様々なサイバー攻撃手法が日々生み出されている現状においても、攻撃者にとって最もよく利用される侵入手口はメールを通じてWindowsユーザをマルウェアに感染させる手法です。今回、マクロ実行の許可を必要としない最新の攻撃手法と、今年確認されているその他の攻撃例や悪用されやすい拡張子について、セキュアソフトのグループ会社であるサービス&セキュリティ株式会社(SSK)のセキュリティオペレーションセンター(e-Gateセンター)より情報が公開されましたのでご紹介いたします。本記事はこちらよりPDFファイルにてご覧頂けます。様々なサイバー攻撃手法が日々生み出されている現在でも、攻撃者によって最もよく利用される侵入手口はメールを通じてWindowsユーザをマルウェアに感染させる手法です。あり、その主な攻撃のきっかけはメールと言われています。この時、攻撃者の狙いは主に以下の2つです。●メール内のリンクをクリックさせ、マルウェア本体もしくはそのダウンローダーをダウンロードさせる。●添付したWord文書やExcelファイルなどに不正なコンテンツやマクロを埋め込み、それを実行させる。一方で、通常マルウェアをダウンロード及び実行させるためには、ユーザの注意を潜り抜け、「マクロの有効化」といったいくつかの警告メッセージを許可させる必要があります。明らかに不自然な日本語で書かれたメールや、".exe"など典型的な怪しい拡張子のファイルは開かないという方も多いでしょう。よって、攻撃者は見慣れない拡張子のファイルを利用するなど、ユーザをマルウェアに感染させるために様々な工夫を凝らしています。中でも、最近発見されたマクロ機能を使用しない(マクロレスな)手法は、警告メッセージが表示されない分ユーザが攻撃と気づかない可能性が高いため、特に注意が必要です。今回は、マクロ実行の許可を必要としない最新の攻撃手法と、今年確認されているその他の攻撃例や悪用されやすい拡張子についてご紹介いたします。セキュリティ研究チームによって、Word文書のオンラインビデオ埋め込み機能を利用した手法が発見されました。本機能は、通常であればYouTubeなどの動画をWord文書内に埋め込むものですが、これを悪用することで、動画再生の代わりに攻撃者の任意のhtmlやjavascriptを実行させることが可能となります。注意すべき点として、この手法はマクロ機能を使用していないため「コンテンツの有効化」といった警告メッセージが表示されません。本機能を悪用した検体が確認されていますが、本記事掲載時点においてMicrosoftによる対応の予定はないため、十分な注意が必要です。ファイルは実際にはテキストや書式設定などの各ファイルを圧縮した状態で保存されています。よってWord文書をファイル解凍ツールで展開すると、通常のXML形式のファイル等から構成されている様子を見ることができます。パラメータを確認することができます。パラメータこのiframe要素を任意のhtml/javascriptに書き換えることで、動画を再生しようとクリックしたユーザの環境で警告メッセージ無しにコードが実行されます。ここから攻撃者の用意したWebサイトにアクセスさせるなど、様々な悪用方法が考えられます。ファイルの利用:ファイルレスマルウェアファイルレスマルウェアは、昨年から流行しているマルウェア感染手法です。ファイルを実行させることで、そこに埋め込まれたマクロからWindowsのPowerShellコードを実行させます。Windowsの標準機能であるPowerShellを用いているので従来のセキュリティ製品では検知されにくい特徴があります。以前に弊社のグループ企業であるセキュアソフトのセキュリティニュースにおいて取り上げておりますので、詳しくはこちらをご参照ください。いうファイル拡張子を利用した攻撃が可能であることが話題となりました。ファイルは「設定」ページへのショートカットを作成する目的で使用されますが、中身のXML形式のファイルを書き換えることで任意のPowerShellの実行などが可能になります。攻撃者は細工を施した当該ファイルをWord文書に埋め込むなどして、マルウェアのダウンロードおよび実行を企図します。この攻撃はマクロ機能を使用していない点が特徴です。ファイルを実行することができなくなっています。ファイルが添付された不審なメールが国内で確認されました。クエリファイルのことで、WebサイトからExcelにデータを取り込む機能を持っています。攻撃者はこのファイルを悪用し、ユーザが開くとExcelが起動し、マルウェアのダウンロードが行われるよう細工を施します。ファイルを開く際と、コマンドプロンプト実行時の二回にわたり警告メッセージが表示されるため、気を付けていれば感染に至ることはありません。ファイルでは「保護ビュー」が機能しないため、その点は注意が必要です。".slk"のファイルにおいても「保護ビュー」を経ずにExcelを起動させる同様の手法が確認されています。ファイルを使用したフィッシングメールが増加傾向にあると言います。MS-DOSにおいて実行ファイルとして利用されていた拡張子の1つであり、互換性のため現在のWindowsでも起動が可能となっています。無関係のため、実行してしまわないようにしましょう。・不審なメールの添付ファイルは開かない。・OSやアプリケーション、セキュリティ製品を常に最新の状態にする。・信頼できないメールに添付されたWord文書やExcelファイルを開いた際、「保護ビュー」で閲覧する。・マクロに関する警告が表示された場合、「マクロを有効にする」「コンテンツの有効化」というボタンはクリックしない。・身に覚えのない警告メッセージが表示された際、警告の意味が分からない場合は操作を中断する。いった拡張子ファイルを通常業務で使用しない場合、WordやExcelのセキュリティ機能でファイル制限をかけておく。このような対策を行っていたとしても、今後新たな手法が発見されたりメールや添付ファイルの文章が巧妙であったりする場合には、感染を許してしまうケースは発生するでしょう。その際にマルウェアを検知・防御できるよう最新鋭のセキュリティ製品を導入し、適切に運用するとともに、いち早く感染に気付けるような監視体制を徹底しておくことが肝要です。5.e-Gateの活用についてサイバー攻撃への対策としてセキュリティ機器を導入する場合、それらの機器の運用監視を行うことが重要です。SSKの総合セキュリティサービス「e-Gate」では、最新の分析システムを活用し精度の高い検知、また専任のアナリストによる分析を行っております。「e-Gate」のセキュリティ監視サービスをご活用頂くことにより迅速なセキュリティインシデント対応が可能となります。■総合セキュリティサービス「e-Gate」SSK(サービス&セキュリティ株式会社)が40年以上に渡って築き上げてきたIT運用のノウハウと、最新のメソッド、次世代SOC"e-Gateセンター"この2つを融合させることによりお客様の情報セキュリティ全体をトータルにサポートするのがSSKの"e-Gate"です。いう3つのサービスを軸に全方位のセキュリティサービスを展開しています。Departments※本資料には弊社が管理しない第三者サイトへのリンクが含まれています。各サイトの掲げる使用条件に従ってご利用ください。リンク先のコンテンツは予告なく、変更、削除される場合があります。