2012年上半期国内における持続的標的型攻撃の傾向レポートを公開

トレンドマイクロは、2012年上半期（1月～6月）日本国内における持続的標的型攻撃（Advanced Persistent Threats、APT）に関する傾向レポートを公開しました。

本レポートでは、2012年上半期（1月から6月）にかけてトレンドマイクロの日本国内に特化したリサーチ機関であるリージョナルトレンドラボが収集、分析した持続的標的型攻撃のサンプルを基に統計データをまとめています。また同時期に日本国内で最も顕著に使われていた攻撃ツールについて、よりプロアクティブな脅威動向分析を行うフォワードルッキングスレットリサーチが独自に行った分析も併せて紹介します。

レポート前半では、2012年上半期の事例報告の中で多く確認された標的型メールによる攻撃の各プロセスにおける「隠蔽」のテクニックを解説しています。

侵入・感染のプロセス：受信者が疑いにくい電子メールの添付ファイルとして侵入
　　・メール添付ファイルの形式：67％が文書・画像ファイル（※1）
　　・メールの偽装：組織内の会議情報など実在のメールの転用、メール不達時の自動応答メール、標的組織の取扱品の注文依頼、標的組織への履歴書送付の問い合わせに偽装した例を確認

情報の収集・窃取のプロセス：通常のWeb通信に見せかけた隠蔽工作
　　・不正プログラム：38％が「BKDR_POISON」「BKDR_DARKMOON」（PoisonIvy）（※2）
　　・通信ポート：60％がポート80、32％がポート443（※2）

※1：標的型攻撃に使用されたメールの添付ファイル100個を調査
※2：標的型攻撃に使用された不正プログラム50個を調査

レポート後半では、2012年上半期の事例報告の中で、最も多く確認された不正プログラムであるPoisonIvyの攻撃使用時の共通点を分析し、単独の攻撃毎ではなく、一連の攻撃の「関連」を把握することで、その背後にある攻撃者グループの動向に着目し、持続的標的型攻撃への根本対策へつなげていく試みに関する調査結果を共有します。

2012年上半期に収集・抽出した50サンプルのうち、半数程度が同一の攻撃インフラを利用、また、少なくとも2009年からこのインフラが攻撃に利用されていたことを確認

巧妙化の一例として、標的組織のプロキシサーバ情報をハードコードしたサンプルを確認

トレンドマイクロは、このような持続的標的型攻撃に対する調査を含め、サイバー攻撃に対する調査を継続して行うことで、よりプロアクティブな視点で、脅威やサイバー犯罪への対策の提供と対処に結びつくスレットインテリジェンスを提供していきます。

詳細については、以下からレポートをダウンロードしてご一読ください。

2012年上半期国内における持続的標的型攻撃（APT）の傾向レポートを公開
　https://inet.trendmicro.co.jp/doc_dl/select.asp?type=1&cid=81