マルウェアレポートこの記事をシェア5月の概況2024年5月(5月1日~5月31日)にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。2024年5月の国内マルウェア検出数は、2024年4月と比較して減少しました。検出されたマルウェアの内訳は以下のとおりです。本表にはPUAを含めていません。5月に国内で最も多く検出されたマルウェアは、JS/Adware.TerraClicksでした。JS/Adware.TerraClicksは、悪意のある広告を表示させるアドウェアの検出名です。Webサイト閲覧時に実行されます。5月に検出数が増加したWin64/TrojanDropper.AgentWin64/TrojanDropper.Agentは2024年5月に入り検出数が増加しました。詳細な検出数推移は後述します。Win64/TrojanDropper.Agentは、ドロッパーの1種です。ドロッパーとは、実行されるとドロッパー内部に含まれているマルウェアが端末内に展開されるマルウェアです。別のマルウェアへの感染を行うという動作からダウンローダーと混同されることがありますが、インターネット上からマルウェアをダウンロードするのがダウンローダーで、ダウンロードを行わずにマルウェアを展開するのがドロッパーという違いがあります。上記の図は、ダウンローダーとドロッパーの端末内部での動作の一例です。実際のマルウェアの場合は、セキュリティ製品による検知を避けるため複雑な段階を経てマルウェアに感染します。スクリプトやコマンドが複数回実行されるケースやドロッパーとダウンローダーを組み合わせるケースがあります。Win64/TrojanDropper.Agentの2024年1月以降における検出数推移は以下のとおりです。Win64/TrojanDropper.Agent(国内、2024年)※2024年1月の検出数を100%として比較2024年5月に大きく増加していることが分かります。検出は5月17日に集中しており、5月の本検出名の検出数の65%を占めていました。Win64/TrojanDropper.Agentには亜種が存在しており、中でもWin64/TrojanDropper.Agent.JUが本検出名の5月における検出数の89%を占めていました。増加した要因として考えられる理由は以下のとおりです。本ドロッパーをダウンロードするように改ざんされたWebサイトへ多数アクセス多くのユーザーが本ドロッパーがバンドルされたソフトウェアをインストール続いて、Win64/TrojanDropper.Agent.JUがどのような脅威であるかを紹介します。今回は実行時の特徴にフォーカスを当てています。Win64/TrojanDropper.Agent.JUについて今回調査したWin64/TrojanDropper.Agent.JUの実行時の特徴として、PowerShellを呼び出していることが挙げられます。実行されたのは、以下のコマンドでした。PowerShellで実行されたコマンドを整形したものWin64/TrojanDropper.Agent.JUは実行時に「file-任意の数字.putik」という名前のファイルを作成します。このファイルはAES暗号で暗号化されており、PowerShell上でAES暗号を復号するコマンドを実行します。最終的には、復号されたファイルが実行されます。悪意のあるファイルを暗号化して中身を隠ぺいすることで、セキュリティ製品による検知を回避してマルウェアを実行する、あるいはマルウェア解析を妨害するといった狙いが考えられます。今回調査したWin64/TrojanDropper.Agent.JUでは、情報窃取型マルウェアが展開されることを確認しました。今回紹介したドロッパーによる脅威、特にPowerShellを用いたマルウェア実行への対策は以下のとおりです。上記の中から1と2について設定による効果と設定方法を説明します。1PowerShellのポリシー機能を使った管理PowerShellには、PowerShellスクリプトの扱い方を定める実行ポリシーがあります。実行ポリシーを適切に設定することで、悪意のあるスクリプトの実行を防ぐことができます。PowerShellにコマンドラインを渡して実行するマルウェアの場合は、実行ポリシーが機能しない点に注意が必要です。Windows環境では、ローカルコンピューター、現在のユーザーや特定のセッションに対して実行ポリシーを設定することができます。グループポリシー機能を使うことで、組織全体で複数端末の実行ポリシーを管理することもできます。代表的な実行ポリシーと概要についてまとめた表を以下に示します。実行ポリシーの詳細はMicrosoft社のWebサイトを確認してください。Windowsクライアントでの既定の実行ポリシーWindowsクライアントでは、デフォルトでRestrictedポリシーが設定されており、スクリプトの実行はできません。場合によっては、組織内のユーザーが勝手に実行ポリシーを変更しないようにグループポリシーを使って管理することも検討してください。2PowerShellログ機能による監視PowerShellでは、操作をWindowsイベントログに保存することが可能です。グループポリシーで設定できるログには、PowerShellが呼び出すモジュールのログ、PowerShellが実行するスクリプトのログ、PowerShellでの入力と出力をテキストファイルに書き出すログがあります。このログを利用する場合、ファイルの保存先によっては攻撃者がテキストファイルの書き換えや削除をおこなう可能性に留意する必要があります。デフォルト設定では、テキストファイルは「マイドキュメント」フォルダに保存されます。組織内の各端末から管理者端末へテキストファイルを保存したい場合は、共有ファイルへ保存することで可能です。保存先のパスをOutputDirectoryで指定する必要があります。共有ファイルを利用する際は、ファイルへの権限付与に注意してください。紹介したログを監視することで、PowerShellによる脅威の早期発見に役立ちます。ここでは、グループポリシーによる設定方法を紹介します。トランスクリプションを有効にする」を有効化するまた、対策を講じる上で脅威について情報収集は欠かせません。セキュリティベンダーやIPA、JPCERT/CCといった機関から公表される注意喚起を確認してください。常日頃からリスク軽減するための対策について各記事でご案内しているようなリスク軽減の対策をご案内いたします。下記の対策を実施してください。ESET製品の検出エンジン(ウイルス定義データベース)をアップデートするESET製品では、次々と発生する新たなマルウェアなどに対して逐次対応しております。最新の脅威に対応できるよう、検出エンジン(ウイルス定義データベース)を最新の状態にアップデートしてください。1-2.複数の層で守る1つの対策に頼りすぎることなく、エンドポイントやゲートウェイなど複数の層で守ることが重要です。脆弱性への対応2-1.セキュリティパッチを適用するマルウェアの多くは、OSに含まれる「脆弱性」を利用してコンピューターに感染します。Update」などのOSのアップデートを行ってください。Readerなどのアプリケーションにも含まれています。各種アプリケーションのアップデートを行ってください。2-2.脆弱性診断を活用するより強固なセキュリティを実現するためにも、脆弱性診断製品やサービスを活用していきましょう。セキュリティ教育と体制構築3-1.脅威が存在することを知る「セキュリティ上の最大のリスクは“人”だ」とも言われています。知らないことに対して備えることができる人は多くありませんが、知っていることには多くの人が「危険だ」と気づくことができます。3-2.インシデント発生時の対応を明確化するインシデント発生時の対応を明確化しておくことも、有効な対策です。何から対処すればいいのか、何を優先して守るのか、インシデント発生時の対応を明確にすることで、万が一の事態が発生した時にも、慌てずに対処することができます。最新の脅威に対抗するためには、日々の情報収集が欠かせません。弊社をはじめ、各企業・団体から発信されるセキュリティに関する情報に目を向けましょう。同じ業種・業界の企業は、同じ攻撃者グループに狙われる可能性が高いと考えられます。同じ攻撃者グループの場合、同じマルウェアや戦略が使われる可能性が高いと考えられます。Center)における情報共有は特に効果的です。かたるフィッシングについての注意喚起2024.10.29WESTERをかたるフィッシングについての注意喚起アクセスランキングアクセスランキングスマホがウイルスに感染!?不安に思ったら試したい5つの方法そのウイルス警告は本物ですか?iPhoneが発する警告表示の意味とは?アクセスするだけでも危険な海賊版サイト。ある、キヤノンマーケティングジャパン株式会社が提供しています。