「正規サイトを見ただけで感染する」攻撃が継続して発生しています。このエクスプロイトキットと呼ばれる脆弱性攻撃ツールを使用した脆弱性攻撃サイト(EKサイト)に国内のインターネット利用者を誘導する攻撃手法について、トレンドマイクロでは継続した監視を行っています。今回は、不正広告や正規サイト改ざんなどの手法で正規サイト利用者を EKサイトへ誘導して感染させる、まさに「正規サイトを見ただけで感染する」攻撃手口の、国内での現状をお伝えします。
続きを読む2016年はランサムウェアが世界中で猛威を振るい、個人・法人を問わず多くのユーザがその脅威にさらされました。トレンドマイクロでは、国内の法人組織におけるランサムウェアの被害状況を把握するべく、2016年6月に国内法人ユーザを対象とした「企業におけるランサムウェア実態調査 2016」を実施し、その結果、「自組織がランサムウェアの攻撃に遭ったことがある」と回答した割合が 25.1%にのぼるなど、その深刻な実状が浮き彫りになりました。
続きを読む「CERBER」の作成者およびこのランサムウェアを利用するサイバー犯罪者は、自身の利益をより増やすことに余念がないようです。このランサムウェアは、バージョン 4.0から、企業に大きな影響を与えるデータベースファイルの暗号化機能を追加しています。整理された情報を保管する収納庫であるデータベースは、企業が保持する情報を保管・検索・分類・分析・管理することを可能にします。効果的に利用すれば、企業の効率アップに役立つデータベースですが、これらの重要なファイルを人質に取られれば、ビジネスの運営と収益に損害を受ける恐れがあります。
続きを読むゼロデイ脆弱性を利用する攻撃ツールは、その脆弱性が修正されればたちまち威力を失います。攻撃者は、更新プログラムが公開されてしまう前に、自身の攻撃ツールを最大限に活用しようと考えるようです。そのような例として、トレンドマイクロは、2016年10月末と 11月初旬に、諜報活動を目的とした集団「Pawn Storm」が、世界中の政府機関や大使館を狙った標的型攻撃を活発化するのを確認しました。標的型サイバー攻撃キャンペーン活動で知られる Pawn Storm は、「Fancy Bear」、「APT28」、「Sofacy」、「STRONTIUM」という別名でも知られています。Pawn Storm は、Adobe Flash Player に存在するゼロデイ脆弱性「CVE-2016-7855」を、Microsoft Windows のオペレーティングシステム(OS)の抱える権限昇格の脆弱性「CVE-2016-7255」と組み合わせて攻撃に利用します。なお、「CVE-2016-7855」の更新プログラムは 2016年10月26日に、「CVE-2016-7255」の更新プログラムは 2016年11月8日に公開されました。
続きを読むトレンドマイクロは、不正広告キャンペーン「AdGholas(アドゴラス)」について、ProofPoint の Kafeine氏と共に調査してきました。そして、ProofPoint は、2016年7月末、この調査結果を同社ブログ上にて報告しました。問題の不正広告キャンペーンは、2015年に開始され、最も活発な時には 1日当り百万人にものユーザに影響を及ぼし、その後 2016年に入り活動停止しました。この一連の不正広告活動において、エクスプロイトキット「Angler Exploit Kit(Angler EK)」と「Neutrino Exploit Kit(Neutrino EK)」が利用され、また、画像の中に不正コードを埋め込み隠ぺいする、「steganography(ステガノグラフィ)」の手法が利用されていました。
続きを読むコマンド&コントロール(C&C)のサーバに正規サービスを利用することは、検出を回避するためによく利用される手法です。ランサムウェアは、通常、収集した情報を自身のC&Cサーバへそのまま送信しますが、中にはそうでないファミリも存在します。例えば、暗号化型ランサムウェア「cuteRansomware(キュートランサムウェア)」は、ユーザの PC から収集した情報を送信するために、Google の文書・表計算・プレゼンテーション作成アプリケーション「Googleドキュメント」を利用します。
続きを読む暗号化型ランサムウェア「CERBER」は、2016年3月に確認されて以来、最も広く拡散している悪名高いランサムウェアの1つとなっています。「CERBER」は、拡散の手法として、クラウドサービスや Windows スクリプト ファイルの利用、あるいはランサムウェア以外の活動「分散型サービス拒否(DDoS)攻撃」の機能などを取り入れてきました。「CERBER」がまん延している理由の一つに、「サービスとしてのランサムウェア(Ransomware as a service、RaaS)」として、絶えず売買されていることが挙げられるでしょう。
続きを読む暗号化型ランサムウェア「Locky」ファミリは、2016年2月に確認されて以来、注目度の高いランサムウェアの1つとなっています。そしてブラジルのアンダーグラウンドで販売されたり、様々なエクスプロイトキットにより拡散されたりしてきました。また、拡散の手法にマクロや JavaScript、VBScript、Windows スクリプトファイルといったファイルを利用することで知られています。そして今回、トレンドマイクロは、DLLファイルを利用する「Locky」を新たに確認しました。
続きを読む