持続的標的型攻撃を知る持続的標的型攻撃を仕掛ける攻撃者は、一旦標的とするネットワークに侵入すると、その機会を最大限に活用します。この標的型攻撃で利用される不正プログラムは、侵入したネットワーク内で攻撃者の目となり耳となる役割を果たすことになります。このため、攻撃者は、不正プログラムとの通信手段を確立し、その不正プログラムがネットワーク内の有益な情報を確実に送信することが必要となります。この状態を継続しながら執拗に攻撃を仕掛け続けるためにも、自身の不正活動が検知されないように慎重に動く必要もあります。攻撃の第一段階において、いわゆる侵入用の不正プログラムは、実行されると、通常、次の攻撃活動に利用される付加機能を備えた他のファイルをダウンロードまたは作成します。Trojan(RAT)」がダウンロードまたは作成されることとなります。このRATは、攻撃者にとって、リアルタイムな制御が可能となるため、理想的なツールなのです。Ivy」といったRATは、外部に設置されたコマンド&コントロール(C&C)サーバと通信して、情報を送信したり攻撃者からの指示を受信したりします。RATの通信は、痕跡を残すため、正規のトラフィックに負担をかけるようになった場合、侵入検知システムが攻撃者によるトラフィックを検出することとなります。トレンドマイクロでは、攻撃者がこうした検出を避けるため、自身の存在を隠ぺいする手法や難読化の手法を用いた対策を講じていることを確認しています。キャンペーン「LURID」や「Luckycat」、「IXESHE」といった攻撃では、感染コンピュータからC&Cサーバへの通信には、HTTPプロトコルが利用されていました。通信に際して他のポートを利用するのではなく、不正なHTTPトラフィックを通常のインターネットトラフィックと混在させていたのです。「IXESHE」では、特に「Base64形式でエンコードされたデータ」を含んだ所定のHTTPプロトコルのフォーマットを用いてC&C通信をしていました。そのため、弊社のリサーチャーによる調査過程では、このような不正なC&C通信を特定することができましたが、一般的には、IT管理者がこのフォーマットを攻撃者が利用したと気づくことは難しいでしょう。この他、C&Cの要素としてWebメールのアカウントを悪用する不正プログラムを確認しています。Webメールの各セッションはSSL暗号化で保護されているため、ネットワーク監視ソフトウェアなどによる不正なトラフィックに対する検出が困難となります。C&Cサーバについても、冗長化や自身のキャンペーン追跡を困難にさせる目的のため、攻撃者が多様な手法を利用していることをトレンドマイクロのリサーチャーは確認しています。IPアドレスに名前解決されていました。IPアドレス範囲内に割り当てられ、2つの異なるインターネット接続業者から提供されたものでした。Webホスティングサービスを利用。安定稼働を目的として専用の「仮想専用サーバ(VPS)」も利用していました。攻撃キャンペーン「IXESHE」では、侵入したネットワーク内部のコンピュータを乗っ取り、C&Cサーバとして悪用。このようにしてネットワーク内部のサーバが悪用された場合、ネットワーク管理者は、自身の組織内の通信と、攻撃者による不正通信と見分けることが困難となるため、攻撃者は、自身の存在を隠ぺいすることが可能となります。仕掛ける攻撃者は、自身のRATまたは他の攻撃ツールにシェルコマンドを送信して、侵入したネットワーク内部に深く潜入します。取得すると、攻撃者は、侵入したネットワーク内を縦横無尽に動きまわり、メールサーバやデータベースサーバといった貴重な情報源にアクセスすることが可能となるのです。実際、このような潜入後に攻撃者が「pass-the-hash」や「総当り攻撃」といった手法を利用しているのをトレンドマイクロでは確認しています。パスワードハッシュで認証する「pass-the-hash」が実行された場合、万が一、標的となったネットワーク上でパスワードが使い回しされている場合、次々と認証を突破されることとなります。キャンペーンでは、攻撃者がネットワーク内部に潜伏しながら次々と攻撃を仕掛け、有益な情報を引き出します。引き出された情報は、攻撃者の最終目的を達成するために悪用されることになります。特定するためには、こうした指標としての外部および内部のスレットインテリジェンスを開発し活用することが必須となります。防御対策として企業が「スレットインテリジェンス」を開発し活用することが必須である、と強調しています。この「スレットインテリジェンス」には、トレンドマイクロのリサーチャーなどのセキュリティ専門家による外部のセキュリティレポートを活用することや、企業独自のネットワーク環境やシステム環境を適切に把握して監視することが含まれます。各企業のセキュリティ担当者やIT管理者に権限を貸与して侵入した脅威に迅速に対応するといった防衛戦略の中核となる上記3つの要素の活用を実施すべく努力する必要があります。攻撃の流れの第5段階の「情報集約」および第6段階の「情報送出」に焦点をあててご説明します。