Bear等)」として知られる攻撃者グループを調査しており、今年1月のブログ記事などでその活動を報告してまいりました。今回2018年10月中旬以降、この攻撃者によるものと考えられる攻撃キャンペーンを確認しました。該当の攻撃では、11月初旬より日本国内の複数の組織に対して、英語文面による不審なメールが送信されています。Stormが用いるバックドアとして知られる「Zebrocy」(ゼブロシー)の感染へと至ることを確認しました。StormがNATOや東欧を標的にしてきたことを報告していますが、その攻撃対象に日本も追加されたものと考えられます。Networks社により報告(2018年11月20日)されたものと同一のキャンペーンを、日本国内でも複数回観測していました。これらの攻撃キャンペーンは標的型メールを起点としており、そこには政策や航空機、テロや紛争、軍事同盟に関する最新のトピックについて英語で記載されていました。1参照、※1(AppendixのIoC情報参照、以下同))を添付した標的型メールが日本を含む複数の国に対して送信されました。この添付のWord文書を開封すると外部からテンプレートファイル(※2)が読み込まれ、初段のZebrocy(※3)のドロップ・実行を経て2段目のZebrocy(※4)のダウンロード・実行へと至ります。疎通可能でしたが、応答として「-1」しか確認できていません。今回、トレンドマイクロでは日本国内の複数の組織に対する「Zebrocy」を用いた攻撃キャンペーンを確認しました。Network(SPN)」等で観測された傾向からは、日本以外の国々に対しても同様の攻撃が実施されていることが判明しました。具体的には、今回日本で観測された一連のキャンペーンは、以下の国でも観測されました。StormはNATOに関連する組織や東欧諸国に対して攻撃を実施してきましたが、上記の国々はこの傾向に一致します。Stormによる攻撃キャンペーンの対象に含まれるようになった可能性があります。最初に送付される標的型メールについては、添付のドキュメントファイルにエクスプロイトコードやマクロコードは含まれませんが、メールゲートウェイとサンドボックスを連携させ、添付のドキュメントファイルを動的に検査することで、不審なファイルの侵入を未然にブロックできる可能性があります。初段のメールの侵入、および添付ファイルの開封後、外部へdotmファイルをダウンロードしに行く段階にて、ウェブゲートウェイ製品にてコンテンツフィルタリングやサンドボックス連携にてブロックできる可能性があります。このように、着弾する検体がウイルスパターンに対応していなくても、予め既存のセキュリティ対策製品やネットワーク製品の設定を十分に強化しておくことにより今回のような標的型サイバー攻撃についても侵入をブロックし、被害を未然に防げる場合があるため、今一度ご使用の機器の機能が十分に活かされる設定になっているか、ご確認いただくことを推奨します。標的型サイバー攻撃では、目的が達せられるまで執拗に攻撃が継続される傾向があます。当該キャンペーンについて報告されたこともあり、攻撃手法をセキュリティ製品で検知・ブロック出来ないものに変更される可能性があります。多層防御を実施し、侵入を前提とした気づける仕組みを複数用意することが大事です。Stormの活動実績から、今後以下のような攻撃手法が用いられる可能性があります。個人のメールへの攻撃Webサービスの偽ログイン画面への誘導により認証情報窃取また、社員の一人一人が以下のような点に常に注意する必要があると考えます。本文の一部を更新しました。