最新のニュースをお届けします標的型攻撃トロイの木馬2017.4.7情報搾取型マルウェア「Ursnif」の亜種を使い多種の日本語メールによる攻撃が再開この記事をシェア2017年4月3日から6日にかけて、情報搾取型マルウェア「Ursnif」感染を狙った日本語メールによる「ばらまき型」攻撃が確認されています。4月6日は集中的に発生しています。これに伴い、この発生している状況については、Twitterアカウント「マルウェア情報局」(@Malwareinfo_JP)からも、数回に渡り注意喚起を実施しました。この数日間で確認された何らかを装った日本語メールは以下の通りです。本文に「ご確認宜しくお願いします。弊社マルウェアラボにて確認したメールに添付されたファイルは、大きく分けて2種類あり、添付のマルウェアに対してZIP圧縮を1回して送っているものと、2回圧縮してから送っているものがありました。最近の傾向としてZIP圧縮を2回実施したものを添付して送られるケースも増えてきています。そのため企業内にてゲートウェイ側でメールの添付ファイルの検査を行われている場合は、このようなケースも想定して、多重圧縮ファイルの検査方法も見直す必要があると思います。Object」として検出対応ができました。2回圧縮されていた添付ファイルのケース最初は、ZIP圧縮ファイルとして見えるが、実際に展開するとさらにZIP圧縮されていることが分かる。これを展開するとマルウェア本体が展開されるが、ここでも二重拡張子を用いてpdfファイルに見せかけようとしている。今週、この感染を狙ったものですが、いずれもダウンローダとしての役割を持っています。これら共通して特徴をもっていたのは、このマルウェアによってダウンローダとして機能すると、次にダウンロードしようとする本丸となるマルウェアの拡張子が「.bin」であったことが特徴的です。今後の監視を強めるには、「.bin」形式にも注目した方がよいでしょう。4月3日に確認されたケースでは、「.docs」形式で添付されているケースもありました。こちらのケースで見ますと、文書に埋め込まれたオブジェクトのアイコンをクリックすることで、ダウンローダとして機能します。この埋め込まれたオブジェクトはJavaScript形式で書かれており、直接JavaScript形式ファイルに対する検知を逃れるために作られたものとみられます。「.docx」形式文書に埋め込まれた「ダウンローダ」のオブジェクトが仕掛けられた例これらによって、新たなダウンロードを行い、情報搾取を狙うマルウェア「Win32/Spy.Ursnif」は、ヨーロッパ中心に感染を広げている情報搾取型マルウェアで、昨年下半期に国内で多発した「Win32/Spy.Bebloh」同様に情報搾取を目的とした特徴を持ちます。今回の攻撃を見てみると、攻撃側は「Win32/SpyBebloh」から「Win32/Spy.Ursnif」に切り替えて仕掛けてきたものと推測されます。今後より一層亜種が増えることが予想されますので、これらのメールの取り扱いやファイル形式の変化などに注意した方がよいでしょう。検出状況としては、4/5付けのみのデータとしては、最も多い数値で31.09%となりました。非常に多くのメール量がばらまかれていたものとみられます。日本での「Win32/Kryptik.FQPC」の検出状況(2017年4月7日10:00時点)※ESET社「VIRUSRADAR」より※検出名は上記の通りですが、これはヒューリスティック検出による名称で、実際には「Win32/Spy.Ursnif」ファミリーであることが確認されています。今後も情報搾取を狙った日本語メールによる攻撃が継続されると思われます。引き続きメール対する取扱いに注意してください。感染に気付くのが遅れるケースもあります。そのような場合に備え、ログインに必要なパスワードなどは定期的に変更するなどに心がけていただき、リスクを最小限にできるよう対応してください。このウイルスは、ESET製品にて以下の通り検出されます。対応しているウイルス定義データベースと検出名2017年1月18日(日本時間)に配信されたウイルス定義データベースにて、下記の検出名で再定義されました。ウイルス定義データベースにて、下記の検出名で検出されます。このウイルス自身は2008年から確認されているタイプのものであり、当初より定義されたものではありますが、再定義により検出精度の向上を図っています。トロイの木馬など複数のパターンで検出します。されているウイルスの亜種が発生する可能性があります。ウイルス定義データベースは常に最新のものをご利用いただきますようお願いいたします。トロイの木馬として検出されます。常日頃からリスク軽減するための対策について各記事でご案内しているようなリスク軽減の対策をご案内いたします。下記の対策を実施してください。ESET製品プログラムのウイルス定義データベースを最新にアップデートするESET製品では、次々と発生する新たなマルウェアなどに対して逐次対応しております。最新の脅威に対応できるよう、ウイルス定義データベースを最新にアップデートしてください。OSのアップデートを行い、セキュリティパッチを適用するウイルスの多くは、OSに含まれる「脆弱性」を利用してコンピューターに感染します。Update」などのOSのアップデートを行い、脆弱性を解消してください。Readerなどのアプリケーションにも含まれています。各種アプリのアップデートを行い、脆弱性を解消してください。データのバックアップを行っておく万が一ウイルスに感染した場合、コンピューターの初期化(リカバリー)などが必要になることがあります。念のため、データのバックアップを行っておいてください。脅威が存在することを知る「知らない人」よりも「知っている人」の方がウイルスに感染するリスクは低いと考えられます。ウイルスという脅威に触れてしまう前に「疑う」ことができるからです。弊社を始め、各企業・団体からセキュリティに関する情報が発信されています。このような情報に目を向け、「あらかじめ脅威を知っておく」ことも重要です。[更新]スマホへの買い替えでデータ移行と旧端末の処分はどうすべき?スマートフォンのデータを完全に削除するにはどうしたらいいですかスマートフォンがマルウェア感染した場合の5つの兆候ブラウザーが乗っ取られ、変な検索エンジンが表示されます。削除しても表示されます。ある、キヤノンマーケティングジャパン株式会社が提供しています。