Micro0その活動内容によって悪名をはせるサイバー犯罪集団「Lazarus」は、正体に関する謎も相まって多くの関心を集めています。年のバングラデシュの銀行に対する攻撃が例として挙げられます。活動の歴史に匹敵する集団はほとんどありません。利用するツールと手法の多様性にあります。月には金融機関を狙った「水飲み場型攻撃」で利用されました。亜種(「TROJ_RATANKBA.A」として検出)はハッキングツールやオンライン銀行詐欺ツールなど、複数のマルウェアを拡散していました。亜種(「BKDR_RATANKBA.ZAEL.A」として検出)を解析しました。開発した多目的のコマンドラインシェルおよびスクリプト言語「PowerShell」のスクリプトでした。月に他のリサーチャも報告しています。利用していた多くのサーバを特定しました。よる攻撃やその対象に関する貴重な情報を入手しました。インドおよびその近隣諸国に位置していました。同地域を対象に諜報活動していることがうかがえます。インドを対象にした攻撃を計画中またはそのための演習中だと考えられますが、まだ初期段階にあるようです。大企業ではなく、中小企業または個人に影響を与えていたことが分かります。以外のツールを利用している可能性もあります。アドレスも記録されています。開発企業の従業員と思われる情報が確認できました。大きな銀行や金融機関に関連する情報は確認されていません。文書や「オンライン・ヘルプ・ファイル(拡張子:CHM)」形式の不正なおとり文書、またはスクリプト形式のダウンローダのように、さまざまな形式で不正なファイルを対象に送り込みます。おとり文書の内容はソフトウェア開発または仮想通貨に関するものでした。仮想通貨への関心の高まりを受けて、関連した内容をおとり文書に利用したものと思われます。よる攻撃で利用されたおとり文書の一例です。バックドア型マルウェアが作成されます。コマンド&コントロール(C&C)サーバとの通信に利用されます。つの通信が確認されています。つの役割を担っていることが分かります。タスクには以下のようなものがあります。利用する遠隔操作ツールのコピーを収集しました。この遠隔操作ツールはユーザインターフェースを備えており、侵入に成功したエンドポイントにタスクを送信することができます。サーバのキューにタスクを追加します。サーバからタスクを受信して実行します。サーバにアップロードします。間でリアルタイムの通信は行いません。サーバに接続し、情報を送受信します。サーバにタスクを送信するための「グラフィカルユーザインタフェース(GUI)」を備えています。対するタスクと、対象に特化したタスクがあります。定期的にサーバに接続し、待機中のタスク有無を確認します。情報をダウンロードします。サーバから削除されます。遠隔操作ツールが送信するタスクです。1.0」を使用します。通信プロトコルの形式は以下の通りです。開発した多目的のコマンドラインシェルおよびスクリプト言語「PowerShell」で書かれていることです。変わったことにより、セキュリティ対策ソフトウェアによる検出がより困難になっています。プロトコルに変更はありません。攻撃者が実際に何者なのかは分かっていませんが、同集団の構成員が保有していると思われるバックエンドシステムから収集した情報から、インターネットの使用パターンについていくらかの洞察が得られました。人のオペレータと何人かの開発者について、その正体に関する手がかりを確認しています。人は中国語も理解できるようです。AntShare)のような仮想通貨への関心も示しています。活動を考慮すると、今後もその手法を絶え間なく変化させながら活動を続けていくことが十分予想されます。その他の類似したサイバー犯罪集団は、組織的な防御を回避するためにさまざまな戦略を駆使します。そのため、法人には多層的なセキュリティ戦略が必要となります。影響は、定期的なネットワークスキャンのような効果の実証された技術によって不正活動をチェックし、マルウェアの侵入と拡散を防ぐことで回避することが可能です。ソーシャルエンジニアリングの手法について従業業員や法人内の主要人物を教育することで、不正な攻撃に際して注意すべき点を周知することができます。他には、エンドポイントの保護やアプリケーションコントロールのような、法人の境界を守る多層的なアプローチがあります。脆弱性対策オプション)」が提供する仮想パッチは、マルウェアをホストする不正なURLへのリダイレクトや、更新プログラムが公開されていない脆弱性を狙う攻撃からエンドポイントを保護します。コーポレートエディション)」は、更新プログラム適用前であっても既知および未知の脆弱性からエンドポイントを防御します。DiscoveryTM」のサンドボックスやファイル解析エンジンは、他のエンジンやパターンの更新がなくても、この脅威をその挙動から検出することができます。活動に関する詳細はこちらを参照してください。