「DRIDEX」を利用したスパムメール送信活動を確認。「DRIDEX」を利用したスパムメール送信活動を確認。「DRIDEX」を利用したスパムメール送信活動を確認。Flores02015年10月13日、オンライン銀行詐欺ツール「DRIDEX」のコマンド&コントロール(C&C)サーバ間のネットワークが米国と英国の法執行機関によって閉鎖されました。1カ月間で「DRIDEX」は着実に復活しつつあります。C&Cサーバの閉鎖は、ボットネットの活動を不能にするための重要な一歩であるものの、すべてのインフラストラクチャを停止し、攻撃者グループ全員を逮捕しない限りは、「DRIDEX」のような脅威はいずれ復活します。そのためにも、閉鎖後も脅威の監視を続け、法的機関と協働し、最終的にはサイバー犯罪を撲滅するのがセキュリティリサーチャーの役割です。Agency、NCA)のサイバー犯罪者逮捕に貢献しました。弊社では、こうした取り締まりによるサイバー犯罪者逮捕への協力を可能な限り最優先としています。図1:「DRIDEX」の検出数の国別割合(2015年10月13日~11月23日)「DRIDEX」が完全に終息するまで戦いは続きます。弊社は、「DRIDEX」に関連した複数のスパムメール送信活動を確認しました。いった、金融に関連したソーシャルエンジニアリングを利用しています。弊社は、それぞれ内容の異なる約10種類の亜種を確認しました。11月13日には確認されており、すべて英語が使われています。図3:「DRIDEX」を拡散するために利用されたスパムメールの例このスパムメール送信活動を詳しく検証すると、2014年8月頃から確認されている「DRIDEX」を利用するボットネットによって送信されたものであることが判明しました。「DRIDEX」を利用するボットネットは番号によって分類され、どの攻撃者やキャンペーンによるものか、またどの標的に関連するものかを番号で識別できます。2014年から確認しているものです。このことは、「DRIDEX」は完全には終息していないというこれまでの確認の裏付けとなりました。弊社が今回確認された亜種を解析した結果、これまでの亜種と同様に、難読化や間接呼び出しといった、解析をより困難にするための複雑な手法を利用していることが判明しました。弊社の以前の解析では、Eメールの送信に関連した文字列がコードに含まれていることを確認しました。今回の亜種も同様の機能を備えているかどうかは現在確認中です。このメール送信機能があれば、「DRIDEX」のボットネットだけで感染フローを完結させることができます。Wordファイルが利用されました。Officeファイルにはマクロが含まれており、開封すると「DRIDEX」の不正なファイルをダウンロードします。Wordファイルは初期設定でマクロ機能が無効になっており、マクロが含まれている場合には、「マクロが無効にされました」というメッセージがユーザに表示されます。この攻撃では脆弱性を利用しません。マクロを利用する不正プログラムは古くからある脅威で、最近はランサムウェアといった脅威を拡散するために再び利用され始めています。マクロを利用する手法は、以前にも「DRIDEX」を拡散するために用いられており、今回の攻撃者も同様の手法を利用していると考えられます。「DRIDEX」が以前の勢力を取り戻すためにはまだ時間がかかるでしょう。した新たなスパムメール送信活動が確認されたことは、「DRIDEX」を利用する攻撃者グループが再編成され、サイバー犯罪活動を新たに開始したことを示唆しています。「DRIDEX」はもはや脅威でないと考えているユーザは考えを改めたほうが良いでしょう。必要な場合のみ、マクロを有効にして下さい。Wordは、初期設定でマクロが無効となっています。Network」によって守られています。メールをブロックします。サイトへのアクセスをブロックします。「ファイルレピュテーション」技術により、上述の不正プログラムを検出し、削除します。今回の攻撃に関連した「DRIDEX」の亜種は以下の検出名で検出対応されます。TSPY_DRIDEX.ATTSPY_DRIDEX.AUTSPY_DRIDEX.SPBTSPY_DRIDEX.YJLTSPY_DRIDEX.YYSOXW2KM_DRIDEX.YYSOZW2KM_DRIDEX.YYSPBX2KM_DRIDEX.ATX2KM_DRIDEX.YJPX2KM_DRIDEX.YJQまた、今回の攻撃に関連する不正なファイルのハッシュ値は以下のとおりです。