トレンドマイクロは、2019年1月1日、サイバー犯罪集団「Magecart」による活動の急増を検出しました。Magecartは、電子商取引（eコマース）サイトに不正なコードを注入し、ユーザが入力した支払い情報を窃取する攻撃で知られている集団です。トレンドマイクロは同集団の監視を続けてきましたが、これまで目立った動きは確認されていませんでした。

今回確認された攻撃では、277のeコマースサイトで、ユーザが入力した情報を窃取する「スキミングコード」（「JS_OBFUS.C」として検出）が読み込まれていました。調査の結果、このスキミングコードは対象のWebサイトに直接注入されていたわけではなく、フランスのオンライン広告企業「Adverline」が提供するJavaScriptライブラリに注入されていたことが判明しました。トレンドマイクロは迅速にAdverlineに連絡し、同社はフランスのコンピュータ緊急事態対策チーム「CERT La Poste」の協力を受けて直ちに必要な措置を講じました。

図 1：Webスキミング活動による不正なドメインへのアクセス検出数
（トレンドマイクロのクラウド型セキュリティ技術基盤
「Trend Micro Smart Protection Network（SPN）」の統計に基づく）

今回の攻撃を確認した時点で、トレンドマイクロの機械学習および挙動検出技術により、不正なダウンローダ（「Downloader.JS.TRX.XXJSE9EFF010」として検出）はプロアクティブにブロックされていました。

(さらに…)

ある情報を画像のような別の情報の中に隠ぺいする手法は「steganography（ステガノグラフィ）」と呼ばれています。サイバー犯罪者は、セキュリティ対策ソフトによる検出を回避してマルウェアを拡散するために、以前からステガノグラフィを利用してきました。トレンドマイクロが最近確認した事例では、攻撃者が人気SNSに投稿したインターネットミームにマルウェアへのコマンドが隠ぺいされていました。インターネットミームとは、インターネットを通して拡散する画像や語句を指す言葉です。

■人気SNSを利用してマルウェアに指令

今回確認されたマルウェア（「TROJAN.MSIL.BERBOMTHUM.AA」として検出）の攻撃者は、2018年10月25日と26日の2回、Twitterにコマンドを隠ぺいしたミームを投稿していました。投稿に利用されたアカウントは2017年に作成されたものです。本記事執筆時点（2018年12月14日）で、このアカウントはTwitterによって停止されています。

図 1：コマンドを隠ぺいしたミームが投稿されたTwitterアカウント

(さらに…)