コンピユーターウイルス、マルウェア当ブログはアフィリエイト広告を紹介しています2021年3月からパスワード付きZIP添付ファイルから感染するマルウェアIcedID(アイスドアイディー)が拡大し多方面から注意喚起がなされています。撲滅されたEMOTETと同様、IcedIDは情報漏えい他多くの被害を生み出す危険なマルウェアですが、特徴や感染の手口を知っていれば、たったひとつのことだけ覚えれば確実に被害を防ぐことができます。IcedIDの特徴から感染の手口、対処方法や感染しない大原則までやさしくご説明します。セキュ...blog.trendmicro.co.jphttps://blog.trendmicro.co.jp/archives/27732IcedIDとは、2017年頃開発された添付ファイルを介して銀行や決済関連を狙うマルウェアです。2021年3月になって急速に拡大しています。IcedID当初はEMOTETに感染したパソコン経由でダウンロードされて使われていましたが、機能を向上させ、最近は単独で配布されています。EMOTETはセキュリティ対策ソフトの検知をすり抜けるため「パスワード付の添付ファイル」で送られるよう進化しましたが、IcedIDは当初より「パスワード付の添付ファイル」で送られており、すでに日本語メールに添付された例も発見されています。コーディネーションセンター(JPCERT/CC)から注意喚起が発表されています。phishing)」その亜流のBazarCall、ビッシングも拡大しはじめています。ブログ内の関連記事(新しいウィンドウで開きます)身に覚えのないメールやSMSに電話してはいけない。心当たりのない領収書や請求書メールが届いたので思わず電話をしようとしたことありませんか?それは電話させることを狙った詐欺の可能性があります!公的機関や銀行になりすまし、電話や音声通話とフィッシングを巧みに組み合わせた新たなサイバー詐欺「[...]急激に拡大するIcedID(アイスドアイディー)の特徴IcedID感染の特徴は?IcedIDはZIPで暗号化されパスワードがつけられた添付ファイルから感染するIcedIDは、以下のような体裁のメールの添付ファイルでユーザーの手元に届きます。特徴は以下の3点です。添付ファイルは、今のところマイクロソフトのWordのファイルで送られる。添付ファイルは必ずZIPで圧縮されたパスワード付添付ファイルになっている。メールの件名が「返信(Re:)や転送(FW:)」ではじまる。ユーザーが文面を信じて、添付されたWordのファイルを開き、マイクロソフトの「セキュリティ警告」を無視して「コンテンツの有効化」クリックすると感染しますただしこれは現時点での特徴で、犯人が工夫して変化し、特徴も変わる可能性があります。見せて判断を仰ぐように」「人事情報」など、さまざまな表現の偽造メールが作られて、添付ファイルをすぐに開くように誘導されました。IcedIDも同様に進化するはずです。IcedIDに感染したらどうなる?感染しても、IcedID自体はすぐに何もしません。IcedIDはEMOTETと同様、「高度な技術を用いて身を隠し、敵国に潜入したスパイのように、パソコンの中に潜むトロイの木馬」と呼ばれるマルウェアです。IcedIDは金融機関や支払の情報を狙うことが多く、「バンキングトロイ」とも呼ばれています。したがってユーザーは感染したことに全く気がつきません。IcedIDは通常のウイルスのようにすぐに独自の不正活動はせず、じっと潜みながら外部の犯人と目立たぬように交信を行い、指示にしたがって、不正プログラムをダウンロードしたり、不正な動作をします。感染しても自らの存在がばれないように、痕跡を隠す。密かに外部の犯人(C&Cサーバ)と交信し、感染したパソコンの概要(コンピユーター名、どんなソフトが動いているか?など)を伝える。感染パソコンの概要を知った外部の犯人が攻撃方法を決め、IcedIDに不正なプログラムを送り、攻撃命令を出す。IcedIDは不正なプログラムを受け取ると、ユーザーが金融機関やカード支払を行う際の表示を偽装したり偽サイトに誘導したりする攻撃手法(Webインジェクション、リダイレクト攻撃)により、金融情報や資格情報を盗み取る(バンキングトロイ)。「メールアドレスやパスワードなど個人情報の盗取」「不正なメール送信」「他のパソコンへの感染拡大」「ランサムウェア感染」などの犯人が指示した不正行為を拡大する可能性がある。以上の動作により、IcedIDはいったん感染するとなかなか発見されずに、長期間にわたっていろいろな不正を働くのです。■Androidスマホに感染してエモテットに似た不正活動をする「Joker」とは?ブログ内の関連記事(新しいウィンドウで開きます)アプリに潜むマルウェア「Joker」からAndroidアプリの弱点と対策を知ろう「Joker」というEMOTETと同様に「密かに感染して被害を広める」凶悪なマルウェアが広まっています。「Joker」の特徴はAndroidのアプリに潜入して広がることで、Google公式ストアでも感染したアプリが発見されています。[...]IcedID(アイスドアイディー)に感染しないため、ひとつだけ覚えていただきたいことWordの「セキュリティ警告」を決して見逃さない!IcedIDに感染しないためには、EMOTETと同様、以下の「たったひとつのこと」だけを覚えてください。★添付ファイルを開いた際に出てくる、下記の「セキュリティ警告」を見逃さず、「コンテンツの有効化」を決してクリックしない!!★IcedIDはユーザーが「コンテンツの有効化」をクリックしない限り感染しないIcedIDはEMOTETと同様、マルウェアの仕組み上、添付ファイルを開いただけでは感染しません。感染源となるメールには「IcedIDはまだ入っていない」のです。IcedIDの感染の仕組みは、以下の3つの段階を経て感染します。メールに添付されているWord(今のところExcelは発見されていません)など、マイクロソフトのOffice製品のファイルを開かせる。ユーザー自身に「コンテンツの有効化」ボタンを押させて、ファイルに仕込まれたマクロを動かす。マクロが外部よりIcedID本体をダウンロードしてはじめて感染する。ユーザーが上記の黄色い帯の右端にある「コンテンツの有効化」ボタンを押してマクロを動作させない限りIcedIDは感染しません。以下、Wordのファイルを開いた画面例でご説明します。上のような警告が出た際に、「これは危ない!」と「コンテンツの有効化をクリック」さえしなければ、IcedIDの感染は防げます。後は不正なメールとダウンロードした添付ファイルを完全に削除してしまえば安心です。WordやExcelののマクロって何?マクロとは、ソフトの動作を自動化する簡単なブログラムのことで、WordやExcelに標準搭載されており、少しOfficeに詳しい方は普通に使っている便利な機能です。Excelの表で作業する時、いつも同じ「検索」や「並び替え」といった操作を繰り返す時、これをマクロを使ってExcelに動作を指示すれば、Excelはワンタッチで、自動的に作業を繰り返してくれます。Wordにも同様の機能があり、入力を簡略化できます。マクロはオフィスソフトを使うときには大変便利な自動化の仕組みで、操作に慣れている人はしばしば使います。IcedIDはこのマクロ機能を悪用し、外部からIcedIDの本体をダウンロードさせて、パソコンに感染させてしまうのです。IcedIDはわざわざマクロを使うのか?昔は「添付ファイルを開いた途端に感染したり、画面を見ただけで感染する」ような、悪質なコンピューターウイルスがありました。今のパソコンやOSでは、セキュリティがかなり強化され、不正プログラムが侵入しようとすると、すぐに発見されて防御されるようになっています。そこで、無害なExcelやWordのマクロを使って、「ユーザーをもっともらしいメールでだまして、添付ファイルのマクロを使う許可をもらって、ダウンロードさせる」という、いわば原始的な方法で、最新のコンピューターの防御策を突破しているのです。2014年頃に登場した古いタイプのウイルスであるEMOTETやIcedIDがマクロを悪用しているのは、これが理由です。IcedIDはスマホ上(iPhone/Android共)では感染しないスマホやタブレット版にもExcelやWordは搭載されていますが、ファイル中のマクロはAndroidやiPhone(iOS),iPad(iPadOS)のスマホ上では実行することはできません。そのため今のところ、IcedIDもEMOTETと同様、スマホ上では感染しません。その他のIcedID(アイスドアイディー)に感染を防止する対策は?IcedIDの仕組みや弱点を知って感染防止対策をしようIcedIDは感染したらやっかいなウイルスですが、感染方法は原始的なため、特徴を逆手にとった有効な対応策が可能です。「パソコンなど機器やソフトウェア」と「使用するユーザーの心がけ」の2つの対策があります。対策1.機器やソフトウェアによる対策1.オフィス製品のマクロの自動実行はオフになっているか?確認する上に書いたとおり、IcedIDはWordのマクロを悪用して感染します。マクロの危険性はMicrosoftも分かっていますので、WordやExcelでは初期設定は「マクロは無効」になっていて、マクロの使用が必要で求められた時だけ、ユーザーに「警告」を出すよう設定されています。オフィスなどでマクロを多用する方が「いちいちと警告が出て有効化するのは面倒だ」とこの機能を解除している場合があります。非常に危険ですので、念のため「無効になっているか?」確認しましょう。WordやExcelの「ファイル」-「オプション」-「トラストセンター(またはセキュリティーセンター)」で簡単に確認できます。マクロを有効または無効にする方法について説明します。support.microsoft.comhttps://support.microsoft.com/ja-jp/office/office-ドキュメントのマクロを有効または無効にする-12b036fd-d140-4e74-b45e-16fed1a7e5c6【Wordの設定例(バージョンによって異なります)】2.信頼できるセキュリティ対策ソフトを入れる信用できる大手のセキュリティー製品をいれましょう。これらの製品は、「添付ファイル付きのメールが届く時」あるいは「マクロを実行してEMOTETがダウンロードされる際」に警告して感染を防いでくれる可能性があります。IcedIDやEMOTETのようなマルウェアは常に進化して変化しているため、セキュリティソフトの予防は万全とは言えません。この頃増えてきた「パスワード付ZIPで圧縮された添付ファイル」の場合、セキュリティソフトの検査ができないため、素通りされてしまいます。「セキュリティソフトを入れて入るから安心」とは決して思わないでください。UpdateなどOS、アプリのアップデートは常に実行する。IcedIDやEMOTETに限らず、コンピューターウイルスやマルウェアは、OSやアプリの欠陥・弱点(脆弱性)につけ込んで感染したり被害を生み出します。それを防ぐために、メーカーが提供するアップデートはできるだけ早く対応することが、セキュリティの基本です。ブログ内の関連記事(新しいウィンドウで開きます)コロナ対策とOSが一体化したiOS13.7そしてiOS14登場。その意義と使い方、COCOAも必要な理由は?2020年9月2日に新型コロナ対策に対応したAppleのiOS13.7、17日にはiOS14にバージョンアップされました。接触確認アプリCOCOAも引き続き必要です。接触感染通知アプリCOCOAと一体化した新しいiOSは何が画期的[...]対策2.メールに対して常時警戒する1.マルウェウの犯人は狡猾で知的レベルが高く、あなたの予想を超えた偽造をします。IcedIDは今のところ単純なメールに添付されてだけですが、先行するEmotetの攻撃では「添付ファイルを開かせるため、差出人や件名など本物のメールと区別がつかない、よくできた偽装メールを使う」ようになっています。何の疑いもなく添付ファイルを開かせて、さらに「コンテンツの有効化」をクリックさせなければならないのです。そのため、メールの本文の偽装はレベルの高いものを作るようになります。メールを盗み出し、参考にして、実在する発信者からの請求書とか見積書といった、それらしいメールを作り上げ、重要そうな添付ファイルを偽装しています。旅行会社が感染した際は経営トップが謝罪する事態になりました。万一感染した際にどれだけ大変な事になるかを考えて、「安易に添付ファイルを開いてコンテンツの有効化」をクリックするようなことはお控えください。セキュリティブログトレンドマイクロでは弊社を騙る不審なメールが、この9月3日前後から出回っていることを確認しました。弊社のサポートセンターからお客様へお送りするメールにファイルを添付することはありません。弊社から送付されたように見えるメールにおいてファイルの添付があった場合、添付ファイルは実行せず破棄いただきますようお願いします。blog.trendmicro.co.jphttps://blog.trendmicro.co.jp/archives/260492.メールの本文だけで判断して信用してはいけない上記のように、EMOTETでは本物のメールの文面を流用した精巧な偽造メールが多数確認されています。以下のような文面が確認されています。海外ではマイクロソフトよりのWordのアップグレードに見せかけて、「編集を有効にするをクリックし、コンテンツを有効にするボタンをクリックするように」と指示するEMOTETメールまで発見されています。今のところIcedIDのメールはシンプルですが、いずれEMOTETのように精巧な偽造メールが使われるようになると思われます。特定の企業を狙った攻撃では、犯人はまず企業で使われているメールを盗み出して、差出人や文面を流用することまでします。日本の有名航空会社や大手旅行会社が狙われた手口では、日常的にやりとりされているメールに偽装され、どう読んでも不正メールとは見えないように作られていました。「メールへの返信ではない、電話などの別の手段」で発信元に真偽を問い合わせる」などしてから対処しましょう。3.パスワード付の添付ファイルは使用しない。「パスワードで暗号化されたZIPファイル」を添付し「別メールでパスワードを送る」手法(PPAP方式)は、企業間でしばしば使われています。暗号化のため、セキュリティ対策ソフトが添付ファイルの中を調査できないため、マルウェアが通り抜けてしまいます。IcedIDの犯人もそこを狙って、パスワードで暗号化されたZIPファイルにIcedIDを仕込んでいます。アメリカの公的機関CISAからは「パスワード付の添付ファイルは危険なので、企業は届かないようにブロックすべき」とまで発表されています。そもそも添付ファイルを暗号化し、パスワードを別メールで送る方法は、セキュリティ的にもあまり意味がありませんので、そろそろ見直し、使用を中止すべきです。メールでパスワード付き添付ファイルを送り、パスワードを後から送る方法(いわゆるPPAP)は、26日から廃止する。PPAPはセキュリティ対策や受け取った側の利便性から適切ではない。代案としては民間のストレージサービスのファイル共有機能を使う。ブログ内の関連記事(新しいウィンドウで開きます)平井大臣も断言「パスワード付きZIPファイルの添付は無意味!」ルールを見直し正しい運用をはじめよう。「何の意味があるのかな?」と思いつつも、毎日設定して送信している方も多い「パスワード付きZIPファイルの添付」のルール(PPAP方式)を平井デジタル改革担当相が「中央官庁では廃止する」発表しました。平井卓也デジタル改革担当相が中央省庁の職員が文書データの送信で使用するパスワード付きzipファイルを廃止する方針であると明らかにした。「デジタル改革アイデアボックス」の意見を採用した。平井卓也デジタル改革担当相がメールでパスワード付きファイルを送り、パスワードを別送する方法(いわゆるPPAP)について、11月26日から内閣府、内閣官房で廃止すると発表した。今後、外部ストレージサービスなどを活用し、ファイルを外部と共有する。NEWShttps://www.itmedia.co.jp/news/articles/2011/24/news097.html「この添付ファイルはバスワード付きだから安心」などとくれぐれも誤解しないようにしてください。4.添付ファイルを開いて、コンテンツの有効化はクリックしない何度もご説明したとおり、メールの添付ファイルを開いた際に、以下の警告が出た場合は、絶対確実な場合以外は、決して「コンテンツの有効化」をクリックしてはいけません。クリックして何かダウンロードして入れてしまった時は!?マルウェアか不正ソフト/アプリをインストールされてしまった可能性があります!!スマホのアプリインストール履歴を調べて不正なアプリを削除しましょう。Androidの場合は、不正なアプリが不明な場合や、削除しても何らかの悪影響が残る場合もありますので、至急以下のような無料で使える大手のセキュリティ対策ソフトを入れて対応しましょう。どの製品も30日程度の無料試用又は格安で試用できますので、試用版を入れて不正なアプリやマルウェアがインストールされていないかスキャンして調査・駆除してください。※セキュリティアプリはiPhoneには存在しません。※セキュリティ対策ソフトはあなたを守ります。無料試用後も引き続きお使いになるよう強くお薦めします。同時にスマホのキャリア決済やクレジットカードの利用履歴などを不正利用されていないかも調べてください。不審な場合はすぐに発行元に届け出て取引を停止してもらいましょう。JPCERTコーディネーションセンター」様がつくった感染チェックツール「EmoCheck」がありました。IcedIDは似ていても構造が違うためemocheckは使えません。現時点でIcedIDに使える無料のチェックツールはありません。感染したら一般的なウイルス対策ソフトで発見・駆除はできる。IcedIDは「パスワードで暗号化されたZIPファイル」の形で添付されているため、今のところ一般的なセキュリティ対策ソフトでは検知できません。不審な添付ファイルを開かない添付ファイルを開いて、コンテンツの有効化はクリックしないしなしことが対策となります。感染した時点で、ほとんどの場合セキュリティ対策ソフトが検知し駆除してくれるはずです。定評あるセキュリティ対策ソフトを必ず導入しましょう。オンラインでスキャンしてくれるサービスもあります届いたメールの不審なURLや添付ファイルをスキャンしてくれるオンラインサービスがあります。おすすめは下記のGoogleが運営している「VIRUSTOTAL」。なんと全世界の100種類近くのセキュリティサービスを同時に使って徹底的にスキャンしてくれますのでかなり安心。不審な添付ファイルを「VIRUSTOTAL」にアップロードすると、スキャンして素性を確認してくれます。使い方は以下の当社ブログ記事をご覧ください。個人情報を盗んだり、ウイルスを感染させようする詐欺メール(フィッシングメール)や詐欺SMS(スミッシング)、そして「SNSのメッセンジャーで友達から届く詐欺動画」など、あなたをだますメッセージが毎日たくさん飛んできます。変な日本語もなく[...]まとめ:IcedID(アイスドアイディー)は脅威だが、実は感染を防ぐことは容易IcedIDはEMOTETと同様、進化した強力なマルウェアですが、感染の仕組みは「人の隙につけ込んだソーシャルエンジニアリング的」な手口で感染するので、各自が注意することで、容易に感染を防ぐことができます。添付ファイルを慎重に扱うべき事は、IcedIDやEMOTETに限らず、現在では当然のルールであり、慣れるしかありません。してもマクロが含まれたメールを送る時は、別途内容について打ち合わせる添付ファイルを暗号化してパスワードをつける事は止めるなど、仕事のルールも見直して配慮しつつ感染拡大を防ぎましょう。ブログ内の関連記事(新しいウィンドウで開きます)誰もが直面するソーシャルエンジニアリングの危険~Twitter大規模アカウント乗っ取りから学ぶ2019年7月16日、オバマ前大統領やビル・ゲイツ氏など世界的な有名人の公式アカウントが乗っ取られ、偽Twitterメッセージが全世界に送られて大きな被害が発生しました。「犯行の手口はソーシャルエンジニアリング」とされています。ソ[...]「私のスマホやパソコンがハッキング、感染しているかも、、」本当にハッキングされているか確実に調べる方法は?ネット上のデマや悪質業者の広告を信じてはいけない!当ブログでご説明しているとおり、スマホやパソコンに突然現れる「ハッキングやウイルスの警告」は広告目的の詐欺警告がほとんどです。まれとは言え、時には「不正なアプリをインストールされた」「アカウントを乗っ取られた」などが原因で本当にハッキングされることもあります。「本当にハッキングされているかも、、」とどうしても心配なときは、ハッキングやウイルス感染などの調査を行っている専門会社に調査を依頼しましょう。ネットで調べると、ハッキング調査を探偵や興信所が行っているところが見つかりますが、パソコンやスマホのセキュリティが強化されている現在、ログ解析などのハッキング調査は高度な技術と実績を持つ専門家しかできません。正確な情報を安全に調べるには、ハッキング調査の専門業者に相談しましょう。信頼も厚い、国内随一の高い技術と実績を持つサービスです。累計の相談件数は1万4,000件以上。国内売上11年連続No.1のデータ復旧技術を利用して、デジタル遺品の調査・データ抽出を受け付けています。相談~調査の見積もりまでは無料で対応してくれるので、まずは一度相談してみるとよいのではないでしょうか。「※本サイトはアフィリエイト広告を利用しています。志信(デジタルキーパー株式会社代表)当記事についての取材、講演やセミナーのご依頼を承りますお問い合わせデジタルキーパー株式会社デジタルを安全に使用し、デジタル資産を正しく継承する「デジタルキーピング」を普及し、正しい情報と便利なサービスを紹介しています。Keeper®」は株式会社デジタル金庫に事業譲渡し2022年再スタートしました!当社SNS。「異常なアクティビティによりウィンドウズがロックされました」はサポート詐欺。app)はいらない!~広告や課金目的の不要で悪質アプリにだまされない「次へ」「Continue」「次のページへ」「続ける」「開く」などのボタンを押すと出てくるウイルス警告はサポート詐欺!正しい対処方法とは?サイトのカテゴリー(目次)デジタル終活講座36デジタル終活はなぜ必要?14デジタル終活の方法20データの安全な保存方法14デジタルエンディングノート3SNSのデジタル終活4サイバー犯罪対策115ワンクリック詐欺3スマホとアプリの安全41偽警告・迷惑通知21サポート詐欺20性的詐欺・脅迫9フィッシング詐欺メールSMS23迷惑メール12不正ログイン不正アクセス11SNSの危険と対策13ウイルス・マルウェア情報8詐欺サイト・偽通販10心を狙うサイバー犯罪10子供を守る11高齢者を守る11デジタルの安全対策の基本42セキュリティ対策の基本28アップデート更新情報3信頼できるツール・アプリ8プライバシー保護6パスワードの安全対策23強いパスワードとは?11最強の二段階認証7パスワード管理ツール(パスワードマネージャーを使おう5おしらせ6デジタルキーパー株式会社デジタルを安全に使用し、デジタル資産を正しく継承する「デジタルキーピング」を普及し、正しい情報と便利なサービスを紹介しています。Keeper®は株式会社デジタル金庫に事業譲渡し2022年再スタートしました!当社SNS。「このコンピューターへのアクセスはセキュリティ上の理由でブロックされています」はサポート詐欺。「異常なアクティビティによりウィンドウズがロックされました」はサポート詐欺。【緊急】LINEのセプンイレブンやイオンの「お年玉プレゼント」は高額な海外SMS代金をだまし盗られる詐欺。年賀状作成の検索時に出てくるウイルス警告は偽警告。株式会社デジタル金庫/デジタルキーパ。