BromiumブログBromiumブログ米国Bromium社の技術陣が発信した記事を中心に、最新の情報をご紹介いたします。2018年8月30日よりBromiumのユーザー企業ではメールの添付ファイルと比較して、Webサイトからのダウンロードを用いた攻撃の著しい増加が見られます。「複合攻撃」はより一般化しており攻撃者は複数の手口を並行して使用しています。脅威の侵入経路に関わらず、彼らの究極の目標である脆弱なアプリケーションをセキュアにする事が重要です。データの話シリーズは、エンドポイントの最後の防衛戦としてアプリケーションの隔離と制御を提供する、Bromiumの独自の視点からの動向や開発テーマをお伝えしています。前回はWebベースの攻撃について、過去18ヶ月間で見られた劇的な変化を考察しました。今回は、リンク、添付ファイル、ダウンロード、さらにこれらの複雑な相互関係について、頻繁に見られるトップ3の攻撃経路に焦点を当てます。メールの添付まず、ここでの用語の幾つかについて、レベル合わせをさせてください。“添付ファイル”とは何を指すものでしょうか。この話題の分野では、エンドポイントPCにファイルが最終的に到達するしくみについてお話しします。Outlookでは、この一連の操作を完了するために、リンクやWebブラウザを使用しません。インターネット経由で最初にダウンロードしてから、後続する操作で開くというものです。ファイルのダウンロードと電子メールはほぼ均等に分かれており、ダウンロードの方が僅かに多い事がわかります。信頼できない悪意のあるファイルを対象にハードウェア的に隔離してきました。今回のコラムでは、最も顕著に抜きん出て使用されている2つの経路に焦点を当てています。四半期データの方は、よりはっきりと傾向を示しています。悪意のあるファイルのほぼ70%がWebブラウザでのダウンロードに由来していることがわかりました。最終的にはブラウザを使って1つ以上のファイルをダウンロードしています。365やGmailなどのWebメールシステムを使用して電子メールを開く場合、またはリモートファイルのダウンロード場所への直接リンクが含まれている場合に起きることです。我々は、これらの実行ファイル(.exe)の大半がダウンロードされたことを認識しました。実行の予防措置がとられていることもある傍られです。この傾向の終わりや最終的な逆転と言うには、まだあまりにも早いと思います。この点については2018年の下半期のデータが出る頃に再考しましょう。彼らは単に収益がでる手段に走っており、より効率よく稼げる方法に集中している。#2:検出回避メールの添付ファイルの場合、既知のマルウェアを検査するのはかなり簡単である。配信前のファイルサイズなどで判定することができます。それでも特に時間の勝負でない場合、一定の成果は得られる。ファイルのダウンロードについてユーザは時間に敏感である。新しいファイルハッシュを生成することで、ウイルス対策製品ベンダーがこれまで見たことがないものにできてしまう。長時間の遅延によるユーザーの不満を回避するため、迅速に判定を行いその有効性が制限されてしまう。企業組織は、偽陽性と偽陰性の双方を含め、正しい、または間違った判定で暮らしていく必要がある。彼らの多くは圧倒的に基本形に固執しています。これについては検知、検出に焦点を当て続けてきたセキュリティ業界が、過去三十年間取り組んできたものと同じものです。情報収集と慎重なターゲット選定の組み合わせで攻撃が効果的になるレガシーのブラウザ使用の場合を除き、今では無視できるレベル近くまで減少しています。頻繁に、多くの場合、個々の受信の都度新しい形態をとる、ポリモーフィックを生成するために自動化されたツールを利用し、攻撃プログラム本体部分を動作させることができます。直接的なダウンロードリンクはより効果的です。これまでにないフィッシングの試みは、偽装ウェブサイト、ブラウザの悪用、または悪意のあるファイルのダウンロードを介し、資格情報の詐取につながる可能性があります。悪意のあるメールの添付ファイル:依然、よく使われる手法ではあるが、クラウド上のメールのサンドボックス、その他ネットワーク上やエンドポイントでの対策により成功率が落ちており、攻撃の3分の1未満に低下しています。人気があり続け、多くの場合、メール内のリンクによって始動する。これらのダウンロードファイルは、主にOffice文書の形式で、pdfや、復活しつつある実行ファイルと共に使用されています。私たちのデータでは、画像ファイル、メディアファイル、またはプレーンテキストファイルを使用した攻撃のリスクが、別のファイル種別へのなりすましを排除するためにmimeチェックが使用されている以上、わずかに存在します。2018から戻り、そこで再度見たものは、すべてがデジャブのようでした。1件の検出見過ごしが壊滅につながり得る世界では、見当違いな話です。何もかもが遥かに変化したにも関わらず、依然、最初のPCウイルスが着弾して以来同じ戦いを戦っています。それはゲームを根本的に変更することができます。ユーザの人々は常にオンラインで忙しい状態であり、常に注意しているとは限らないのです。添付ファイルを開くことより、リンクのクリックの方が安全だと思われている場合があります。別のユーザはリンクが実際に直接的にダウンロードにつながることを認識していない場合もあります。組合せをすべてを同一の目的を達成するために活用することができます。このような巧妙な実例のように:添付ファイル、リンク、およびダウンロード:この単一の電子メールは、3つの別々の攻撃のベクトルを組み合わせている。ダウンロードの方が勢いを持っているように見えます。Web上でのサイトカテゴリーやマルウェア検出を避ける上ではるかに簡単です。常に利用可能なあらゆる攻撃経路を介して新たに悪用されるため、今は自己満足している時ではありません。現在の傾向が継続している場合、セキュリティベンダへの影響は以下のように考えられます。その最終的な目的、つまり脆弱であるアプリケーションへと焦点を変えなくてはいけません。その行先は常に同じです。Reader、または悪意のある実行形式ファイル。すべての信頼されていない受信ファイルをハードウェアによる仮想化ベースのセキュリティで保護します。約99%の有効性で打ち切っているように見なされ、追加での精査の必要性に直面するかもしれません。無料のソリューションでも有償版と同じくらい良いですが、伝統的なモデルは最終的には分岐点に至ることがあります。すべて何らかの方法での”検出”なのです。私たちはこんにちのサイバー攻撃の分野でダウンロードを多く目の当たりにしています。接続を切断している間ですら、それを実現できる準備が整っています。次回は、私たちのBromium研究チームが情報提供する、特に極悪非道な脅威の内容をご紹介します。実際にユーザ企業のサイトで、強固な防御層を「航海」した唯一の生きた検体を、実際にユーザが使用していたBromiumによって隔離されたものを捕獲したものです。ネットバンキング詐欺ツールの一種、Emotetが仕組まれた検体群を分析し、比較してみました。口で、シグネチャ方式での検出を回避します。再パッケージされドロップされた実行ファイルは、それまで存在しなかったものです。このため、アプリケーションの隔離と制御が重要です。唯一の安全なアプローチである、検出に頼らない保護が必要です。最近のマルウェア技法には、単にファイルをコピーするだけで検出を回避するものがあります。それがどのように動作するかを順を追って解説します。革新的なハッカーは、検出を回避する、洗練されたマルウェアを継続的に生みだしています。Office文書や、OSに標準で実装されているPowerShellだけで成り立つ攻撃手法は、マルウェアとして検知することが大変困難です。●今回は、こうした種類の実際のマルウェアの一つを実例に、解析手順をご説明しながら、その中にみられる作成者の手法を具体例としてご紹介します。