継続的なアタックサーフェス(攻撃対象領域)の監視により、コンプライアンスに準拠します。詳しくはこちらクラウドネイティブアプリケーションの保護クラウドネイティブアプリケーションの保護クラウドネイティブなアプリケーションの開発スピードを阻害しないセキュリティを提供します。詳しくはこちらハイブリッドクラウド環境を保護ハイブリッドクラウド環境を保護オンプレミスからクラウドへの移行をはじめ、ハイブリッドクラウド環境をシームレスに保護しながら、クラウドの利点を実現します。詳しくはこちらボーダーレス環境をセキュアにボーダーレス環境をセキュアにID、エンドポイント、メール、モバイル、Webを保護し、ユーザが使用するツールから生じるリスクを軽減します。詳しくはこちらネットワークの死角をなくすネットワークの死角をなくすクラウドからデータセンタ、工場フロアまで、ネットワーク全体を保護します。脅威の把握と対処を加速し、SOCおよびITセキュリティチームの負担を軽減します。積極的なリスク軽減対策とマネージドセキュリティサービスで効果を最大化します。しくはこちらCISOCISO市場をリードするXDR、動的なアタックサーフェスリスクマネジメント、セキュリティソリューションにより、現在および未来のニーズを満たします。防ぎ、サイバー攻撃を阻止します。詳しくはこちらITインフラ責任者ITインフラ責任者セキュリティを進化することで、より少ないリソースでより多くの保護を実現し、脅威を迅速かつ効果的に軽減します。詳しくはこちらクラウド構築者・開発者クラウド構築者・開発者セキュリティを強化しながら、革新的なアプリケーションをオンタイムで提供できます。詳しくはこちらクラウド運用者クラウド運用者クラウドネイティブアプリケーション向けのセキュリティを提供することで、マルチクラウドの複雑さを解決し、コンプライアンス順守を支援します。しくはこちらヘルスケアヘルスケアICT化や電子カルテの普及が進む中、閉じた環境での緩やかな境界防御ではなく、場面に応じたリスクマネジメントを実践していく必要があります。企業経営情報などの保護に充分な対策がとられた行政業務と住民サービスが求められています。現場におけるPCやインターネットの活用はさらなる普及が見込まれます。職員や生徒に安心安全な環境を提供しましょう。先端技術情報など機微情報も保護する必要があります。ニューノーマル時代のICT環境セキュリティについてご紹介いたします。IoT化が進むにつれてセキュリティリスクも高まっています。安全性や製品品質が重視される工場におけるセキュリティについてご紹介いたします。金融Fintechをはじめとしたサービス領域の拡大とともに、適切な情報管理と安定したサービス提供がより重要性を増しています。自動車へのセキュリティ対策が求められています。車両からモバイルネットワーク、バックエンドに至る自動車のエコシステム全体を保護することが重要です。詳しくはこちら5G5G企業で5Gを活用した新たなネットワーク導入が進んでいます。5G/ローカル5Gシステムを保護するエンドツーエンドのサイバーセキュリティをご紹介します。PartnerMarketplaceを活用したビジネス展開のためのパートナープログラムをご紹介します詳しくはこちらアライアンスパートナーアライアンスパートナーの概要トレンドマイクロは各社とのアライアンスに基づき、お客さまがパフォーマンスと価値を最適化できるよう最善の支援を提供します。登録制のWebサイト「パートナーポータル」ではパートナーさまの販売活動にご活用いただけるコンテンツをご用意しております。365ゼロデイ脆弱性(CVE-2021-40444)を悪用トレンドマイクロでは、2016年以降、拡散されている情報窃取を行うマルウェア「FormBook」の最新バージョンを使用した新たな攻撃を検出しました。Folioメルマガ登録するトレンドマイクロでは、2016年以降、拡散されている情報窃取を行うマルウェア「FormBook」の最新バージョンを使用した新たな攻撃を検出しました。過去数年、macOSの拡張サポートを始め、FormBookに関する複数の解析結果が公表されています。FormBookは高度に難読化されたペイロードであり、文書ファイルの脆弱性を悪用していることでよく知られています。2017-0199が利用されていましたが、新たなFormBookの亜種は、最新のOffice365ゼロデイ脆弱性(CVE-2021-40444)を利用しています。beacons」の拡散を行うオリジナルのエクスプロイトを一部変更していました。利用されている脆弱性はCVE-2021-40444です。この脆弱性自体はすでに解析済みなので、本ブログではFormBookによる独自の変更点に焦点をあてることにします。FormBookはパッケージ内のファイル「document.xml.rels」の内部で異なる「Target」フォーマットを使用しています。図1の右側が新しいフォーマットを示しています。この脆弱性を利用する際に、「mhtml」や「!x-usc」などのオプションは要求されないため、このフォーマットは実行可能です。この新しいフォーマットは、上記の「Target」オプションをエクスプロイトの痕跡として使用することで、検出の回避を試みています。図1:「Target」URLフォーマット:左側は過去の検体、右側はFormBookが使用した検体ディレクトリトラバーサルパスおよび「Target」に対してエンプティオプション(「!:」の連続使用)を使用してURLが攻撃を受けても、この脆弱性を利用することができ、Wordはサーバに図2で示しているネットワークキャプチャのようなリクエストを送信します。図2:FormBook文書検体のネットワークキャプチャFormBookが今回のエクスプロイトに導入した変更点の中には、難読化メカニズムが含まれています。図3はFormBookによるエクスプロイトの難読化にあたる箇所を示しています。図3:FormBookによる難読化エクスプロイト先述した通り、FormBookの作成者は、トレンドマイクロおよびMicrosoft社が公表したコードを基にした、オリジナルのエクスプロイトを一部変更しています。FormBookは、JavaScriptのコードをリバースエンジニアリングから保護するための、アンチデバッグ動作を実行する関数に2つのcallを追加しています。図4はその関数を示しています。図4:FormBookのJavaScriptアンチデバッグエクスプロイトブラウザの開発者ツールを開いた状態で、f()関数を実行すると、新たにバーチャルマシン(VM)ウィンドウが開きます。これにはdebuggerステートメントを伴う匿名の関数が組み込まれています。これにより、焦点はソースコードウィンドウから、匿名の関数を含む新たなバーチャルマシン(VM)ウィンドウにシフトします。JavaScriptのコードを実行すると、匿名の関数が継続的に実行されます。JavaScriptのコードを実行することで、debuggerステートメントが永久に実行されるため、JavaScriptのコードのデバッグを防ぐことができます。■攻撃チェーンについてトレンドマイクロの解析では、今回の攻撃には、不正なWord文書が添付されたメールが侵入経路として使用されていました。攻撃では、二層構造のPowerShellスクリプトを使用して、既知のFormBookを送り付けていました。今回のFormBookのバージョンは過去のバージョンと同一でしたが、攻撃チェーンには独自の変更点が導入されていました。今回の攻撃で拡散された最終版のFormBookは、これまでの攻撃で使用され、他社のリサーチャにより解析されたマルウェアと一致しています。そのサンプルは、トレンドマイクロがコマンド&コントロール(C&C)チャネル情報の復号後に検出したFormBookバージョン4.1とも一致しています。これは図5にて確認することができます。Beacon今回の独自の攻撃に関して、攻撃チェーンを図6に示します。図6:攻撃チェーンを抽象化した図FormBookが2段階のPowerShellスクリプトをどのように実行するかは図6の通りです。第一段階では、第二段階のスクリプトをダウンロードし、「Discord」(ファイル共有機能を持ったコミュニケーションツール)上にホストされる添付ファイルとして保存されます。トレンドマイクロでは、ネットワーク保護対策を回避する目的で、Discord上にアップロードされるファイルの不正使用が増加していることを確認しています。図7は第一段階のPowerShellスクリプトの一例を示しています。図7:第一段階のPowerShellスクリプト図6の例では、次の段階のスクリプトをDiscord(URL自体も難読化されている)からダウンロードしています。URLのフォーマットは以下の通りです。hxxps://cdn[.]discordapp[.]com/attachments/889336010087989260/889336402121199686/avatar.jpgDiscordからダウンロードした添付ファイルは、第二段階のPowerShellであり、Base64でフォーマットされています。第二段階のスクリプトには、FormBookの実行に必要な検体がすべて含まれています。図8は第二段階のPowerShellの一例を示しています。図8:第二段階のPowerShell図8の通り、変数「$decompressedByteArray」の値には「.NET」インジェクタが備わっており、変数「$INICAYLA」の値は、FormBookそのものです。今回の攻撃では、マルウェアを「Calculator」プロセスに挿入するという手法が、以前の分析とは異なっていますが、これは難読化処理の結果が「.NET」インジェクタに適用されていたためです。■結論トレンドマイクロでは、過去数年に渡り、一般向けサービスを利用してマルウェアをホストする事例が増加していることを確認しています。現在では、一般向けサービスを利用して、マルウェアインフラストラクチャを構築する方法は数えきれないほど存在します。一般向けサービスの利用は、攻撃者にとって様々な利点があります。・余計なレンタルサービスやメンテナンスサービスを利用する必要がないまた、トレンドマイクロは、さまざまな「サービスとしてのマルウェア(MaaS)」に実装されている難読化された検体の自動作成ツールの品質が改善していることを確認しています。上記2要素を組み合わせることで、今回のケースのように、攻撃者は、ゼロデイ脆弱性を再利用した攻撃を検出されても、再度変更を行い、攻撃を試みることができます。今回のインシデントは、早急に脆弱性の修正プログラムを適用することの重要性を浮き彫りにしています。ご存じの通り、Microsoft社はすでに、2021年9月のセキュリティアップデートの一環として、この脆弱性の修正プログラムをリリースしています。OneTMは、単一の階層から見ただけでは重要ではないと思われる、疑わしい挙動を検出することができます。OneTMはエンドポイントデバイスをランサムウェア、ファイルレス脅威、そして高度な攻撃に対する自動脅威検出機能を通じて保護します。IoC):今回の記事に関する侵入の痕跡は、こちらを参照してください。reservedsXpIBdPeKzI9PC2p0SWMpUSM2NSxWzPyXTMLlbXmYa0R20xk。