2021の日本語訳です。Security脅威インサイトレポートの2021年H1版へようこそ。Securityが2021年上半期に隔離した注目すべきマルウェアをレビューしています。レポートでは、ファイル共有サイトからダウンロードされるハッキングツールの増加、エグゼクティブをターゲットにした複数ステージのVBSダウンローダーの分析、攻撃者がインフォスティーラーを再利用して他のマルウェアを配信することなどを紹介しています。検知された上位のファミリー、エクスプロイトされた脆弱性、配信ファイルタイプ、Eメールのルアーなど、最新のマルウェアの傾向についても詳しく解説しています。脅威インサイトレポートの2021年1H版へようこそ。Securityが特定したマルウェアの傾向を紹介し、セキュリティチームが新たな脅威に対抗し、セキュリティの状態を改善するための知識を身につけられるようにします。[1]マルウェアを使った攻撃の多くは金銭的な動機に基づいています。脅威アクターは、自分のアクセスを収益化するための最短ルートを探しています。インフォスティーラー(情報窃盗型マルウェア)やリモートアクセス型トロイの木馬(RAT)の場合は、被害者のコンピュータに保存されている情報を売ることが一般的です。Directoryドメインに接続されている場合は、システムがラテラルムーブ(横展開)が可能な大規模ネットワークの一部であることを示しているので、攻撃者は自分のアクセス権を他の脅威アクターに売却することも増えています。サイバー犯罪者の不正アクセスに対する要求は、ランサムウェアのアフィリエイトがネットワークへの侵入口を必要としていることにより、非常に高まっています。通信手段や追跡困難な暗号通貨などの技術向上により、組織犯罪として直接的に、あるいは不正な商品やサービスの取引によって間接的に、脅威アクター同士が協力し合うことが容易になっています。その結果、資金力の乏しい脅威アクターが販売した不正アクセスが、資金力と経験豊富なランサムウェア・アズ・ア・サービス(RaaS)のアフィリエイトの手に渡ってしまう可能性があります。このように、1つのシステムへの最初の侵害が、事業継続に大きな影響を与えるインシデントへと発展してしまいます。Securityのテレメトリーでは、2020年下半期と比較して、ファイル共有サイトやアンダーグラウンドフォーラムからダウンロードされたハッキングツールが65%増加しています。リソースなどの脅威アクターを駆り立て、犯罪を可能にする要因を検討することです。ハッキングツールの使用数の増加は、攻撃者の意図、すなわち攻撃を実行したいという欲求とそれが成功するだろうという期待の増加を示していると考えられます。サイバー犯罪のエコシステムの中でハッキングツールが広く利用されていること、すなわち攻撃者が自由に使えるリソースがあることを示しています。ハッキングツールが簡単に手に入るようになった背景には、マルウェアの海賊版や「クラッキング」が蔓延し、開発者が意図していなくても、誰もが無償でツールを使用できるようになっていることがあります。知識の共有も、我々のハッキングツールの脅威評価に繰り入れます。アンダーグラウンドのフォーラムやチャットルームは、脅威アクターが戦術、技術、手順(TTP)を共有したり、盗んだデータや不正アクセスを売買したりするための理想的なプラットフォームとなっています。MBAのクラッキング・コピーをダウンロードするユーザーを検知しました。行うために使用されます。MBAの機能には、CAPTCHAチャレンジやWebアプリケーション・ファイアウォールなど、Webサイトのセキュリティ対策を回避する機能が含まれています。攻撃者は、あらかじめバンドルされている光学文字認識(OCR)のコンピュータ・ビジョン・モデルを使用するか、攻撃中にサードパーティのCAPTCHA解決サービスのAPIを照会するようにツールを設定することができます。MBAを使用するための設定やヒントを共有するための活発なフォーラムが多数存在しており、このようなツールの人気と、この種のサイバー犯罪への参入障壁の低さを示しています。Script(VBS)マルウェア・キャンペーンを隔離しました。ターゲットは、姓と名の入った電子メールで悪意のあるZIP添付ファイルを受け取ります。名前と電子メールアドレスは、オンラインで公開されている情報から入手したものと思われます。この添付ファイルには、難読化されたVBSダウンローダーが含まれており、リモートサーバからユーザの%TEMP%フォルダに2つ目のVBSスクリプトをダウンロードします。第一ステージのスクリプトは高度に難読化されており、検知率が低く、VirusTotalに掲載されているアンチウイルススキャナのうち、21%しか悪意のあるものとして検知しませんでした。第2ステージは、Windowsに組み込まれた正規のfile転送ツールであるBITSAdminを使ってダウンロードされます。land(環境寄生型)と呼ばれる戦術を採用しており、OSの管理ツールや機能を利用して悪意のある行為を行い、検知の可能性を低くしています。Host(cscript.exe)でfileを実行するスケジュールタスクを作成します。ControllerがBITSAdminダウンロードコマンドを表示している隔離されたVBSダウンローダのサンプル第2ステージでは、BITSAdminを使用して3つ目の難読化されたVBSファイルを%LOCALAPPDATA%Tempにダウンロードします。ダウンロードされたファイルのサイズに応じて、第3ステージでは、VBSファイルまたはポータブル実行ファイル(おそらく最終的なペイロード)として実行されます。攻撃者のコマンド&コントロール(C2)インフラストラクチャは、解析時に第3ステージを活発には展開していなかったため、どのようなマルウェアが配信されるかを確認することはできませんでした。Securityは、7カ国(チリ、イタリア、日本、パキスタン、フィリピン、英国、米国)の企業を対象とした悪質なスパムキャンペーンを隔離しました。Format)ドキュメントが含まれていました。エクスプロイトに成功すると、このドキュメントは感染したシステム上にRemcosをダウンロードして実行しました。脅威アクターは、ダイナミックDNSサービス(gotdns[.]ch)のサブドメインをC2サーバーとして使用しました。Remcosは、感染したコンピュータにバックドアアクセスを与える市販のRATです。配信するキャンペーンを検知しました。ドロップするために使用されました。関連するマルウェアの一種です。脅威アクターは、情報収集型ハッキングツールを使って他のマルウェアを展開するなど、必ずしも開発当初ではない目的に使用することで、マルウェアやその他のツールを日常的に再利用しています。SecurityマイクロVM内で安全に、CryptBotがDanaBotをダウンロードし実行しているプロセスインタラクショングラフ汎用的インフォスティーラー型マルウェアでコードの再利用が多発Snakeは、2020年11月下旬に初めて発見されたモジュール型の.NETキーロガーおよびクレデンシャルスティーラーです。Researchチームは、このマルウェアファミリーをRTFやアーカイブ添付ファイルで配布する悪質なスパムキャンペーンを定期的に確認しています。Snakeのコードを分析したところ、過去2年間に活動していた他の4つのキーロガー・ファミリーとの間に類似点があることが判明しました。既存のマルウェア・ファミリーのソースコードを日和見的にコピーするというこの「リミックス」行動は、サイバー犯罪者が独自のマルウェア・アズ・ア・サービス・ビジネスを作ることがいかに容易であるかを示すものであり、企業の防御がマルウェア開発者の先を行くことの重要性を示しています。Foxエクスプロイトキット(EK)の隔離されたサンプル数が増加していることがわかりました。Securityが、顧客の情報漏洩を防ぎました。Explorerのメモリ破壊の脆弱性(CVE-2021-26411)を悪用しようとしていました。このエクスプロイトのコードは、2021年3月中旬に公開された概念実証(PoC)に類似していました。Foxに侵害されるリスクを負う前に、パッチを当てるわずかな時間しかありませんでした。Foxに遭遇したのは、以下の用語を検索した後です。us)をクリックすると、いくつかのリダイレクトを経由してエクスプロイトを配信しようとするWebページに誘導されました。分析の過程で、すべてのケースでエクスプロイトが起動しなかったことに気づきました。これは、ジオフェンシングを使用して、どのシステムを侵害するを制御していたためと考えられます。イタリア、スイス、アイルランド、スウェーデン、日本が、感染チェーンを引き起こした国として挙げられていますが、これは網羅的なリストではありません。CVE-2021-26411の経緯を示すタイムライン注目すべきトレンドアーカイブは現在最も人気のあるマルウェア配信ファイルタイプ2021年上半期のマルウェア配信のファイルタイプは、アーカイブがトップで、2020年下半期からドキュメントを上回っています。file(.JAR)に切り替えたことが一因となっています。JARファイルを開くと、JAVAランタイム環境がインストールされている場合には、被害者のPC上でペイロードが解凍されて実行されます。私たちが目にした最も一般的なペイロードは、AdWindなどのアンダーグラウンド・マーケットプレイスで簡単に購入あるいは入手できる低コストのRATでした。メールが上位を占めており、攻撃者が個人ではなく企業をターゲットにしていることがうかがえます。.Z、.ARJ、.XZなど、通常とは異なる形式のアーカイブを利用して、汎用マルウェアを配信する攻撃も継続的に確認されています。攻撃者が特殊なファイルタイプを好む理由の1つは、メールゲートウェイのスキャナが、一般的でないフォーマットを使用したファイルを解凍して検査することができないため、悪意のあるメールがターゲットの受信箱に届く可能性が高くなることです。Securityが隔離した脅威マルウェアの配信に使用されたファイルタイプとしては、Excelのスプレッドシートが2番目に多く使用されました。これは、Dridex、IcedID、TrickBotなどのクライムウェアを配布する大規模な悪意のあるスパムキャンペーンによるものです。Excelのスプレッドシートを利用してFormbookのような汎用スティーラーを配布する攻撃者も見られましたが、その規模ははるかに小さいものでした。Securityのデータによると、クライムウェアのアクターは、マルウェアの配布にスプレッドシートを使用することを好み、小規模で組織化されていないアクターは、アーカイブの利用を好むようです。Securityのテレメトリーでは、Webブラウザを使用してダウンロードされた脅威が24%増加しました。これは、ユーザーがハッキングツールや暗号通貨のマイニングソフトウェアをダウンロードしたことが一部要因となっています。Securityが隔離した脅威の75%はEメールで配信されました。2021年上半期、脅威の約3分の1(34%)は、検知時にアンチウイルスによるスキャンのハッシュが不明であり、2020年下半期から4%減少しました。Securityによって隔離された悪意のあるEメールに使用されたルアーの約半数(49%)は、ビジネス取引をテーマにしていました。これは、サイバー犯罪者の組織化が進んでいる一方で、ユーザーは相変わらず同じ手口に引っかかり、危険なファイルをダウンロードしたり、悪意のある添付ファイルや危険なWebリンクをクリックしたりしていることを示しています。COVID-19をルアーとして使用したメールは、隔離されたメールの1%未満であり、この話題性のあるルアーは、ユーザを騙して悪意のあるリンクや添付ファイルをクリックさせる効果が低いことが示唆されています。マルウェア配信者は、クリック率を最大化したいというモチベーションを持っているため、様々な地域で汎用的に効果が証明されているルアーを使いたがります。法執行機関によるテイクダウンによりDridexがEmotetを追い抜く2021年1月27日に法執行機関によってEmotetがテイクダウンされる以前は、Eメールスレッド・ハイジャックと呼ばれる手法で、盗まれたEメールスレッドから作成されたルアーを使用して、日本の組織をターゲットにした大規模なEmotetキャンペーンが行われていました。テイクダウン後、Word文書を介して配布されるマルウェアの割合が大幅に減少しました。これは、Emotetの運営者がWordベースのダウンローダーを好んで使用していたためです。Securityが隔離したマルウェアファミリーのトップになりました。2012年にバンキング型トロイの木馬として誕生しましたが、2017年以降、Dridexの運用者は、優先的な収益化方法をランサムウェア攻撃に移行するケースが増えています。Emotetは関連する組織的脅威グループのマルウェアを配布することが知られており、そのビジネスモデルが、かつてバンキング型トロイの木馬により侵害したホストへのアクセスを販売することであることを示唆しています。Officeの古い脆弱性をエクスプロイトし続けており、企業が環境内の古いOfficeバージョンにパッチを当てる必要性を示しています。2020年下半期と比較して、2021年上半期には、CVE-2017-11882のエクスプロイトが24%増加しました。それ以外では、報告期間中に攻撃者によってエクスプロイトされた脆弱性に大きな変化はありませんでした。脅威アクターは習慣性があり、確立された行動パターンに従う傾向があります。Researchチームは、TA551とTA505という2つの脅威グループが使用するドメインを、マルウェアキャンペーンに使用される前に事前に検知する技術を発見しました。ドメインに含まれるキーワード・パターン、優先的に使用するDNSプロバイダー、ドメイン・レジストラを調査することで、これらのグループのドメイン・インフラストラクチャを特定することができました。TA505は、2014年に初めて確認された金銭的な動機を持つ脅威グループです。近年では、ランサムウェアCl0pを感染させて被害者から恐喝することで収益を得ています。このグループは通常、Get2やSDBBotといったマルウェアを使って被害者のネットワークにアクセスします。このグループは、キャンペーンの前に、マルウェアのコマンド&コントロールに使用する新しいドメインを登録していました。TA551は、2019年に入ってから活動を開始したマルウェア配布グループです。Ursnif、Valak、IcedID、Qakbotなどのマルウェアファミリーを拡散しているのが確認されています。Researchチームは、セキュリティチームが脅威から身を守るのに役立つ侵害の痕跡(IOC)、シグネチャ、ツールを定期的に公開しています。GitHubリポジトリからアクセスできます。Security脅威インサイトレポートは、脅威をHPと共有することを選択したお客様によって実現されています。HPに転送されたアラートは、当社のセキュリティ専門家によって分析され、それぞれの脅威に関する追加のコンテキスト情報が注釈されます。Forwardingを有効にします。これらの機能により、脅威のトリアージとラベリングを自動化するための脅威インテリジェンスの強化と、正確な検知と最新の攻撃手法に対する保護を保証するためのルールの自動更新が可能になります。詳細については、これらの機能に関するナレッジベースの記事をご覧ください。Controllerをアップデートすることで、新しいダッシュボードやレポート・テンプレートを受け取ることができます。最新のリリースノートとソフトウェアのダウンロードは、カスタマーポータルでご覧いただけます。Securityのエンドポイント・ソフトウェアを少なくとも年に2回アップデートし、当社の脅威研究チームが追加した検知ルールに対応してください。blogで、当社のセキュリティ・エキスパートが定期的に新しい脅威を分析し、その結果を共有しています。SECURITY脅威インサイトレポートについて企業は、ユーザーが電子メールの添付ファイルを開いたり、電子メール内のハイパーリンクをクリックしたり、ウェブからファイルをダウンロードすることに対して最も脆弱です。Securityは、リスクのあるアクティビティをマイクロVMに隔離することで、ホスト・コンピュータがマルウェアに感染したり、企業ネットワークに広がったりしないようにすることで企業を保護します。Securityは豊富なフォレンジックデータを収集し、顧客のインフラストラクチャの強化を支援します。Security脅威インサイトレポートでは、当社の脅威研究チームが分析した注目すべきマルウェア・キャンペーンを紹介しており、お客様が新たな脅威を認識し、環境を保護するための対策を講じることができます。メーカーが提供する新しいタイプのエンドポイント・セキュリティです。HPのハードウェアで強化されたセキュリティとエンドポイントに特化したセキュリティ・サービスのポートフォリオは、企業がPC、プリンタ、そして人を、取り囲むサイバー犯罪者から守るために設計されています。Securityは、ハードウェア・レベルからソフトウェアやサービスに至るまで、包括的なエンドポイントの保護とレジリエンスを提供します。Enterpriseなどが該当します。Chrome、ChromiumまたはFirefoxに対応しています。Office(Word、Excel、PowerPoint)およびPDFファイルが含まれます。ProまたはEnterpriseが必要です。HPのサービスは、ご購入時にお客様に提供または提示される、当該HPのサービスに適用される使用条件に準拠します。お客様によっては該当地域の法令に従ってその他の法的権利を有することもあり、その場合には当該権利はHPサービスお取引条件またはお使いのHP製品とともに提供されるHP限定保証条件による影響を一切受けません。完全なシステム要件については、以下を参照ください。Enterpriseが必要です。Controllerは、デバイスやアプリケーションに関する重要なデータを提供する管理・分析プラットフォームで、スタンドアロンサービスとしては販売していません。Type2の認証を受けています。HPクラウドへの接続が可能なインターネットアクセスが必要です。完全なシステム要件については、以下を参照ください。600に搭載された、追加コスト・追加インストールなしの標準装備されたHP独自の包括的なセキュリティ機能に基づいています。デバイスで利用可能です。Inc.によるレビューに基づきます。800-193ガイドラインに従って、攻撃を自動的に検知し、停止し、自己回復型リブートするセキュリティ機能を提供しています。対応製品のリストについては、hp.com/go/PrintersThatProtectをご覧ください。詳細については、hp.com/go/PrinterSecurityClaimsをご覧ください。Securityになりました。セキュリティ機能はプラットフォームによって異なりますので、詳細は製品データシートをご覧ください。Serucity監訳:日本HP本ブログで新しい記事が掲載された際にご指定のアドレスへメールが届きます。お申込みフォームはこちら≫エンドポイントのセキュリティ対策を強化し、組織や従業員を守ることができます。