従来からのマルウェアの攻撃手法は、マルウェア本体である細工が施された実行ファイルに依存していました。一方、近年増加している「ファイルレス活動」を実行するマルウェアは、感染システムのメモリ内に常駐することで、ファイルを検索対象とした従来型スキャン機能や検出方法を回避します。Windowsの標準機能である「PowerShell」は通常、システム管理の目的で利用されます。しかし同時に、Windows向けのマルウェアを作成する攻撃者にとっても、ファイルレス活動などの実現に利用できる好都合な機能となっている実態があります。トレンドマイクロでは、ファイルレス活動に関する複数のレポートを公開し、上記の事実を検証してまいりました。本記事ではWindowsの標準機能であるPowerShellを悪用する攻撃者側の手法とその対策についてまとめます。
続きを読むトレンドマイクロは、2014年、不正なマクロのコードにより拡散されるオンライン銀行詐欺ツール「ROVNIX」に、Windows PowerShell のコマンドシェルが利用されたことを確認しました。11月に確認された攻撃では、PowerShell の機能は直接的には悪用されませんでしたが、今回、「VAWTRAK」が Windows PowerShell の機能を悪用し、また Wordファイルで不正なマクロのコードを利用したことを弊社は確認しました。
続きを読む「TrendLabs(トレンドラボ)」は、2014年第1四半期セキュリティラウンドアップのなかで、ランサムウェア「CryptoLocker」といった複数の「身代金要求型不正プログラム(ランサムウェア)」を取り上げ、新たな不正活動について言及しました。例えば、警告文に複数の言語を利用したり、仮想通貨のウォレットから金銭を窃取したりといった事例でした。また、モバイル版のランサムウェアの登場によって、どのようにこれらの脅威が、時間と共に変化し続けているかが浮き彫りになりました。
続きを読むMicrosoft が開発したコマンドコンソールおよびスクリプト言語である「Windows PowerShell」のコマンドラインは、特にシステム管理のために設計された有益な Windows管理ツールです。PowerShell のコマンドラインは、コマンドラインの敏速性とスクリプト言語の順応性を兼ね備えています。これは、IT の専門家が Windows OS および Windowsアプリケーションの管理を自動化する際に役立ちます。
続きを読むWord および Excelファイルを対象とする不正プログラムは、以前から出回っていましたが、トレンドマイクロは、2014年3月、新たな不正プログラムのファミリ「CRIGENT」を確認しました。「Power Worm」としても知られるこの不正プログラムは、いくつかの新たな手法を備えています。これらの不正プログラムは、トレンドマイクロの製品では、「W97M_CRIGENT.A」および「X97M_CRIGENT.A」として検出されます。
続きを読むボット型マルウェア「EMOTET」はサイバーセキュリティ業界でその名を馳せています。EMOTETを背後で操るオペレータが、スパムメールを使ってシステムを侵害した後、それらのシステムへのアクセス権を販売することに成功した為です。これはマルウェアをサービスとして提供する悪名高い手口「Malware as a Service(MaaS)」の一環として、MaaS利用者の不正ペイロードをEMOTETに配信させることで実施されました。バンキングマルウェア「Trickbot」や、ランサムウェア「Ryuk」/「Conti」などの悪名高い脅威の背後にいるオペレータは、自身の攻撃活動にEMOTETを用いた攻撃者グループの1つです。
続きを読む【追記情報:2022年6月15日(木)】Microsoftによる修正パッチ公開に伴い、「■被害に遭わないためには&トレンドマイクロの対策」にその旨を追記しました。
【追記情報:2022年6月2日(木)】トレンドマイクロ製品による保護及び調査:Trend Micro Cloud One – Network SecurityおよびTippingPointの検出情報を追加しました。
米国時間2022年5月30日、マイクロソフトはMicrosoft Support Diagnostic Tool (MSDT)に関する脆弱性(CVE-2022-30190)を公表しました。この脆弱性は、WordなどOffice文書ファイルにおけるリモートテンプレート機能が悪用されることで、MSDT経由で任意のコードの実行が可能となるものであり、既に「Follina」という通称も命名されています。この脆弱性を悪用することにより攻撃者は、ユーザ権限で不正なプログラムのインストールや、データの閲覧/削除/変更、アカウント新規作成などを行える可能性があります。
続きを読むランサムウェアを背後で操る新たな犯罪組織「Black Basta」は、企業や組織に対する大規模なデータ侵害を短期間で引き起こしたことから、ここ数週間でその悪名を轟かせることとなりました。
2022年4月20日、「Black Basta」を名乗る人物が、『企業ネットワークへのアクセス権や認証情報を入手して収益化するための策があり、協力者には利益の一部を分配する』といった宣言を「XSS.IS」や「EXPLOIT.IN」などのアンダーグラウンドフォーラム上に投稿しました。さらにこの投稿内容には、米国、カナダ、英国、オーストラリア、ニュージーランド(すべて英語圏の国)に拠点を置く企業や組織を標的としている旨も明記されていました。セキュリティベンダ「Minerva Labs社」は、攻撃者が、流出したデータを提供している一部のダークウェブから認証情報を入手していることを報告しました。
続きを読む現在、国内で最も大きな脅威となっているマルウェアとして「EMOTET」が挙げられます。本ブログでもこれまで、EMOTETに関する様々な注意喚起と解析記事を取り上げてまいりました。EMOTETの主な拡散経路はマルウェアスパム、つまりメール経由です。EMOTETの攻撃メールのほとんどで、不正マクロを含むOffice文書ファイルを添付ファイルなどの形式で開かせる手口が使われてきました。これに加えこの4月末からは、Windowsのショートカットリンク(.lnk)ファイルを悪用する新たな手口も確認しています。本記事ではこのEMOTETの、不正マクロを含むOffice文書ファイル、ショートカットリンクファイルの双方の手口に対して弊社トレンドマイクロの検出技術がどのように有効であるのかを検証いたしました。検証にあたっては、当社のサポートケースでご提供いただいた検体やインターネット上から入手可能なサンプルを使用しました。またトレンドマイクロの検出技術としては、クロスレイヤの検知と対応(XDR)機能を搭載する脅威防御のプラットフォーム「Trend Micro Vision One™」を用いました。検証のシナリオとしては、添付ファイルに対し従来型検出技術(パターンマッチング)が未対応のタイミングでEMOTETのマルウェアスパムが着信し、利用者が添付ファイルを開いてしまった場合を想定します。
続きを読む