ホーム » Author / Trend Micro

正規ソフトの偽インストーラを利用した攻撃活動の手口を解説

投稿日:2021年10月22日
脅威カテゴリ:不正プログラム
執筆:Trend Micro

サイバーセキュリティにおいて、「ユーザ」つまりシステムを利用する人間が最も脆弱な存在として、攻撃者に認識されていることは広く知られています。これはユーザが、攻撃における典型的な侵入経路として、ソーシャルエンジニアリング手法の対象となることを意味しています。法人組織もまた、ユーザを起点とするセキュリティ上の弱点に悩まされています。時に従業員はインターネット上の脅威に気付いていないことや、サイバーセキュリティのベストプラクティスに精通していないことがありますが、攻撃者はこれらのセキュリティ上の弱点を悪用する方法を熟知しています。

攻撃者がユーザを騙す方法の1つとして、未認証のアプリやインストーラを餌としてユーザの興味を引き、それらをインストールさせた後に悪意のあるペイロードを送り込むというものがあります。近年トレンドマイクロは、攻撃者がこれらの偽インストーラを利用して、同梱させたマルウェアを感染PC端末上に配信する手口を確認しています。これらの偽インストーラを利用した攻撃手口は目新しいものではなく、ユーザを騙して悪意のあるドキュメントを開かせたり、不要なアプリをインストールさせたりする手口は古くから広く用いられています。ユーザの中には、有料アプリの無料版やクラック版（不正に改変されたアプリ）をインターネット上で検索した際に、この罠にかかってしまう人もいます。

(さらに…)

マルウェア「Zloader」の歴史と攻撃手法を概説

投稿日:2021年10月20日
脅威カテゴリ:攻撃手法
執筆:Trend Micro

バンキングマルウェア「ZBOT（別名：Zeus）」は、過去20年間で最も多くの被害をもたらした古くから存在するマルウェアファミリの1つです。ZBOTは2006年に初めて登場した後、2011年にアンダーグラウンドフォーラム上にそのソースコードを流出させたことで、その後数年間にわたって企業や組織を悩ませる新たな亜種を数多く登場させることになります。

最近確認されたZBOTの中で最も注目すべき亜種の一つが「Zloader」です。2019年後半に「Silent Night」という名前で初めてコンパイルされたZloaderは、情報窃取型マルウェアに始まり、「Cobalt Strike」、「DarkSide」、「Ryuk」などの他のマルウェアやツールをインストールして実行するための手段を攻撃者に提供する多機能ドロッパーへと高度化してきました。さらにZloaderは、攻撃者にリモートアクセス（遠隔操作）を提供したり、さらなる不正活動を可能にするプラグインをインストールしたりする機能も備えています。

(さらに…)

ランサムウェア「Cring」の攻撃手法を解説

本ブログでは、ランサムウェア「Cring」の攻撃が国内で拡大する状況であったことを、2021年5月の記事でお伝えしました。その際のCringの攻撃活動では初期アクセスを取得するために、安全性の低いリモートデスクトップ（RDP）機能、または仮想プライベートネットワーク（VPN）の脆弱性が悪用されていました。そして今回、CringはWebアプリケーションサーバ「Adobe ColdFusion 9」（11年前のバージョン）に内在する脆弱性を突く攻撃に用いられた脅威として再び注目されており、トレンドマイクロでもその攻撃を確認しました。本ブログ記事では、Cringの攻撃手法で用いられている技術および最も被害を受けている地域・業界について報告いたします。トレンドマイクロ製品では、Cring本体の実行ファイルを「Ransom.Win32.CRING.C」などとして、C#ベースで作成されたCringの検体を「Ransom.MSIL.CRYNG.A」などとして検出します。

■ Cring攻撃で用いられる技術

図1：Cring攻撃の感染チェーン

(さらに…)

情報窃取型マルウェア「FormBook」がOffice 365ゼロデイ脆弱性(CVE-2021-40444)を悪用

トレンドマイクロでは、2016年以降、拡散されている情報窃取を行うマルウェア「FormBook」の最新バージョンを使用した新たな攻撃を検出しました。過去数年、macOSの拡張サポートを始め、FormBookに関する複数の解析結果が公表されています。FormBookは高度に難読化されたペイロードであり、文書ファイルの脆弱性を悪用していることでよく知られています。最近までFormBookの攻撃では、CVE- 2017-0199が利用されていましたが、新たなFormBookの亜種は、最新のOffice365ゼロデイ脆弱性（CVE-2021-40444）を利用しています。

(さらに…)

「クリプターサービス」で大量のRATを送り付ける攻撃キャンペーン「Water Basilisk」

投稿日:2021年10月8日
脅威カテゴリ:不正プログラム, メール, フィッシング, サイバー攻撃, 攻撃手法
執筆:Trend Micro

トレンドマイクロは、被害者のシステムに大量の遠隔操作ツール（RAT）を送り付けるファイルレス攻撃キャンペーンを確認しました。この攻撃では「クリプターサービス」である「HCrypt」の派生系が使用されていました。「クリプター」とは、攻撃者が自身の使用するマルウェアの検出回避/困難化の目的で使用する、暗号化/難読化用ツールです。HCryptは「Crypter-as-a-service」（クリプターサービス）として認識されており、検出困難化のためのクリプター/多段化ジェネレーターです。攻撃者はサービスにお金を払って選択したマルウェアに最適な難読化を施し、多段のロード手法によるファイルレス活動を行うためのスクリプトを入手します。今回確認したHCryptの新しいサービスでは、過去に確認したものと比べて、新たな難読化メカニズムが使用されていました。今回の攻撃は2021年8月中旬に活動のピークを迎えていましたが、これまでに観測されたものとは異なる新たな難読化の手法や攻撃ベクタが確認されています。

(さらに…)

サイバー攻撃グループ「APT-C-36」による南米諸国へのメール攻撃を解説

2019年、トレンドマイクロは、コロンビアを拠点として、南米諸国の企業に対してメール攻撃を展開していると思われる攻撃者についてブログ記事を公開しました。この攻撃者は「APT-C-36」、或いは「Blind Eagle」と呼ばれることもあります。本ブログ記事では、トレンドマイクロがAPT-C-36の動向の追跡中に確認したメール攻撃に関する新たな調査結果を共有します。

A delivery email impersonating Colombia’s national directorate of taxes and customs

図1：APT-C-36によるコロンビア政府税関当局を偽装した攻撃メール例

(さらに…)

マルウェアがSSL/TLS証明書を悪用する手口を解説

投稿日:2021年10月5日
脅威カテゴリ:不正プログラム, 攻撃手法
執筆:Trend Micro

近年のマルウェアは、自身のネットワークトラフィックを隠匿するために暗号化を行うことが増えています。一般的なネットワーク通信の暗号化が普及していることを考えると、これは当然のこととも言えます。Googleの透明性レポートでは、Google Chromeブラウザを経由するネットワークトラフィックの大部分はHTTPSトラフィックであることが報告されています。

トレンドマイクロでは過去6年間で、汎用性の高いマルウェアおよび標的型攻撃に用いられるマルウェアの両方で暗号化が多用されていることを確認しています。これらの暗号化は、検出回避や暗号化された通常のトラフィックに不正な通信内容を混入させるために行われます。マルウェアだけでなく、Cobalt Strike、Metasploit、Core Impactなどの商用のペネトレーションテスト（侵入テスト）ツールでも暗号化が用いられています。これらの事例における証明書の利用は多くの場合、SSL/TLS暗号化通信で通常使用されるX.509証明書の利用にまで及びます。

(さらに…)

標的型RATと同一のファイルレス活動を持つMac向けアドウェア「Bundlore」を解析

投稿日:2021年10月1日
脅威カテゴリ:不正プログラム, 攻撃手法
執筆:Trend Micro

リモートアクセストロジャン（RAT）である「NukeSped」のサンプルの調査中、トレンドマイクロは、NukeSpedに散見されるものと同一のファイルレスルーチンを使用している「Bundlore」アドウェアのサンプルを複数検出しました。

RATであるNukeSpedを拡散させているのは標的型の攻撃者であるLazarusとされています。Lazarusは2014年以降、活発に攻撃を展開しています。NukeSpedの亜種は複数確認されており、多くは32ビットシステム上で稼働するように設計されています。検出回避を狙う活動として、暗号化された文字列を使用しています。最近では、Lazarusによるサイバー諜報活動の一環として、NukeSpedをより複雑化した「ThreatNeedle」と呼ばれるRATも出現しています。次に、Bundloreは、正規アプリのダウンロードを偽装し、ターゲットのデバイスにアドウェアをインストールするマルウェアファミリーです。本サンプル中から検出した、暗号化されたMach-Oファイル（macOSでの実行可能形式ファイル）は、Bundloreアドウェアのステルス活動をメモリに内在する脅威、つまりファイルレス活動へとアップグレードしていました。また、BundloreはmacOS向けのアドウェアであり、昨年は当時の最新バージョンであるmacOS Catalinaでの攻撃が確認されていました。

(さらに…)

攻撃者グループ「StrongPity」がAndroidマルウェアを用いた標的型攻撃を開始か

投稿日:2021年9月29日
脅威カテゴリ:不正プログラム, 攻撃手法
執筆:Trend Micro

トレンドマイクロでは最近、シリア電子政府サイト上に掲載された悪意あるAndroidマルウェアのサンプルに関する調査を実施しました。トレンドマイクロでは攻撃者グループ「StrongPity（別名：PROMETHIUM）」の犯行の可能性が高いと考えています。また、弊社の知る限り、同グループが攻撃の一環としてAndroid向け不正アプリを使用していることが確認されたのは、今回が初めてです。

本ブログ記事では、Androidマルウェアに関連した同グループの攻撃の戦術・技術・手順（TTP）および今回の攻撃活動の帰属が攻撃者グループ「StrongPity」であると判断した理由について取り上げます。

(さらに…)

YouTuberを狙う詐欺が出現、手口を解説

投稿日:2021年9月28日
脅威カテゴリ:メール, フィッシング, 攻撃手法
執筆:Trend Micro

個人のアカウント情報を窃取するフィッシング攻撃が流行する中、YouTuberを標的とした詐欺活動を確認しました。この詐欺活動の目的は、YouTuberのアカウントの認証情報を窃取することです。今回は、このYouTuberを狙う詐欺活動について解説します。

(さらに…)

Page 1 of 5512 › »