2016年10月以降、トレンドマイクロではランサムウェアの頒布を目的とした日本語マルウェアスパムの流布を継続して確認していることは、11月10日の記事でお伝えしました。このサイバー犯罪者が新たに日本を標的とし始めたことを示す事例について、今回は続報として確認された日本語メールのまとめと頒布されるランサムウェア自体についての解析をお伝えします。
![図1:](/wp-content/uploads/2016/11/161118comment01.jpg)
図1:マルウェアスパムの添付PDFファイルの例
2016年10月31日以降、トレンドマイクロではランサムウェアの拡散を目的とした日本語マルウェアスパムの流布を確認しており、総務省などからも注意喚起が公表されています。これまで、日本でのランサムウェアの拡散は主に英語メールによるものであり、世界的なばらまき型のマルウェアスパムが流入しているものと言えました。日本語マルウェアスパムによるランサムウェアのアウトブレイクと確認できたものは、2016年4月の事例のみと言えます。今回の日本語マルウェアスパムも、トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network(SPN)」の統計によれば、日本国内で 30件ほどしか確認されておらず、あまり広い範囲に流布されているものではないと考えられます。しかしトレンドマイクロでは、今回と同様の手口の日本語マルウェアスパムを 10月以降に繰り返し確認しており、ランサムウェアを使用するサイバー犯罪者が新たに日本を標的とし始めたこと示すひとつの兆候であるものと考えています。
本ブログ記事では、これまでもモバイル利用者を脅かす様々なサイバー脅威についてお伝えしています。しかし、大きな被害事例が継続して報告されている PC の危険と比べ、モバイル端末を利用する際の危険についてはまだまだ浸透していないのが現状ではないでしょうか。本連載ではトレンドマイクロの事件対応と調査分析から判明している、最新のモバイル脅威事情をお伝えいたします。
サイバー犯罪者の視点で考えた場合、現在、金銭を狙う攻撃として最も成功している攻撃手法は「ランサムウェア」であることは間違いありません。2016年9月現在、PC におけるランサムウェアによる被害は増加の一途を辿っていますが、サイバー犯罪者にとって成果を上げやすい攻撃手法は、より対象を拡大させていく傾向にあります。既に3月18日のブログ記事で紹介しているように、ランサムウェアの攻撃は PC の利用者に加え、スマートフォンやタブレットといったモバイル端末利用者へも範囲を拡大させています。
続きを読むコマンド&コントロール(C&C)のサーバに正規サービスを利用することは、検出を回避するためによく利用される手法です。ランサムウェアは、通常、収集した情報を自身のC&Cサーバへそのまま送信しますが、中にはそうでないファミリも存在します。例えば、暗号化型ランサムウェア「cuteRansomware(キュートランサムウェア)」は、ユーザの PC から収集した情報を送信するために、Google の文書・表計算・プレゼンテーション作成アプリケーション「Googleドキュメント」を利用します。
続きを読む暗号化型ランサムウェア「CERBER」は、2016年3月に確認されて以来、最も広く拡散している悪名高いランサムウェアの1つとなっています。「CERBER」は、拡散の手法として、クラウドサービスや Windows スクリプト ファイルの利用、あるいはランサムウェア以外の活動「分散型サービス拒否(DDoS)攻撃」の機能などを取り入れてきました。「CERBER」がまん延している理由の一つに、「サービスとしてのランサムウェア(Ransomware as a service、RaaS)」として、絶えず売買されていることが挙げられるでしょう。
続きを読む暗号化型ランサムウェア「Locky」ファミリは、2016年2月に確認されて以来、注目度の高いランサムウェアの1つとなっています。そしてブラジルのアンダーグラウンドで販売されたり、様々なエクスプロイトキットにより拡散されたりしてきました。また、拡散の手法にマクロや JavaScript、VBScript、Windows スクリプトファイルといったファイルを利用することで知られています。そして今回、トレンドマイクロは、DLLファイルを利用する「Locky」を新たに確認しました。
続きを読む