独占する傾向が続いています。「ADW_」とはトレンドマイクロ製品において「アドウェア」の検出を表す検出名です。して、下図の結果が報告されています。日本国内で検出された不正プログラムTop3この傾向は現在も続いています。150万件を越えていました。占めたのが、「INSTALLCORE(インストールコア)」と呼ばれるアドウェア(「ADW_INSTALLCORE」もしくは「ADW_INSTALLCOR」として検出)でした。アドウェアとは、ユーザの望まない広告表示活動を行うものであり、一般に「不正プログラム」とまでは断定できない「グレイウェア」として扱われることが多いものです。占めるアドウェアは、いったいどのような活動を行い、ユーザはどのような被害を受けるのでしょうか?今回は典型的な事例として、この「INSTALLCORE」について詳しい解析を行いました。アドウェアは、一般のソフトウェアに紛れてユーザ環境に侵入します。ユーザは便利なソフトウェアを探している途中、誤って「INSTALLCORE」をインストールしてしまうケースが多いようです。Webサイト上の広告経由での感染が確認されています。Web広告からの感染を追跡しました。ユーザが下図のような広告の画像をクリックすると、ダウンロードサイトに移動します。ダウンロードサイト内のダウンロードボタンをユーザがクリックすることでインストールが始まります。最近の攻撃では、脆弱性を利用して自動的に不正プログラムをインストールする「ドライブバイダウンロード」が一般的です。不正とは言い切れないグレーな活動を狙うアドウェアの場合には、あくまでもユーザが自分の意志でダウンロード、インストールしたという事実を作ることが重要のようです。「INSTALLCORE」は実際にどのような活動を行うのでしょうか。POSTメソッドでなんらかの情報を送信します。送信する情報は難読化されており内容の判断は困難ですが、攻撃者に対し自身がユーザ環境にインストールされたことを知らせるための通信と考えられます。以下のフォルダ内にファイルが作成されます。Webページが表示されます。Webページ内にはユーザの不安を煽るような表示があります。Webページに接続されます。Webページでは「無料スキャンでパソコンのエラー検出」を行う旨の表示があります。ユーザがこの画面で「無料のインスタンススキャン」をクリックすると実行形式のファイルがダウンロードされ、以下のポップアップが表示されます。「同意してインストール」を選択すると以下のソフトウェアがインストールされ、起動されます。実行を進めていくと、下図のように多くのエラーが発見されたという虚偽のスキャン結果が表示されます。Webページに接続されます。Webページは以下のようになっております。確認で「INSTALLCORE」は、偽セキュリティソフトまがいの不審なソフトウェアをダウンロードさせることが確認できました。「INSTALLCORE」自体には情報漏えいなどのリスクはありませんが、このような不審なソフトウェアに繋がる広告を強制的に表示する挙動は、不正なものと判断できます。現在確認されているアドウェアにはこの「INSTALLCORE」のような悪質なものが多く確認されています。巧妙に潜伏しユーザの望まない広告表示によってアフィリエイトを稼ごうとするタイプも確認されています。いずれにせよ、アドウェアを拡散させる攻撃者の目的は最終的に金銭的利益であることに間違いはないようです。1つである「ファイルレピュテーション」技術により検出対応を行っております。同時にアドウェアや偽セキュリティソフトなどを拡散させるための不正サイトは「Webレピュテーション」技術によりブロックし、脅威の侵入と連鎖から防護します。ディープディスカバリー)」では、自組織のネットワーク内でアドウェアや不正プログラムが行う不正な通信を可視化し、脅威の潜伏を警告することが可能です。