マルウェアレポートこの記事をシェア11月の概況2021年11月(11月1日~11月30日)にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含んでいます。2021年11月の国内マルウェア検出数は、2021年10月と比較して微減しました。検出されたマルウェアの内訳は以下のとおりです。本表にはPUAを含めていません。11月に国内で最も多く検出されたマルウェアは、JS/Adware.Agentでした。JS/Adware.Agentは、悪意のある広告を表示させるアドウェアの汎用検出名です。Webサイト閲覧時に実行されます。(Europol)によってテイクダウンが報告*3されたマルウェア「Emotet」について、およそ10ヶ月ぶりに活動再開が確認*4されました。ESET製品では活動再開したEmotetおよびそのダウンローダーを、「Win32/Emotet」、「DOC/TrojanDownloader.Agent」などの検出名で検出します。これらの検出数は11月半ば頃から増加しており、Emotet再開の影響を窺うことができます。<ダウンローダー>・DOC/TrojanDownloader.Agent・VBA/TrojanDownloader.Agent・VBA/TrojanDropper.Agent<汎用検出名>・GenScript・Generik他11月に活動再開したEmotetおよびそのダウンローダーに関連する検出数の推移(検出数が最も多い11月26日を100%として表示)Emotetの感染経路としては、以下の4つのパターンが確認*5*6されています。Emotetに感染した別の端末から横展開されて感染マルウェア「Trickbot」によってダウンロードされることで感染このうち活動再開後から出回っているダウンローダーについて、サイバーセキュリティラボではWordファイルやExcelファイル、これらを内包したパスワード付きZIP圧縮ファイルという3つの形式を確認しています。BleepingComputerこれまでに確認されているEmotetの感染経路11月から出回っているEmotetダウンローダーの例ダウンローダーの実行からEmotet感染までの挙動については、テイクダウン前の検体と比較して大きな変化はありません。Officeファイルの「コンテンツの有効化」を行うと、不正なVBAマクロが実行されます。続いてPowerShellにコマンドが渡され、複数の通信先に対して順に接続を行います。通信が成功するとDLLファイル形式のEmotetがダウンロードされます。最後にrundll32.exeを使用してEmotetが実行されます。今回確認した挙動では、ダウンローダーが実行されるとEmotetをダウンロードし、「%ProgramData%\」配下に配置します。ダウンロードされたEmotetはrundll32.exeを使用して自身を4回起動*7し、最終的にC&Cサーバーに対して通信を行います。rundll32.exeに関して、1回目はランダムな文字列、2回目はEmotet本体のエクスポート関数として定義されている「Control_RunDLL」という文字列を引数*7にしてEmotetを実行します。2回目の実行によって、Emotetは「%ProgramData%\」配下から「%LocalAppData%\(ランダムな文字列)\」配下にファイルロケーションが変わります。3回目は1回目と同様にランダムな文字列、4回目は2回目と同様に「Control_RunDLL」という文字列を引数*7にしてEmotetを実行します。テイクダウン前のEmotetは、C&Cサーバーへの通信時にHTTPプロトコルを使用していました。活動再開後のEmotetでは、HTTPSプロトコルが使用されていることを確認しています。Emotetの起動回数やrundll32.exeの引数は、実行環境によって異なる可能性があります。不正なマクロが実行されてからC&Cサーバーに通信するまでの挙動C&Cサーバーに対してHTTPSプロトコルで通信を試みている様子テイクダウン前のEmotetはEpoch1、Epoch2、Epoch3と呼ばれる3つのボットネットを形成することで猛威を奮っていましたが、Europolを含む世界各国の機関によってこれらのボットネットが無害化されたため、Emotetによる脅威は収束したと考えられていました。Trickbot経由でEmotetに感染する動きが11月に報告*8されたことで、活動再開が認知されるようになりました。同時にEpoch4やEpoch5と呼ばれる新たなボットネットが形成され、Emotetに感染した端末からマルスパムが配信されるようになったと推測されます。今後はEmotet感染端末が増加し、大規模な攻撃キャンペーンが展開される可能性も考えられるため注意が必要です。ご紹介したとおり、Emotetの活動再開が確認されましたが、感染対策としては2021年1月のテイクダウン前のEmotetと同様です。不審な電子メールを受信した場合、添付ファイルを開かないことやURLリンクにアクセスしないことが重要です。Officeファイルを開いてしまった場合でも、コンテンツを有効化しないよう注意してください。Software常日頃からリスク軽減するための対策について各記事でご案内しているようなリスク軽減の対策をご案内いたします。下記の対策を実施してください。ESET製品の検出エンジン(ウイルス定義データベース)をアップデートするESET製品では、次々と発生する新たなマルウェアなどに対して逐次対応しています。最新の脅威に対応できるよう、検出エンジン(ウイルス定義データベース)を最新の状態にアップデートしてください。1-2.複数の層で守る1つの対策に頼りすぎることなく、エンドポイントやゲートウェイなど複数の層で守ることが重要です。脆弱性への対応2-1.セキュリティパッチを適用するマルウェアの多くは、OSに含まれる「脆弱性」を利用してコンピューターに感染します。Update」などのOSのアップデートを行ってください。Readerなどのアプリケーションにも含まれています。各種アプリケーションのアップデートを行ってください。2-2.脆弱性診断を活用するより強固なセキュリティを実現するためにも、脆弱性診断製品やサービスを活用していきましょう。セキュリティ教育と体制構築3-1.脅威が存在することを知る「セキュリティ上の最大のリスクは“人”だ」とも言われています。知らないことに対して備えることができる人は多くありませんが、知っていることには多くの人が「危険だ」と気づくことができます。3-2.インシデント発生時の対応を明確化するインシデント発生時の対応を明確化しておくことも、有効な対策です。何から対処すればいいのか、何を優先して守るのか、インシデント発生時の対応を明確にすることで、万が一の事態が発生した時にも、慌てずに対処することができます。最新の脅威に対抗するためには、日々の情報収集が欠かせません。弊社を始め、各企業・団体から発信されるセキュリティに関する情報に目を向けましょう。同じ業種・業界の企業は、同じ攻撃者グループに狙われる可能性が高いと考えられます。同じ攻撃者グループの場合、同じマルウェアや戦略が使われる可能性が高いと考えられます。Center)における情報共有は特に効果的です。かたるフィッシングについての注意喚起2024.10.29WESTERをかたるフィッシングについての注意喚起アクセスランキングアクセスランキングスマホがウイルスに感染!?不安に思ったら試したい5つの方法そのウイルス警告は本物ですか?iPhoneが発する警告表示の意味とは?アクセスするだけでも危険な海賊版サイト。ある、キヤノンマーケティングジャパン株式会社が提供しています。