと、ファイルを利用しない拡散手法の機能を備えており、この機能は後に Angler EK にも確認されています。2015年初期までに、Lurk と Angler EK の活動の境界線がぼやけ始め、脆弱性を悪用する手法や拡散量などにおいて、多くが重複していました。Lurk と Angler EK は同じサービスプロバイダでホストされていることが多く、ホストの IPアドレスによる関連付けはあまり役に立ちませんでした。また、Lurk は、動的に生成されたドメイン名をランディングページに採用しました。

■2016年：Lurk の消滅
金融機関が大胆に攻撃されたことから、度重なる調査が行われることになり、2016年6月、Lurk の活動に関与するロシア全土に散らばる 50人以上のサイバー犯罪者の逮捕へとつながりました。逮捕の波及効果により、他のサイバー犯罪グループも、年末まで活動をしばらく控えたようです。「Neutrino EK」と「Magnitude EK」のような他のエクスプロイトキットは、活動終了か、もしくは「Private Mode」での稼働、つまり特定の攻撃者のみ利用可能な状態に限定されました。それまでに、「Angler EK」はすでに活動を停止しました。偶然と見るよりは、「Angler EK」と「XXX EK」の拡散する URLパターン、マルウェア拡散の手法（特にファイルを利用しない不正コードの拡散）、および共有インフラの類似点から、両者には関連があると推測できます。

ある意味で、Lurk の興亡は脅威の「進化」を反映しています。トレンドマイクロは、従来のセキュリティシステムを回避するため、これまでにない斬新な手法がさらに改良されることを予測しています。しかも、そのようなマルウェアが販売されることにより、他のサイバー犯罪者も利用することが可能になるため事態は悪化するでしょう。残念ながら、Lurkの事例は、企業や個人ユーザから金銭を得ようとする多くのサイバー犯罪グループのほんの一例です。

■被害に遭わないために
Lurk の事例は、特定の対象に的を絞って巻き上げようとするサイバー犯罪者の姿勢を実証しています。利益のために情報収集をする、認証情報を窃取する、銀行口座から金銭を窃取する、また、人々に間違った情報を宣伝するなど、サイバー犯罪者は従来のセキュリティ対策では追いつくことのできない攻撃を着実に開発しています。

これらの脅威は、企業組織の周辺の保護について、セキュリティおよびIT管理者に大きな課題を与えます。セキュリティを念頭に置いた習慣を身につけるとともに多層防御が効果的です。最新の更新プログラムを適用し、マルウェアを拡散する Webサイトをブロックし、URL選別を実行し、ファイアウォールおよび IDS を導入し、職場環境でのセキュリティに対する認識を育成しましょう。深層防御もまた考慮すべきです。これらの脅威に対処できる単一のネットワーク防御ツールは存在しません。

エンドユーザのPC は、攻撃者にとって、侵入するための「玄関」としての役割を果たします。そのため、ユーザPC のセキュリティを強化することが重要です。そのためには、不審なアプリケーションやプロセスをホワイトリスト化して監視する、あるいは管理者権限の原則の適用を最小にするなどが含まれます。不審なコンポーネントと情報のやりとりをする可能性のある、拡張機能やプラグインなどのソフトウェアパッケージの形で感染する恐れがあるため、攻撃され得る面も最小にする必要があります。使用していないブラウザプラグインや機能はチェックを行ない、サードパーティによるコードの実行を可能にする機能は無効にしてください。Lurk の事例では、サイバー犯罪グループは、Webブラウザ用の Flash と Java のプラグインに存在する脆弱性を悪用していたことが確認されています。

攻撃を緩和するためには、組織の内部ネットワークへ直接アクセスする機能を無効にする必要があり、また、ユーザが外部ネットワークのリソースにアクセスするときには、アプリケーションプロキシを使用してください。特に、サイバー犯罪者が頻繁に攻撃に利用する、HTTP および HTTPSプロトコルには適用を強化するべきです。URL とMIMEタイプのような URLのコンテンツは厳しく調査する必要があります。同様に、実行可能ファイルは十分に確認しましょう。特に、未知のソースからダウンロードされたファイルの場合は疑ってかかるべきです。

ネットワークで不審な活動が確認された場合、あるいは無害に見える活動でも、継続的に監視することは、ネットワークへの侵入の検出に役立ちます。例えば、組織のネットワーク内で、以前には見られなかったドメイン名を解決して接続しようとする PC の数が急に増えた場合、ネットワークへの侵入や感染の兆候である可能性があります。ネットワーク検出およびエンドポイントセキュリティシステムは、攻撃を受けた場合あるいは攻撃が失敗していても、システム管理者に通知し、痕跡を提出することができます。

ユーザは、遅れずにアップデートする必要があります。定期的にシステムを更新してください。そして、不審なメール、なりすましメールや Webサイトに組み込まれたリンクに注意してください。

■トレンドマイクロの対策
「Trend Micro Deep Security™」および「Trend Micro Virtual Patch for Endpoint（旧 Trend Micro 脆弱性対策オプション）」は、仮想パッチによって、ファイルを利用しない感染やセキュリティパッチ未適用の脆弱性を利用する脅威からエンドポイントを保護します。

トレンドマイクロ製品をご利用のユーザは、この脅威から守られています。弊社のネットワーク挙動監視ソリューション「Trend Micro Deep Discovery（トレンドマイクロ ディープディスカバリー）」のサンドボックスや「Script Analyzer」エンジンにより、他のエンジンやパターンの更新がなくても、この脅威をその挙動で検出することができます。

侵入の痕跡（Indicators of Compromise、IOC）については、こちらを参照してください。

参考記事：

• 「Lurk: Retracing the Group’s Five-Year Campaign」
  by Fyodor Yarochkin and Vladimir Kropotov (Senior Threat Researchers)

翻訳：室賀 美和、編集：船越 麻衣子（Core Technology Marketing, TrendLabs）