ソーシャルメディアやインスタントメッセージの利用率が高まる一方、電子メールは依然として企業組織にとって重要なコミュニケーションツールとして利用されています。残念なことに、電子メールの普及は、サイバー犯罪者にとっても好ましい状況となっています。本記事では、4種類の電子メールを利用する脅威：スパムメール、フィッシング、なりすまし、ビジネスメール詐欺（BEC）について解説しています。
続きを読むトレンドマイクロでは 2017 年 1 年間における国内外の脅威動向について分析を行いました。結果、2017 年は様々なサイバー犯罪において特筆すべき変化が起こった「転換期」に位置づけられる年であったと言えます。
2016 年に過去最大規模の被害を発生させた「ランサムウェア」の攻撃総数は、2016 年のおよそ 10 億件から 2017 年はおよそ6億件へと減少しました。しかし、ランサムウェア自体はサイバー犯罪者にとっての「ビジネス」として完全に定着すると共に、より効果的な攻撃を実現させるための攻撃手法の多様化が見られました。2017 年新たに登場した「WannaCry」は 5 月に脆弱性を利用したネットワークワーム活動を取りいれ、6 月以降も継続して拡散を拡大しています。また、既存の「LOCKY」や「CERBER」のような既存のランサムウェアは度重なる改変による多機能化などから、より攻撃しやすいツールとしてサイバー犯罪者に継続して利用されました。これら新旧のランサムウェアの代表である「WannaCry」、「LOCKY」、「CERBER」の 3 種のファミリーでランサムウェア検出台数全体の約 7 割を占める一方、残りの 3 割は「その他」ファミリーによるものであり多種多様なランサムウェアによる小規模な攻撃の多発を示しているものと言えます。
図：全世界におけるランサムウェアファミリー別検出台数推移
新登場の「WannaCry」が単体で全体の 57% を占める一方、
2016 年登場の「CERBER」と「LOCKY」で合わせて 12% を占めた
トレンドマイクロでは 2017 年第 3 四半期（7～9 月）における国内外の脅威動向について分析を行いました。サイバー犯罪者はここ数年、ランサムウェアのように凶悪な脅迫手段を使用して金銭を強奪していました。その傾向は現在も続いていますが、この第 3 四半期には仮想通貨発掘ツール（コインマイナー）のような比較的穏やかな金銭獲得手法も目立ちました。仮想通貨価格の高騰や「Monero」のような新興で発掘効率のよい仮想通貨の存在などがサイバー犯罪者の目を仮想通貨に向かせている状況と言えます。
図：日本からアクセスのあった脆弱性攻撃サイトの全体数とそのうちコインマイナーを拡散するサイト数の推移
トレンドマイクロは、2017年9月にも、古くからあるオンライン銀行詐欺ツール「EMOTET（エモテット）」がそのような不正なマクロを利用した手法で金融機関以外の業界や新しい地域へと対象を拡大する活動について報告しました。
不正なマクロと PowerShell を利用する「EMOTET」の感染フロー
北朝鮮のインターネットは、ハッカーが北朝鮮国内から国外にアクセスするのみで、外からはアクセス不可能な一方通行のネットワークだと一般には考えられているようです。2014 年の「Sony Pictures」に対するハッキングや、各国銀行を襲ったサイバー銀行強盗は、北朝鮮の攻撃者によるものだと報告されています。これらの事例と北朝鮮を関連づけるために入手可能な公開情報は、北朝鮮の IP アドレス空間からのインターネット通信です。同国のインターネットは厳しく管理されており、ネットワーク内の PC が攻撃を受けることも無いと考えられているかもしれません。では、国外のサイバー犯罪者が管理するボットが 1 年以上にもわたって北朝鮮で活動できた理由は何でしょう。通常のマルウェアが北朝鮮の PC を感染させることは可能なのでしょうか。また、北朝鮮に割り振られた IP アドレスはすべて同国で使用されているのでしょうか。本記事では、これらの問いについて調査することにより、北朝鮮によるものだと考えられていた攻撃について得られた知見を解説します。
続きを読む韓国を標的とした新しい暗号化型ランサムウェア「MAGNIBER（マグニバー）」（「RANSOM_MAGNIBER.A」および「TROJ.Win32.TRX.XXPE002FF019」として検出）が確認されました。MAGNIBER は、攻撃者が保有するドメインまたはサイト上の「malvertisement（不正広告）」を介し、脆弱性攻撃ツール（エクスプロイトキット）「Magnitude Exploit Kit （Magnitude EK）」によって拡散します。Magnitude EK は、拡散するランサムウェアを「CERBER」から MAGNIBER に変更し、対象を韓国のユーザに特化したようです。
続きを読む2016 年はランサムウェアが世界中で猛威を振るい、個人・法人を問わず多くのユーザがその脅威にさらされました。トレンドマイクロが 2016 年 8 月に国内法人ユーザを対象に実施した「企業におけるランサムウェア実態調査 2016 」の結果からも、約 4 人に 1 人が「自組織がランサムウェアの攻撃に遭ったことがある」と回答しており、深刻な実状が浮き彫りになっています。2017 年に入っても「WannaCry」による被害が世界中で発生するなど、引き続きランサムウェアは法人組織にとって深刻な脅威です。今回はこうしたランサムウェアの歴史を振り返るとともに、最新の脅威状況を踏まえ、今後予測される動向について解説します。
続きを読む「PowerShell」 は Microsoft が 開発した多目的のコマンドラインシェルおよびスクリプト言語です。これを利用して、さまざまなプログラムや Windows OS の標準機能が実行できます。目立たないようにバックグラウンドで動作させ、実行ファイルを利用せずに PC の情報を取得することが可能です。サイバー犯罪者にとって、このような PowerShell の特徴は魅力的です。PowerShell を利用した注目すべき事例としては、2016 年 3 月に確認された暗号化型ランサムウェア「PowerWare」や、同年4月に確認されたマルウェア「Fareit」の亜種があります。サイバー犯罪における PowerShell の利用は増加傾向にあるため、その対策についてもセキュリティ管理者の間で周知が進んでいます。
しかし、サイバー犯罪者は Windows ショートカットファイル（「.LNK」拡張子）から PowerShell スクリプトを実行する手法を駆使し、セキュリティ管理者の対策より一歩先を行っているようです。LNK ファイルは通常デスクトップやスタートメニューのショートカットとして使用されますが、早くも 2013 年には LNK ファイルを悪用した攻撃が確認 されています。2017 年初旬には、最終的に暗号化型ランサムウェア「Locky」をダウンロードするトロイの木馬型マルウェアがLNKファイルを偽装するために二重に ZIP 圧縮したファイルを利用していたことを確認しています。
続きを読む暗号化型ランサムウェア「CERBER（トレンドマイクロでは「RANSOM_CERBER」ファミリとして検出対応）」は、初めて検出報告が確認されてから 1年が経過し、いまや最も活発なランサムウェアファミリとして周知されています。「CERBER」は、2016年3月に初めてロシアのアンダーグラウンド市場で確認されて以来、ファイル構造、手法、各種機能など、サイバー犯罪者に何度も更新されており、中には「CERBER 4.1.5」など、わずか 1日で更新されたケースもありました。その勢いは、「LOCKY（「RANSOM_LOCKY」ファミリとして検出対応）」など、他のランサムウェアファミリの影が薄くなる程度に及びました。
「CERBER」は、入手しやすさの点で他の暗号化型ランサムウェアとの差別化を図りました。サイバー犯罪者は、いち早く「Ransomware as Service（サービスとしてランサムウェア、RaaS）」のビジネスモデルを導入し、購入可能なランサムウェアとしてサイバー犯罪者に周知させました。こうして CERBERの背後にいるサイバー犯罪者は、被害者が支払った身代金の分け前から利益を得ることになり、その割合は最大で身代金の 40％にも及びました。こうした努力の結果、いまや「CERBER」はサイバー犯罪の「ドル箱」となり、2016年だけで実に 20万米ドル（2017年4月18日のレートで約2,218万4,000円）を稼いだと報じられています。
こうして大きな利益をもたらし、かつカスタマイズ可能であることから、「CERBER」のさまざまなバージョンが登場したのも不思議ではありません。弊社のクラウド型セキュリティ基盤「Trend Micro Smart Protection Network（SPN）」で「CERBER」の影響範囲を確認したところ、企業および個人ユーザ双方において圧倒的に米国へ集中していました。業界別では、教育、製造、公共、テクノロジー、保健医療、エネルギー、運送などが影響を受けていることを確認しています。
続きを読む
