年以来活動が確認されている標的型攻撃キャンペーンです。「Taidoor」は、これまでは主に台湾の政府機関を標的としたキャンペーンであると考えられてきました。年末から日本の複数の組織を標的とした「Taidoor」の活動を確認しています。このような日本を標的とした「Taidoor」の活動が、今後も継続していくことが懸念されます。年末から日本での「Taidoor」の活動を確認しました。攻撃は日本の複数の組織に及んでおり、ソーシャルエンジニアリングを駆使した標的型メールを主な侵入口として、「SIMBOT」や「EXFRAM」といったバックドアを感染させます。感染後はハッキングツール「MIMIKATZ」を用いた認証情報の窃取などの巧妙な手口も確認されています。アドレスや、認証プロキシに用いるための認証情報がハードコードされた検体も確認しており、ある攻撃で窃取した情報を次の段階の攻撃で活用している様子がうかがえます。サーバとして利用する検体も確認されています。これらは正規サイトを利用することで、ネットワーク上のセキュリティ製品による検知・ブロックの回避を狙う手口と見られます。「Taidoor」の攻撃が既に侵入済みかどうかは以下の情報を確認することで判断可能です。対し、ユーザが意図しないアクセスが発生していないか確認します。「Taidoor」に関連する不正プログラムの検出が無いか、対策製品のログを確認します。トレンドマイクロ製品では、「Taidoor」に関連する不正プログラムを以下のファミリ名で検出しますので、ご使用のトレンドマイクロ製品のログからこれらの検出有無を確認してください。Inspector」では、「Taidoor」に関連する不正プログラムが行う不審なネットワーク上の挙動を以下のルールで検出可能です。Inspector」をご使用の場合は以下のルールでの検出有無を確認してください。(Request)■被害に遭わない・被害を拡大させないためには「Taidoor」の初期侵入方法として、不正ドキュメントを添付した標的型メールの事例を確認しております。実行することで、前述のバックドアなどの不正プログラムをダウンロードして感染させます。これを防ぐために、以下の対策の実施を推奨します。製品のマクロ機能を無効化することを推奨します。グループポリシにて、マクロの設定を「警告を表示せずにすべてのマクロを無効にする」に強制することにより、ユーザが誤ってマクロを有効化し、感染へと至ることを防ぐことが出来ます。マクロが埋め込まれた添付ファイルをメールゲートウェイのサンドボックスで検査マクロが埋め込まれた不正ドキュメントについて、メールゲートウェイ製品にてサンドボックスでの検査を行い、不審な動作を行った場合にはメールをブロックします。これにより、マクロ機能を悪用する不正ドキュメントがユーザまで配信され、感染へと至るリスクを低減させることが出来ます。Analyzer」を連携させることにより本対策が実施可能です。利用してインターネットからさらなる不正プログラムをダウンロード・インストールすることを防ぐことが出来ます。ロギング機能を有効化することを推奨します。行うことを推奨します。攻撃で利用された通信先が業務で利用しないドメインであった場合、プロキシサーバや監視機器等にて当該ドメインへの通信を監視することを推奨します。Inspector」をご利用の場合、拒否リストに「監視のみ」として登録することで、通信を監視することが可能です。「MIMIKATZ」などのパスワード取得ツールも併せて発見された場合、そのツールを用いて得た認証情報を用いてさらなる攻撃が実施される可能性が高いものと考えられます。したがって、当該端末で利用したユーザアカウントのパスワード変更を推奨します。ドメイン管理者の認証情報が窃取された可能性がある場合は、権限の高いユーザのパスワード変更を推奨します。「BIFROSE」を標的型攻撃で確認、Torを利用し検出がさらに困難に。