マクロ実行のサポートを段階的に廃止しています。マクロとは別のベクトルについて調査を行っています。アドイン)を使用するベクトルです。サポートされてきましたが、攻撃に使用されるようになったのは比較的最近のことです。使用しており、その数は増え続けています。Applications(VBA)マクロを利用し続けています。アプリケーションの脆弱性もエクスプロイトしてきた目的は、ユーザーの介入なしに悪意のあるコードを起動するためです。マクロの実行をブロックすることをデフォルトの動作にするよう強く求めてきました。アプリケーションを展開し始めました。アプリケーションは、以前よりもはるかに厳格な意思決定プロセスを踏むようになっています。Web(MOTW)タグがある場合は、マクロを有効にするかユーザーに確認することさえしません。ファイルがインターネットからダウンロードされたことを示す代替データストリームです。ライセンス版と非ライセンス版のさまざまなバージョンがあり、世界中で使用されています。アプリケーションのユーザーインターフェイスからは実行できなくなりました。してマクロを実行でき、これらのバージョンが段階的に廃止されるまでには長い時間がかかります。コードを含むドキュメントを使用した攻撃は防がれるようになるでしょう。狙われなくなるはずだと考えるのは早計です。アプリケーションに導入する別の手段を特定することを目的としています。マルウェアの作成者は、おそらくすでに何らかの手段を使用しているものと考えられます。アドインとして導入することが可能です。アプリケーションに追加すればアプリケーションの外観や機能を強化できます。ドキュメントか、コンパイルされた機能を含むモジュールの形式で提供されます。ライブラリ(DLL)の形式です。指定された特定の場所にアドインをドロップする必要があります。自身のプロセス空間にロードしようとします。場合は、デフォルトの動作が少し異なります。ファイルを開こうとします。アドインのデフォルトのファイル拡張子だからです。ファイルを読み込む前に、悪意のあるコードが含まれている可能性があるという警告を表示します。ドキュメントを開くと危険なコードである可能性があることを伝えるメッセージが表示されますが、それと同様のアプローチです。警告を無視しがちなユーザーが多いため、残念ながら多くの場合、悪意のあるコードに対する保護としては効果がありません。ファイルは電子メールで送信できます。通常のマルウェア対策スキャン手段を使用していたとしても、悪意のあるコードが含まれている可能性があることに気付いていないユーザーがファイルを開く可能性があります。複数のイベント処理関数を実装します。アプリケーションが発生させたときに呼び出されます。攻撃者は、自動開始機能を使用して、悪意のあるマクロコードを起動できます。研究者が疑問を抱くとすれば、これと同じような方法で使用できる同様の機能がアドインにあるか、また、アドインファイルが開かれたときにコードを起動するよう実装できる機能はあるかということでしょう。プラグインに関係しています。ファイルを使用していた攻撃者にはすでに知られている機能です。使用に切り替えたかどうかを明らかにすることです。ライブラリ(DLL)にすぎません。エクスポートされた特定の関数を実装できる点にあります。アドインマネージャによって呼び出されます。計算などをネイティブの速度で実行できるユーザー定義関数(UDF)を作成することも可能です。ソフトウェア開発キット(SDK)を使用して開発します。アドインを開発することもできます。実装する必要があります。よって読み込まれる際にこのアドインコードが呼び出されるようになります。ヘッダーファイルとライブラリで構成されています。関数を呼び出せるようにするものです。ヘルプファイル形式のファイルを引き続き使用できます。する機能は使用されていません。関数を呼び出したときに悪意のあるコードを実行するようになっています。おけるユーザーベースのアプリケーション開発の事実上の標準になったという事情もあり、多くの開発者にとって、古いコンパイル言語での開発はなじみがないかもしれません。アドインを作成できるプロジェクトがいくつか存在します。してマルウェアの作成者に採用されています。関数を含むスタンドアロンファイルにコンパイルされます。関数にネイティブエクスポートをマッピングします。いくつか含まれる場合があります。接続するというタスクを実行します。インターフェイスのインスタンスを開発者が作成する必要があります。よって自動的に呼び出される関数にマッピングする関数のデフォルトの実装をオーバーロードする関数を定義することもできます。インターフェイスと、サンプルを蓄積している内部リポジトリを使用して悪意のあるファイルを検索することはそれほど難しくありません。検索する基本的な方法は次のとおりです。ファイルの場合、状況が多少異なります。超えるエクスポートが含まれています。関数が含まれますが、エクスポートについてはすべてのインデックスが作成されるわけではありません。ファイルは検索結果に出てこないということです。見られるエクスポートされた関数名で検索します。検出ルールに簡単に変換できます。ファイルを検出するためのものです。検出するためのものです。ベースのファイル)の数を月単位で長期間追跡できます。使用していたことが明らかになりました。サンプルの広範な検索を行うことにしました。最初に出現し始めた時期を確認するとともに、それらを使用していたグループやマルウェアファミリを経時的に把握するためです。年に入って初めて送信されたサンプルを対象として検索を行いました。送信されていましたが、いずれについても悪意があると最終的に分類することはできませんでした。テストサンプルが送信されました。年半ばのことと思われます。ファイルは散発的に使用されただけで、大幅に増加することはありませんでした。セクターに特別な関心を向けています。年の初めには活動を始めていました。送信されたサンプルです。プロセス空間に挿入する機能があります。あることが知られています。緩やかにつながっています。米国に拠点を置く公益事業セクターの組織や、中東とアフリカの外交組織を主な標的とすることで知られています。情報を初めて公開しました。ステージについても取り上げられています。エクスポートが含まれています。呼び出しによってトリガーされます)。カシミールの非営利組織やパキスタン政府関係者を標的にしていることで知られています。カシミールは、インド、中国、パキスタンが領有権を巡って紛争中の地域です。ペイロードを使用してきました。アップロードしました。インプラントで確認されています。ペイロードとして完全に機能するために必要なものです。ロシアで活動する金銭目的の脅威グループです。ペイロードとさまざまな感染手法を駆使しています。主な目的は、自分たちのために金銭的利益を得ることです。(添付ファイルとして送信)。40127.xll」となっていました。このファイルは、次のステージのダウンローダーとして機能します。ダウンローダーには興味深い点があります。フレームワークで作成されたと思われるのです。ライブラリであることが分かりました。関数がオリジナルから変更されており、攻撃者が制御するホストに接続して追加のコンポーネントをダウンロードするコードが含まれています。年後半に最大のピークを迎えています。ネイティブにコンパイルされたシンプルなライブラリです。投稿され、公開されている大量のペイロードのリストからペイロードの場所を選択します。「サービスとしてのマルウェア」として入手できる比較的安価なパスワード窃盗プログラムです。フォームで保存されている)パスワードを盗んだり、スクリーンショットを取得したりすることができます。企業から送信される請求書を装った電子メールの添付ファイルとしてユーザーの元に届きます。ファイルを開くと、悪意のあるダウンローダーが起動します。ダウンローダーはかなりシンプルです。含む特定の文字列リソースを検索します。感染ベクトルとして使用する注目すべきコモディティ型マルウェアファミリは他にも存在します。ついて脅威検出を実行した結果、ハンガリーのユーザーを標的とした電子メールが見つかりました。この電子メールはハンガリー警察からの公式メッセージを装っており、次のような内容となっています。ブダペスト地区警察です。御社の評判を知り、ご連絡しました。年の予算(添付)のため、御社の見積を必要としています。予算については、ハンガリー政府の内務省が共同出資しています。日までに見積を送ってください。ペイロードをダウンロードします。サンプルをホストするようになりました。デジタル広告分野のユーザーを標的とする情報窃取マルウェアであり、ベトナムで活動している攻撃者が作ったものと考えられています。メッセージを使用して攻撃対象になり得る相手に連絡してくることで知られています。攻撃者は、獲得したアクセス権を使用して広告を掲載し、金銭的利益を得ます。以上)を使用して共有されます。使用して作成されています。プロセス空間にロードされます。ワークブックがドロップされて開きます。情報窃取マルウェアのペイロードをダウンロードして実行します。マクロコードの実行を防止することを決定しました。その結果、新たに発見される悪意のあるドキュメントの数は徐々に減少していく可能性があります。実行がサポートされているため、今回の変更のメリットをすべてのユーザーが享受できるようになるまでにはしばらく時間がかかるはずです。アプリケーションを使用して悪意のあるコードを起動できます。ファイル)について説明し、初期の使用状況から現在までの進化を見てきました。アドインはかねてから存在していましたが、攻撃者が使用していることを検知できていませんでした。年半ばになってからです。使用が大幅に増加しています。他の形式に切り替えていくものと思われます。アプリケーションのプロセス空間で悪意のあるコードを起動する手法を取るようになるでしょう。ファイルを追跡していきます。ファイルを採用した場合には、その動向についてご報告します。カバレッジ今回の脅威は、以下の製品で検出してブロックすることが可能です。Endpoints)は、この記事で説明したマルウェアの実行を阻止するのに最適です。無料トライアルはこちらからお申し込みください。メールセキュリティ)は、攻撃の一環として攻撃者が送りつける不正な電子メールをブロックします。無料トライアルはこちらからお申し込みください。NGFW)アプライアンスは、この脅威に関連する悪意のあるアクティビティを検出できます。Cloud)は、ネットワークトラフィックを自動的に分析し、接続されているすべてのデバイスで、望ましくない可能性があるアクティビティをユーザーに警告します。Grid)は、悪意のあるバイナリを特定し、シスコのすべてのセキュリティ製品に保護機能を組み込みます。接続をブロックします。セキュリティアプライアンス)は、危険性のあるサイトを自動的にブロックし、ユーザーがアクセスする前に疑わしいサイトを検査します。ユーザーに多要素認証を提供し、承認されたユーザーのみがネットワークにアクセスできるようにします。購入可能な最新のルールパックをダウンロードすることで、最新状態を維持できます。シグネチャを使用できます。実行し、エンドポイントが特定の脅威に感染しているかどうかを確認できます。ついては、次のリンクをご参照ください。