BUTLER、Tick)」は、主に日本の法人を対象として諜報活動を実行するサイバー攻撃集団です。政府関連機関が含まれます。攻撃キャンペーンでは、バックドア型マルウェア「DASERFDASERF(別名:Muirim、Nioupale)」(「BKDR_DASERF」として検出)が利用されています。下記のような4つの機能を備えています。亜種が情報窃取を目的として利用されています。異なる技術を採用したDASERFのさまざまな亜種が確認されており、中には「ステガノグラフィ」を利用する亜種もあります。ステガノグラフィとは、画像ファイルのような予想外の媒体や位置にコードを隠ぺいする手法です。多くのサイバー諜報活動と同様に、REDBADKNIGHTの攻撃は断続的に長期間続いています。実際、REDBALDKNIGHTが標的に送信しているおとり文書のファイルプロパティから、早くも2008年には日本の法人に狙いを定めていたことが分かります。標的を日本に絞っていることは彼らが利用するソーシャルエンジニアリングの手口からも確認できます。攻撃手順の中で利用されているおとり文書は流ちょうな日本語で書かれており、日本の文書作成ソフト「一太郎」で作成されています。おとり文書としては、例えば「平成20年度の防災」のようなものが確認されています。■攻撃の流れREDBALDKNIGHTは、通常、侵入方法として標的型メールを利用します。一太郎で作成された添付ファイルには、ユーザに疑われないように背後でマルウェアを実行するために「CPR(心肺蘇生法)」や「防災」のような単語が使われています。インストールされ実行されます。2016年にセキュリティリサーチャによって情報公開され、活動開始が2011年にまでさかのぼることが判明するまでは、よく知られていませんでした。Mini)に基づき、トレンドマイクロはDASERFのその他のバージョンについてまとめた表(参考資料を参照)を作成しました。従来のアンチウィルス(AV)機能による検出を逃れるために、定期的に技術的な改良が施されていることが確認されています。Interface(API)」を利用しています。よる検出とリバースエンジニアリングをある程度逃れることが可能です。ようなその他のバージョンでは平分内の各文字を辞書順に前または後ろに指定された文字数分シフトさせる「シーザー暗号」が利用されています。第2段階のコマンド&コントロール(C&C)通信によって第二段階のバックドア型マルウェアをダウンロードするためにステガノグラフィを利用します。以降のバージョンで確認されています。C&C通信やバックドア型マルウェアを迅速かつ簡単に変更することを可能にします。ように変化しています。View」の脆弱性「CVE-2016-7836」(2017年3月に修正済み)の利用のように、いくつかの手法が利用されています。IT資産管理ソフトウェアです。Webサイトに接続し、「JPG」や「GIF」のような拡張子の画像ファイルをダウンロードします。この画像には暗号化されたバックドア設定やハッキングツールが埋め込まれています。C&Cサーバに接続し、さらなるコマンドを待機します。1.72およびそれ以降のバージョンです。限られるものではありません。2つのツールキット「xxmm2_builder」と「xxmm2_steganography」を確認しています。関連した別のコンポーネントであるダウンローダ「XXMM」(「TROJ_KVNDM」として検出)であることが分かりました。シェルを実行する機能によって第1段階のバックドア型マルウェアとしても機能します。設定を変更することが可能です。画像ファイル内に不正なコードを隠ぺいするために利用されます。ツールは、タグと暗号化した文字列を利用し、画像ファイル内に情報を埋め込むステガノグラフィの手法によって、実行ファイルや設定ファイルを作成および隠ぺいすることが可能です。攻撃者は既存の画像を利用またはアップロードし、ステガノグラフィ作成ツールによって隠ぺいするコードを注入します。RC4)が同じものであることも確認しています。図4:「XXMM」のものと同一な「DASERF」の復号関数のコード図5:「REDBALDKNIGHT」が「XXMM」で利用しているステガノグラフィツール図6:ツールキットが生成した「DASERF」のステガノグラフィコード■被害に遭わないためにはステガノグラフィは特定の目的を持ったサイバー攻撃において特に有効です。不正活動が検出されないまま侵入した標的の環境において検出されず不正活動が継続すればするほど、攻撃者はより多くの情報を窃取し送出することが可能になります。実際、この手法は、「エクスプロイトキット(脆弱性攻撃ツール)」、「malvertisement(不正広告)」キャンペーン、オンライン銀行詐欺ツール、C&C通信からランサムウェアにいたるさまざまな手法の巧妙化に従って勢いを増しています。REDBALDKNIGHTの攻撃キャンペーンでは、より巧妙に検出と解析を逃れるために、マルウェアと組み合わせてステガノグラフィが利用されています。持続的な攻撃キャンペーンは、徹底的な防御の重要性を際立たせます。法人は、情報探索の機会を減らすために最小権限の原則を適用することによりこれらの脅威を大きく軽減することが可能です。ネットワークのセグメント化と情報の分類も有効です。アクセスコントロールやブラックリストのような仕組みは、侵入検知および防御システムと同様に、ネットワークの防御に役立ちます。一方で、アプリケーションコントロールといったホワイトリスティングと、挙動監視は不審なあるいは未知のファイルによる変則的な活動を検出およびブロックします。REDBALDKNIGHTの標的型メールへの対策として、電子メールのゲートウェイを保護してください。不要なまたは更新されていないコンポーネントやプラグインは無効にし、攻撃者によって不正利用されないようにシステム管理ツールの安全を確認してください。重要なことは、、ゲートウェイ、ネットワーク、エンドポイント、サーバのような侵入経路を減らすために、インフラストラクチャとアプリケーションを最新の状態に保つことです。DiscoveryTM」は、今日の気づけない標的型攻撃や巧妙化する脅威をリアルタイムで検出および分析し、対処できます。専用のエンジンとカスタムサンドボックス機能を使用し、攻撃のライフサイクル全体で相関分析を行い、エンジンやパターンの更新無しでREDBALDKNIGHTのような攻撃を検知します。SecurityTM」は、仮想パッチ機能によって、更新プログラムが配信されていない脆弱性を狙う攻撃からエンドポイントを防御します。XG」は、更新プログラム適用前であっても既知および未知の脆弱性からエンドポイントを防御します。トレンドマイクロ製品に組み込まれたクロスジェネレーション(XGen)セキュリティアプローチは、高度な機械学習型検索を活用しエンドポイントのデータとゲートウェイおよびアプリケーションを守ります。XGenは、従来の検出技術を回避し、既知、未知および未公開の脆弱性を突くことによって個人情報を窃取あるいは暗号化する今日の目的に特化した脅威からユーザを保護します。Compromise、IoC)」はこちらを参照してください。