開発した多目的のコマンドラインシェルおよびスクリプト言語です。標準機能が実行できます。情報を取得することが可能です。月に確認された暗号化型ランサムウェア「PowerWare」や、同年4月に確認されたマルウェア「Fareit」の亜種があります。利用は増加傾向にあるため、その対策についてもセキュリティ管理者の間で周知が進んでいます。スクリプトを実行する手法を駆使し、セキュリティ管理者の対策より一歩先を行っているようです。圧縮したファイルを利用していたことを確認しています。ファイルの増加を確認しています。ファイル(「LNK_DLOADR」ファミリとして検出対応)の検出数です。ファイルを利用した手法が多用されていることがわかります。つを駆使した攻撃を確認しました。PowerShellファイルが画像ファイル(「.JPG」拡張子)に偽装していました。Panda」、「RedApollo」、「CVNX」)による大規模なスピアフィッシングキャンペーンでも同様の手口を確認しています。ファイルをダウンロードします。月には、標的型サイバー攻撃で多用されるマルウェア「ChChes」(「BKDR_CHCHES」ファミリとして検出対応)をダウンロードする類似の手法も確認されています。ファイルを利用したより巧妙な攻撃キャンペーンを新たに確認しました。この攻撃キャンペーンは現在も進行中だと考えられています。標準ツールを段階的に活用するようです。添付ファイルの施されたフィッシングメールを送信し、受信者にダブルクリックを促します。ファイルをダブルクリックさせる文面が記載されています。代わりに「MSHTA.exe」を実行します。標準搭載されたプログラムです。スクリプトをダウンロードして実行します。リバースシェルを(エクスプロイトコードを検証するフレームワーク「Metasploit」や「CobaltStrike」のように)実行することで、侵入が完了します。駆使したさらに別の攻撃キャンペーンを確認しています。コマンド&コントロール(C&C)サーバが既にアクセス不可となっていたため、具体的にどのような不正活動が行使されるかは確認できませんでした。この攻撃では、上述のような巧妙な段階を踏むことはないようです。コマンドラインツールが別のスクリプトをダウンロードし、このスクリプトのダウンロードにより、不正活動の実行に至ります。偽装の文書ファイルには扇動的な内容が記載されていることから、この攻撃は政治的な意図をもって実施された可能性があります。C&Cサーバが稼働していないため完全な追跡は行えず、限られた情報だけではこの攻撃と既知の攻撃キャンペーンとのかかわりを示すのは困難です。ファイルを解析することで、攻撃者の開発環境に関する有用な情報を取得することができます。ファイルのプロパティを確認することで簡単な解析が可能です。今回の場合、引数が長く、右クリックメニューから「Properties(プロパティ)」を選択後、「Shortcut(ショートカット)」タブに表示される「Target(リンク先)」に全体が表示されず、リンク先では、正規のアプリケーション(CMD.exe、MSHTA.exe、その他)しか確認できない状態となっています。攻撃者はスペースや改行を追加して不正な引数が表示されないようにしています。6のように非常に長い引数を確認できます。ファイルは通常通り動作します。ファイルの解析結果こうした手法により、攻撃者は、ファイルの偽装や不正コードを隠ぺいします。ファイルのプロパティウインドウを確認する静的解析を回避していることが分かります。解析ツールを利用すれば、今回の不正も問題なく確認できます。■推奨される対策マルウェアの開発者はツールの改良を続け、不正活動を行使するための新しい方法を常に探しています。ファイルの利用もそのような新しい手法の1つです。これらの脅威を予防し、被害を軽減するために推奨される対策を下記にまとめました。