脅威情報ネットの安全セキュリティ用語HOME組織のセキュリティ対策システムを感染させるためにマルウェアが使うPowerShellシステムを感染させるためにマルウェアが使うPowerShellTweetPocket組織のセキュリティ対策2016.5.9システムを感染させるために攻撃者が利用する最も一般的な手法の一つは、eメールです。このeメールによる攻撃でよく使用されるマルウェアは、ランサムウェアやバンキングマルウェアです。私たちは最近、次のようないくつかの興味深く巧妙な変化を発見しました。Officeドキュメント。このマクロが実行されると、ランサムウェアやバンキングマルウェアがダウンロードされます。WindowsのWscriptにより実行される、例えばLockyなどのランサムウェアをダウンロードするJavaScriptファイル私たちはrarファイルが添付される最近のeメール攻撃の1つを分析しました。このrarファイルの中に、私たちは.Inkファイルを見つけました。Inkファイルは第2段のマルウェアをダウンロードするため、PowerShellを使うことがわかりました。.lnkファイルについて見てみましょう。.lnkファイルの特徴.lnkファイルの調査時、私たちは次のコマンドを発見しました。PowerShellの実行このコマンドは.lnkファイルの起動時に実行されます。コマンドの実行.lnkファイルは次のような動作をします。非表示のウィンドウを開きます。ファイルをダウンロードします。このファイルは、「windows.scr」という名前で%TEMP%フォルダの中に保存されます。ダウンロードされたファイルが実行されます。次のようにファイルを直接取得することもできます。ファイルの実行%TEMP%フォルダにダウンロードされたwindows.srcファイルは、コマンドプロンプト(cmd.exe)で実行されます。マルウェアは実行している間、感染したマシンにいくつかの変更を加えます。これらの変更は、システムを再起動しても消えません。設定が消えないメカニズムは、schtasksコマンドを使用して、自動実行するタスクをシステムに作成しているからです。バイナリデータを調査すれば、次のような特性がわかります。Assemblyで保護されており、マルウェアのリバースエンジニアリングが困難なほか、より多くの情報を簡単に抜き取ることができます。私たちはさらに多くの特性を把握するため、マルウェアをロードしました。ファイルのプロパティのさらに細かい部分である関数やメソッドは難読化されていました。多くのサンドボックスシステム上では検知できないPowerShellと.lnkの組み合わせ一部の企業やセキュリティ研究者は、クローラーやその他の手段を利用して自動的にマルウェアの分析を行っています。私たちは、いくつかの有名なサンドボックス上でこのマルウェアを実行し、ふるまいの観察を試みました。この分析は、以下に挙げたいくつかの理由により失敗に終わりました。サンドボックスがPowerShellに対応しておらず、.lnkがマルウェアをダウンロードできなかった。サンドボックス内で.lnkの実行を試みたが失敗した。サンドボックスが.lnkファイルをサポートしていなかった。このように実際のサンドボックス環境では失敗するかもしれないため、該当のファイルが悪意のあるものかどうか断定できません。以下は、実行時に発生するエラーの1例です。理想的なシナリオとしては、PowerShellに対応しており、.lnkファイルを実行すると悪意のある動作を確認できるサンドボックス機能を搭載したマシンを準備することです。防御策このタイプの脅威から企業や組織を守るには、複数の防御策の組み合わせが効果的です。PowerShell)を使用して、PowerShellを実行するためのポリシーを変更する署名のあるPowerShellスクリプトのみ実行を許可する%TEMP%フォルダ内に不明な.exeファイルの保存を許可しない不明な.exeファイルの実行を許可しないAppLockerなどのWindowsの制限機能を適用するこれにより、感染したマシンやネットワーク上で悪意のある活動が実行される際の複数のサインを検知し、組織へのマルウェアの侵入を防御し、将来発生するであろう同様の脅威への対抗手段となります。私たちは、このマルウェアがIPアドレス174[.]127[.]99[.]183に接続しに行くことがわかりました。Total」(訳注:Google傘下のウイルスチェックサービス)を使用して確認した結果、以下のような別の悪意のある活動の存在がわかりました。調査を行った後、発見したセキュリティ侵害のサインを利用して対策を講じることが可能です。この分析で使用したハッシュは次の通りです。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。脅威情報ネットの安全セキュリティ。