セキュリティブログの記事から、2018年10月に公開された記事の中から6本、ご紹介します。Windowsの正規機能WMICおよびCertUtilを利用しブラジルのユーザを狙うマルウェアを確認Windowsの2つの正規コマンドラインツール「WMIC(wmic.exe)」および「CertUtil(certutil.exe)」を悪用し、感染PCに不正なファイルをダウンロードするマルウェアが確認されました。WMICはWindowsの管理を担当し、CertUtilはマクロおよび証明書サービス関連の機能を担う正規ツールです。これらの正規ツールは、通常の機能の一部としてファイルのダウンロードに使用されるため、不正活動においても検出回避を目的としてよく利用されます。WMICおよびCertUtilは、以前からマルウェアによって悪用されてきました。今回の攻撃ではそれらが同時に利用され、さらに検出回避のための挙動が加わっています。Tracker(JUT)」を利用することで、任意のファイル作成、攻撃者が指定したパラメータの注入、および上位権限の利用が可能になる脆弱性「CVE-2018-3211」を発見し、Windows環境で検証しました。これらの活動を組み合わせることで、通常はその他のアプリケーションやユーザによるアクセスが制限されているリソースへのアクセスが可能になります。Embedded:8u181」です。通常、フィッシング攻撃では、本物に見える偽メールを利用し、添付した不正ファイルやテキストに埋め込んだ不正リンクを通してユーザの情報を窃取します。このような単純な手口を知っているユーザであれば気付くのは比較的容易です。2018年9月のスパムメール送信活動では、より巧妙で気づかれにくい形の不正メールが確認されました。この攻撃では、乗っ取ったメールアカウントが利用され、既存スレッドに返信する形でマルウェアが添付された不正メールが送信されました。この不正メールは、進行中の会話の一部となっているため、気付くことがより困難です。ユーザは、手遅れになるまでサイバー攻撃を受けていることに気付くことができないかもしれません。この攻撃は、2018年前半にTalosによって確認された、オンライン銀行詐欺ツール(バンキングトロジャン)「URSNIF(アースニフ)、別名:GOZI」を拡散するスパムメール送信活動とよく似ています。Cloud」の一部となった乗っ取られたPCが利用され、既存のスレッドに対する返信として不正メールが送信されました。本記事で解説する攻撃は、もしかするとこの活動が継続または変化したものだと考えられます。2018年10月9日までに収集した情報によると、この攻撃活動は主に北米と欧州に影響を与えていますが、アジアおよび中南米地域でも類似した攻撃が確認されています。政府系組織にも影響を与えています。Free、UAF)の脆弱性「CVE-2018-8373」を利用する別の攻撃を確認しました。Explorer(IE)のVBScriptエンジンに影響を与えます。Microsoftはすでに、2018年8月の月例セキュリティ更新プログラムにおいて、CVE-2018-8373を修正しているため、この脆弱性攻撃は、更新済みのIEに対して無効です。影響を受けるバージョンの詳細はこちらを参照してください。【...続きを読む】ボットネットによる拡散機能を備えた暗号化型ランサムウェア「Viro」を確認トレンドマイクロは、ランサムウェアによる攻撃が2017年には高止まりとなり、時間の経過と共にその手口や標的が多様化していくことを予測していました。2018年前半にはランサムウェアの活動は急減していますが、より巧妙な手口を利用して身代金を要求する攻撃が確認されています。その格好の例が、2018年9月に確認されたボットネットを構築する暗号化型ランサムウェア「Viro」(「RANSOM_VIBOROT.THIAHAH」として検出)です。Viroは、ランサムウェアとボットネットの両方の機能を備えており、米国のユーザに影響を与えました。PCに感染すると、スパムメールによって自身を拡散するボットネットの一部となります。Viroと既知のランサムウェアファミリとの関連は確認されていません。Viroが初めて確認された2018年9月17日は、弊社が、悪名高い暗号化型ランサムウェア「Locky」を模倣したランサムウェアの亜種を解析したちょうど7日後のことでした。今日の脅威状況において、暗号化型ランサムウェアの活動は前年2017年と比べ顕著な停滞状態にあるとはいえ、現在もサイバー犯罪者の主要な手口の一つとして利用されています。実際、2018年上半期内では、わずかに活動の増加を見せ、セキュリティ対策製品を回避するための微調整により、その活動を維持しています。今回取り上げる「PYLOCKY(パイロッキー)」(「RANSOM_PYLOCKY.A」として検出)に関しては、すでに確立されたランサムウェアファミリを模倣し、それらの悪評に便乗し活動しています。トレンドマイクロは7月下旬から8月全体を通して、暗号化型ランサムウェア「PyLocky」を拡散するスパムメールの活動の波を確認しました。このランサムウェアは、身代金要求文書において「Locky」になりすましていますが、「PyLocky」と「Locky」の相互の関係性はありません。【...続きを読む】ご紹介した記事の他にもさまざまな最新セキュリティ情報を掲載していますので、ぜひご覧ください。けのセキュリティ製品です。※全ての最新の脅威に対応するものではありません。中堅・中小企業のセキュリティ担当者の方々をサポートできるよう、管理サーバが不要だったり、一元管理が可能だったりと、導入後の運用・管理面での負担を軽減します。脅威はビジネスのすぐそばにも潜んでいます。導入をご検討ください。ビジネスセキュリティサービスはトレンドマイクロ株式会社の登録商標です。各社の社名および製品名は各社の商標または登録商標です。Edgeとは何か?~次世代UTMアプライアンスで実現する高次元のセキュリティ対策~ピックアップコンテンツ猛威を振るったマルウェア「Emotet」の振り返り。