ソーシャルメディアやインスタントメッセージの利用率が高まる一方、電子メールは依然として企業組織にとって重要なコミュニケーションツールとして利用されています。残念なことに、電子メールの普及は、サイバー犯罪者にとっても好ましい状況となっています。本記事では、4種類の電子メールを利用する脅威：スパムメール、フィッシング、なりすまし、ビジネスメール詐欺（BEC）について解説しています。
続きを読むサイバー犯罪者は金儲けの機会として仮想通貨に注目し、他者のリソースを乗っ取って仮想通貨の発掘(マイニング)を行う不正マイニングに仮想通貨発掘ツール（コインマイナー）を利用しています。そして、2018年に入り、仮想通貨をマイニングするマルウェアが頻繁に確認されています。トレンドマイクロは、4月だけでも既に、仮想通貨「Monero（XMR）」をマイニングする Android 端末向け不正アプリ「HIDDENMINER（ヒドゥンマイナー）」や、Web広告の改ざんによる仮想通貨発掘ツール（コインマイナー）の拡散などの事例を報告しています。そして今回、トレンドマイクロでは、ファイル感染型ウイルスの活動を併せ持つ、いわば「ファイル感染型コインマイナー」を初めて確認しました。
今回確認されたファイル感染型コインマイナーは、トレンドマイクロの製品では「PE_XIAOBAMINER（シャオバマイナー。以下、XIAOBAMINER）」として検出されます。XIAOBAMINER は、マイニングだけでなくファイル感染活動や USBワーム活動の機能を備えています。トレンドマイクロでは XIAOBAMINER の 亜種を既に2種確認しています。弊社の解析によると、XIAOBAMINER は、2017年10月に確認されたランサムウェア「XiaoBa」に不正コードに酷似しており、XiaoBa のコードを再利用して、マイニング機能やワーム拡散機能を追加した破壊的なファイル感染型ウイルスとしてのコインマイナー「XIAOBAMINER」が作り上げられたようです。
続きを読む2018年4月、オープンソースの電子商取引（e-commerce、EC）サイトプラットフォーム「Magento」で運用されている多くの Webサイトが総当たり攻撃や辞書攻撃の方法で改ざんされたことが確認されました。この改ざんにより、クレジットカード情報の窃取や、仮想通貨発掘マルウェア感染などの被害が発生したことが報告されています。
「Magento」は、ECサイトのプラットフォームとして、2016年時点で既に1,000億ドル以上（約10兆7千億円。2018年4 月13日時点）の売上を記録し 5,100万のユーザを抱えていました。また同社は、自身のブログ上で、Magento がオンライン取引のプラットフォームとして 2020年には 2,240億ドルに成長すると予測しています。クレジットカード情報や顧客の個人情報を扱う ECサイトはサイバー犯罪者にとっては格好の標的と言えます。実際、Magentoプラットホーム上の ECサイトは、2016年以降「KimcilWare（キムチルウェア）」、「ELF_CRYPTOR（クリプタ）」や「Rex（レックス）」といった複数のランサムウェアから、Magento の CMS が抱える脆弱性を利用する攻撃を受けてきました。このMagento の CMS の脆弱性は、ランサムウェア以外にも、脆弱性を突いてマルウェアに感染させる脆弱性攻撃ツール（エクスプロイトキット）などにも狙われています。
続きを読む仮想通貨のマイニング（発掘）を狙うサイバー犯罪者による攻撃は、ランサムウェアに代わるような脅威になるでしょうか。仮想通貨の人気と実世界における重要性の高まりにより、サイバー犯罪者も仮想通貨に大きな関心を抱いています。変化する脅威状況の中で仮想通貨の発掘を狙う攻撃は、以前のランサムウェアのような勢いで急拡大しています。2017 年に家庭用ルータに接続した機器で検出されたネットワークイベントの中で最も多いイベントが仮想通貨の発掘活動だったことは、サイバー犯罪者に限らず、仮想通貨の発掘に注目が集まっていることを示す一例と言えます。
図 1：2017 年、家庭用ルータに接続された機器における
仮想通貨発掘関連ネットワークイベントの検出数推移
（組込み型ホームネットワークセキュリティ製品
「Trend Micro Smart Home Network™」の情報に基づく）
2017 年 10 月 19 日（現地時間）、IoT 機器を狙う「Reaper（リーパー、「ELF_IOTReaper.A」として検出）」が確認されました。報道によると、100 万以上の法人ネットワークに感染し、引続きその感染を拡大しています。Reaper を確認したセキュリティ企業「Check Point」および「Qihoo 360 Netlab」のリサーチャによると、Reaper で構成されるIoTボットネットは、2016 年末に確認された、Linux を搭載した IoT 機器を狙う「Mirai」よりも巧妙な手口を利用しており、潜在的な危険度も高いとのことです。事実、Reaper は Mirai のソースコードの一部を利用していますが、機器に感染する手法は異なります。
続きを読む2017年10月15日（現地時間）、Wi-Fi通信のセキュリティプロトコル「Wi-Fi Protected Access 2（WPA2）」に存在する脆弱性が複数確認されたことが明らかになり、その詳細が同月16日に公開されました。報道によると、これら脆弱性は、「Key Reinstallation AttaCKs」という手法により悪用されることから「KRACK」と呼ばれ、「概念実証（Proof of Concept、PoC）」の攻撃コード（現時点で非公開、参考動画）により WPA2 の暗号化の仕組みを侵害します。
WPA2 は、安全な暗号化通信を実現するための Wi-Fi認証のセキュリティプロトコルです。今回はこの WPA2 の鍵管理に脆弱性が確認されました。攻撃者は KRACK を悪用して Wi-Fi端末機器と Wi-Fi のアクセスポイントの通信を傍受したり、場合によっては通信を乗っ取ることが可能となります。
今回の脆弱性のポイントは、以下の通りとなります。
- WPA2 のプロトコル自体の脆弱性であり、特定のオペレーションシステム（OS）などに依存せず影響がある
- 攻撃者は、これら脆弱性を利用して以下を実行することが可能である。
・通信の傍受、盗み見
・通信の乗っ取り、改ざん - 脆弱性の利用には、物理的に Wi-Fi に接続できる必要がある。多くの場合、中間者となることも必要。
2017年5月中旬、「EternalRocks（「TROJ_ETEROCK.A」として検出）」と呼ばれる新しいマルウェアが確認されました。このマルウェアは、ハッカー集団「Shadow Brokers」によって米国の「National Security Agency（国家安全保障局、NSA）」から流出した脆弱性やツールを利用しています。暗号化型ランサムウェア「WannaCry」が利用した脆弱性「EternalBlue」およびバックドアツール「DoublePulsar」に加えて、同じ経緯で流出した「EternalChampion」、「EternalRomance」、「EternalSynergy」、「ArchiTouch」、「SMBTouch」を利用しています。これらのほとんどは Windows OS のファイル共有プロトコル「Server Message Block（サーバメッセージブロック、SMB）」の脆弱性を狙ったものです。
続きを読む2017年4月初旬、諜報活動を目的とした大規模な標的型サイバー攻撃キャンペーン「Operation Cloud Hopper（クラウドホッパー作戦）」がセキュリティリサーチャによって最近明らかにされました。この攻撃は、報道によると、攻撃者集団「APT10（別名：「MenuPass」、「POTASSIUM」、「Stone Panda」、「Red Apollo」、「CVNX」）」によって仕掛けられ、「Managed Services Provider（マネージド・サービス・プロバイダ、MSP）」が狙われていました。そして、標的となった企業の資産や取引上の機密情報の窃取を目的としています。本記事では、この最新の脅威の概要と企業が取るべき対策について解説します。
■標的となったのは？
この攻撃キャンペーンは、北アメリカ、ヨーロッパ、南アメリカ、アジアの各地域に影響を及ぼしており、ごく最近では英国、アメリカ、日本、カナダ、ブラジル、フランス、スイス、ノルウェー、フィンランド、スウェーデン、南アフリカ、インド、タイ、韓国、そしてオーストラリアの MSP が標的とされたことが報じられています。
MSP はさまざまな顧客企業のアプリケーション、ネットワーク、システムインフラストラクチャを管理しています。MSP への攻撃における真の標的はそれら顧客企業であったと考えられます。真の標的となった業種は、エンジニアリング、工業生産、小売、電力、薬剤、通信、政府等、多岐にわたるものと推測されています。
続きを読むカーネギーメロン大学のセキュリティリサーチャは、2016年12月9日、Netgear製ルータの人気モデル数種に確認された深刻な脆弱性について注意喚起しました。任意のコマンドインジェクションが可能になるこの脆弱性によって、数千台に及ぶ家庭用ネットワーク機器が影響を受ける恐れがあります。この脆弱性を悪用された場合、家庭用ネットワーク機器が完全に制御され、感染機器はボットネットとして利用される恐れがあります。
この脆弱性は、当初、R6400、R7000、およびR8000の3つのモデルに存在すると報じられましたが、その後さらにR6200、R6700、R7100LG、R7300およびR7900の5つのモデルも影響を受けることが確認されました。リモートの攻撃者が、巧妙に細工したWebサイトへユーザを誘導することにより、認証を要求されることなく、脆弱性を持つルータ上で任意のコマンドをルート権限で実行することが可能です。セキュリティ専門家は、LAN接続の場合でも直接的なリクエストによって同様の攻撃を実行することが可能である、と警告しています。 この脆弱性を悪用することは難しくないため、ユーザは対象ルータの電源を切り、代替製品に切り替えるよう推奨されています。Netgearは、12月16日、脆弱性を持つルータのファームウェア更新のセキュリティアドバイザリを発表しました。なお、12月27日現在、影響を受けるすべてのモデルのファームウェアについて公開済みです。
続きを読む執筆者：Shawn Xing and Ecular Xu (Mobile Threat Response Engineers)
前回7月21日のブログでもお伝えした通り、サイバー犯罪者は世界的ブームになっているモバイルゲーム「Pokémon GO」の圧倒的な人気に便乗し、偽アプリや不正アプリを頒布しています。例としては、画面をロックしてユーザを脅し、金銭や個人情報を収集する不正プログラム、ユーザの望まない広告表示活動を行う不正プログラム（アドウェア）、さらに感染端末を遠隔操作するための「Remote Access Tool（RAT）」を感染させる便乗アプリが確認されています。前回のブログでは「Pokémon GO」のアプリ名を持つ便乗アプリを43件確認、うち19件が不正・迷惑アプリであったことをお伝えしました。また、7月8日から20日には「Google Play」上で「Pokémon GO」便乗アプリの新規リリースやアップデートが頻発していました。トレンドマイクロではこれらの Google Play 上で公開されているアプリの調査を行い、「Pokémon GO」もしくは類似する紛らわしいアプリ名を持つ便乗アプリを149件発見、合計で3,900万回以上ダウンロードされていたことを確認しました。
続きを読む
