〔エモテットの話し、再び…。〕

※ 再度、エモテットの話しを「おさらい」する…。

※ 全体像は、こんな感じ…。

※ ちょっと、分かりにくいので、部分を少しくわしく検討する…。

※ まず、発端は「メール」で送られてくる「wordのファイル」だ…。

※ 添付ファイルがあって、それを「クリック」して「開く」と、「マクロ」が実行される…。それが、「侵入」の始まりだ…。

※ だから、wordの添付ファイルは、「絶対、開いちゃ、ダメ!」だ…。

※ エモテットが活動を開始して、まずやることは「解析環境(マルウエア対策で、常時、システムやネットワークを解析している環境が、整っている)」にあるかどうかを、チェックすることだ…。

※ そのチェックも、「エモテット自身」がやるのでは無く、「C&Cサーバ」サイドで実行する…。

※ そして、「解析環境に無い」と判定した場合にだけ、活動して、「レジストリの書き換え・書き込み」を実行する…。

※ そして、このマルウエアの「巧妙なところ」は、盗んだデータを送信したり、いろいろ「悪さ」を実行する「モジュール」が、「システム・サイド」にファイルとして残らない・残さないように「設計」されている点だ…。

※ 「ファイル」では無く、「メモリ」に直接ロードされるように「設計」されているらしい…。

※ そして、「Outlook」がインストールされている場合は、Outlook自身に用意されている.exeを使用して、どんどん「メール関係のデータ」を収集して、C&Cサーバに送信する…。

※ しかもだ、その「Outlook自身に用意されている.exe」も、「中身がくり抜かれていて、ファイル名としては「正規」のものだが、実体は別物」という感じのものになっているそうだ…。

※ そういう「ヤレヤレ」な「マルウエア」で、世界中で「猛威を振るった」…。

※ それで、今般、ともかくも、その「C&Cサーバ」にアクセスしていた「実行犯」(の一部)のアジトを急襲して、とっ捕まえた…、というような話しだ…。

「エモテット」ネットワークを制圧 国際的合同捜査で

https://www3.nhk.or.jp/news/html/20210129/k10012838301000.html

※ これが、かの「C&Cサーバ」の実相か…。意外と、ショボいな…。

※ ああ、そうか…。「サーバ」自体は、「レンタルサーバ」で、どっかの「クラウド上」に置いてあるわけか…。

※ こいつは、そこに「アクセス」したり、ごく「軽い」仕事用なわけだな…。それにしても、ショボいな…。

※ いかにもな「システム」だ…。いずれ、そう大層なものじゃ無い…。

※ 押収された、HDDの山だ…。ぶっこ抜いた「違法データ」がタンマリ…、というわけか…。

※ これは、何だろう…。ちょっと、分からんな…。

※ これは、凄い…。大量の「金の延べ棒」だ…。

『世界中で猛威を振るっていたコンピューターウイルス、「エモテット」について、ユーロポール=ヨーロッパ刑事警察機構は国際的な合同捜査の結果、ウイルスのネットワークを制圧したと発表しました。

ユーロポールは27日、オランダやアメリカ、ウクライナなど8か国の治安当局などとの合同捜査の結果、コンピューターウイルス「エモテット」を拡散させるネットワークの情報基盤に侵入して制圧し、内部から停止させたと発表しました。

「エモテット」は添付ファイルなどを通して感染するウイルスで、一度感染すると個人情報が流出するだけでなく、他のウイルスの侵入も招くのが特徴で、日本など各国で被害が報告され、世界で最も危険なコンピューターウイルスとも言われています。

発表によりますと「エモテット」は世界中にある数百台のサーバーを経由する広範なネットワークによって拡散されていたということですが、今回、ネットワークの情報基盤自体を制圧したことで、「エモテット」によるサイバー犯罪は収束に向かうとみられています。

また合同捜査に参加したウクライナ警察はハッカー集団を支援していたとしてウクライナ人2人を拘束したと発表しました。

ウクライナ警察によりますと、「エモテット」によって欧米の金融機関などにこれまでにおよそ25億ドル、日本円にして2600億円余りに上る被害が出ていたということです。

ウクライナ警察 ハッカー集団の拠点を捜索

ウクライナの警察当局は、東部の町ハリコフで「エモテット」を拡散させていたとみられるハッカー集団の拠点の一つを26日、家宅捜索し、その映像を公開しました。

映像では捜査員らが集合住宅のドアを破って部屋に入り、中にいた男たちから事情を聴くとともに、複数のパソコンやハードディスクなどを押収しました。

また大量の紙幣や金塊も見つかり、ハッカー集団が潤沢な資金を得ていたことがうかがえます。

ウクライナ警察はこれまでに、ハッカー集団を支援していたとして2人のウクライナ人を拘束したほか、ハッカー集団のメンバーを特定し、捜査を続けているとしています。

ウクライナ警察によりますと、「エモテット」が欧米の金融機関などに与えた被害の総額は25億ドル、日本円にして2600億円余りに上り、犯行に加わったハッカー集団のメンバーには最高で12年の懲役刑が科されるということです。

世界中で猛威 200超の国と地域で感染確認

「Emotet(エモテット)」はおととしから本格的な流行が始まったコンピューターウイルスで、これまでに200を超える国と地域で感染が確認されるなど世界中で猛威を振るっていました。

エモテットは送られてきたメールの添付ファイルを開くなどして端末が感染すると連絡先やメールの内容が盗み取られ、知り合いや取引先などと過去に実際にやり取りした文書を引用して、さらに偽のメールを広げます。

また感染すると別のウイルスをダウンロードする機能もあり、クレジットカードの情報などを盗まれるおそれもあります。

調査を行った大手IT企業の「シスコシステムズ」によりますと、「エモテット」はおととしから世界中で本格的に流行し、多いときではウイルスを感染させるメールがひと月に数十万通拡散され、感染した端末が確認された国と地域はこれまでに200を超えているということです。

偽のメールの件名は「invoice(請求書)」が最も多く見られたということですが、日本語の「会議開催通知」もかなり多く見られ、日本も主な標的の一つになっていたと見られます。

情報セキュリティー会社の「トレンドマイクロ」によりますと、日本では去年9月に最も感染が広がり、9月の1か月間で「エモテット」を感染させるメールが届いた国内の端末の数は4万6012件と前の月の8倍になり、その後も減少傾向になっていたものの、感染の被害はことしにかけても続いていました。

今回の摘発によって「エモテット」については活動が収束すると見られますが、同様に巧妙な手口でメールを利用する新たなウイルスが今後も現れるおそれがあり、摘発したユーロポール=ヨーロッパ刑事警察機構はメールの添付ファイルの開封は特に気を使うよう呼びかけています。』

Emotet(エモテット)の話し(その2)

※ Emotet(エモテット)の話し、途中になっていたな…。

※ コロナ騒ぎで、それどころじゃなくなったな…。あの時、画像も大分キャプチャしたはずだったが、もはやどこに行ったのか、見つけられなかった…。

※ それで、新たに検索かけて、別記事からキャプチャした…。

流行マルウェア「EMOTET」の内部構造を紐解く
2018.12.25
コンサルティングサービス事業本部
サイバーインテリジェンスグループ
吉川 孝志、菅原 圭
https://www.mbsd.jp/blog/20181225_2.html

吉川孝志の他のブログ記事を読む
https://www.mbsd.jp/blog/yoshikawa_index.html

菅原 圭の他のブログ記事を読む
https://www.mbsd.jp/blog/sugawara_index.html

Emotetの猛威再び…。

Emotetの猛威再び、攻撃メールを見破るポイントは差出人や署名にあり
https://xtech.nikkei.com/atcl/nxt/column/18/00001/04576/

※ ともかく、「無闇に、安易にクリックするな!」これに尽きる…。

※ 「添付ファイルは、まず開くな!」

※ 「一拍、呼吸を置いて、よく考えよう。」

『2019年秋に大きな被害をもたらしたマルウエア「Emotet(エモテット)」が再び猛威を振るい始めた。セキュリティー組織やセキュリティーベンダーは相次いで注意を呼びかけている。Emotetは「進化」を続け、今では差出人の詐称や添付ファイルの暗号化などの危険な仕掛けを幾つも備えている。

関連記事:Emotetが「感染爆発」の兆し、トレンドマイクロかたる悪質な引っかけの手口
 最新のEmotetによるサイバー攻撃の特徴は何か、どうすれば被害を防げるのか――。トレンドマイクロは2020年9月9日、サイバー攻撃の脅威動向「2020年上半期セキュリティラウンドアップ」について説明会を開いた。そこからEmotetの最新動向が分かった。

バックドアへの「アクセス権」が売られる
 「企業ネットワークへのアクセス権を販売する動きが見られる」。同社の岡本勝之セキュリティエバンジェリストは2020年上半期のサイバー犯罪の動向をこう説明する。攻撃者は何らかの方法で企業ネットワークに侵入してバックドアを構築し、そのバックドアを使う「権利」を販売したりレンタルしたりしているという。

 「既に英国企業のネットワークにアクセスする権利が販売された事例がある」(岡本セキュリティエバンジェリスト)。同社はバックドアの販売/レンタルを「アクセス・アズ・ア・サービス(AaaS)」と名付けた。

ネットワークへのアクセス権を販売する書き込み例
(出所:トレンドマイクロ)
[画像のクリックで拡大表示]
 岡本セキュリティエバンジェリストは「AaaSとEmotetは関係がある」と話す。攻撃者は、不特定多数に向けて同じ文面のなりすましメールを送り、マルウエアに感染させたりフィッシングサイトに誘導したりする「ばらまき型メール」でEmotetを拡散させている。メール受信者が誤って添付ファイルを実行するなどでEmotetに感染するとパソコンに保存されたメール内容やメールアドレスを盗まれ、その情報はネット上の指令サーバー(C&Cサーバー)に送られる。

 最近のEmotetを使った攻撃では、情報を盗むだけでなく他のマルウエアやトロイの木馬ウイルスに感染させて企業のネットワークにバックドアを構築するケースがある。「他の犯罪者が侵入するという危険性がある」と岡本セキュリティエバンジェリストは警鐘を鳴らす。Emotetの感染を検知できなければ、Emotetを仕掛けた攻撃者だけでなくAaaSでアクセス権を購入した別の攻撃者にも不正アクセスを許してしまうというわけだ。

 トレンドマイクロの調査によれば、Emotetを使った攻撃はたびたび活動を休止する傾向がある。2019年10月から攻撃が活発になったEmotetは2020年になっても猛威を振るった。2020年も新型コロナウイルスの感染拡大に便乗した攻撃が増えると思われたが、実際は2月上旬から7月中旬にかけてC&Cサーバーが休止したという。

日本におけるEmotetの検出数の推移
(出所:トレンドマイクロ)
[画像のクリックで拡大表示]
 しかし2020年8月に活動を再開。「日本国内では8月からEmotetの検出数が急増している」(岡本セキュリティエバンジェリスト)と注意を促す。

差出人に「さん」がつく
 攻撃者はEmotetに感染したメール受信者から不正にアドレス帳やメールアドレス、メールの内容などを盗み取る。盗んだ情報を基に別の感染者から攻撃メールを送信する際、メールの文面などをそのままコピーするため、サイバー攻撃を受けていると見抜くのがかなり難しい。「トレンドマイクロのアンケートをそのまま利用したメールもあった」(同)という。人の隙につけいる悪知恵にたけている。

 ただし盗んだアドレス帳の表記をそのまま使うため、差出人や署名がおかしな攻撃メールが散見されるという。例えば同社が観測した攻撃メールでは差出人や署名が「営業部 大久保さん」となっていた。明らかにおかしい。

 これはEmotetに感染した人がアドレス帳に「営業部 大久保さん」と登録し、それを盗んだ攻撃者がそのまま流用したためと思われる。機械的に攻撃メールを作成するため、そこまで気が回らなかったのであろう。岡本セキュリティエバンジェリストは「差出人や署名に違和感を覚えるメールを受け取ったらEmotet攻撃と疑ったほうがよい」とする。

差出人や署名がおかしなメールの例
(出所:トレンドマイクロ)
[画像のクリックで拡大表示]
 防ぐ手立てについて岡本セキュリティエバンジェリストは「マクロを有効にしないこと」と強調する。Emotetは攻撃メールに添付されたMicrosoft Officeファイルを開き、マクロを実行してしまうと感染するからだ。マクロを実行しなければ感染はしない。情報システム部門やセキュリティー部門は従業員に安易に添付ファイルを開かないことやマクロを有効にしないことを改めて周知徹底したい。』

米大統領選、中ロが大規模サイバー攻撃 Microsoftが警告

https://www.nikkei.com/article/DGXMZO63717130R10C20A9000000/

『【シリコンバレー=佐藤浩実】11月の米大統領選が迫るなか、ロシアなど外国勢力によるサイバー攻撃の懸念が強まっている。米マイクロソフトが10日に公表した報告書によると、ロシアのハッカー集団は過去2週間で政党や支援団体など28の組織に攻撃を試みた。中国やイランからの攻撃も続いており、同社は多要素認証などでの防御を呼びかけている。

国家の関与が疑われるサイバー攻撃の動向を調べた。ロシアのハッカー集団「ストロンチウム」は2019年9月~20年6月にかけて200以上の組織を攻撃。8月18日~9月3日の2週間では28組織に属する6912アカウントのハッキングを試みた。「攻撃はいずれも成功していない」(マイクロソフト)という。

【関連記事】
米、大統領選干渉でウクライナ議員に制裁 ロシアの手先

ストロンチウムは選挙関係者のアカウント情報を得るため、考えられるパスワードを総当たりで試す「ブルートフォース攻撃」と、複数のアカウントに対して同時に1つのパスワードを試す「パスワードスプレー攻撃」をしかけた。16年の大統領選では特定の標的から情報を奪う「スピアフィッシング」が主流だったが、攻撃はより大規模化している。

中国のハッカー集団「ジルコニウム」も大統領選に関わる情報を手に入れようと攻撃を続けている。3~9月に検知した攻撃は数千件に上り、150件近い情報漏洩が発生した。失敗に終わったものの、民主党のバイデン前副大統領の関係者を対象にした攻撃もあったという。イランの「フォスフォラス」は5~6月にかけてトランプ大統領の選挙活動に関わるスタッフのアカウントへの侵入を試みた。

選挙のような国家の動向を左右する大型イベントでは、サイバー攻撃が活発化しやすい。マイクロソフトはパスワードと生体認証などを組み合わせる「多要素認証」を徹底するなどして、攻撃を回避するよう呼びかけている。同社はセキュリティー関連の事業を手掛けており、サイバー攻撃についても不定期で報告書を出している。』

ランサムウエア、狙われた病院 システム停止で身代金要求

 ※ ヒデー話しだな…。病院だったら「ファイル」が使用できなきゃ、人命にかかわってくる…。こうなると、「財産的な損害」だけの話しじゃなくなってくる…。

 ヤレヤレな世の中に、なって来たもんだ…。

 ともかく、「ハッキング」「クラッキング」の構図が、「大がかり」で、「根こそぎ浚って(さらって)行く」ものへと、変貌している感じだ…。

 その始まり、端緒は、「標的メール」から…、ということが多い…。

 しかし、「クリックさせる手口」も、日々巧妙化して行っている感じだ(オレも、この間やられたしな…)…。

 ともかく、「クリック」する前に、「一旦、踏みとどまって、考える。」癖を、つけんとな…。

『医療関連の組織がサイバー攻撃の標的となっている。新型コロナウイルス流行後も海外では病院のデータを凍結して「身代金」を要求する攻撃が起き、ワクチンなどの研究情報を狙う動きが表面化した。セキュリティー意識の遅れが指摘される国内の医療機関にとっても対岸の火事ではない。

チェコ第2の都市ブルノにある大学病院は3月13日朝、混乱に陥った。パソコンの画面に脅迫文が表示され、院内のシステムが使用不能になった。内部データを暗号化し、解除のための金銭を要求する「ランサムウエア」による攻撃だった。

新型コロナの検査も担う同国の中核病院の一つだが、一時は手術の延期や急患の受け入れ停止を余儀なくされたという。システムの完全復旧には数週間を要した。

攻撃を解析したセキュリティー会社アバストのヤクブ・クロウステク氏によると、使われたランサムウエアは「Defray」(デフレイ)。2017年には欧米の医療・教育機関への攻撃キャンペーンで使用された。

セキュリティー会社セキュアワークスによると、デフレイを使うグループはウイルスを仕込んだメールを送りつけるなどして内部システムに侵入。管理サーバーを掌握し、ネットワーク内の端末にデフレイを一斉に配信する。さらに不正アクセスを繰り返して復旧を妨害し、身代金を支払うよう追い込んでいく。

同社カウンター・スレット・ユニットの玉田清貴リサーチャーは「技術力の必要なツールを複数駆使し、攻撃レベルは高い」と語る。医療機関のシステム停止は人命に関わる。「復旧を優先して支払いに応じる確率が高いとみて標的にされる」

6月には、新型コロナの検査などに関わる米カリフォルニア大サンフランシスコ校の医学部で、別のランサムウエア「NetWalker(ネットウォーカー)」による被害が判明。同校は「苦渋の決断」として、データ回復のため約114万ドル(約1億2千万円)を攻撃者側に支払うと表明した。

同じランサムウエアは3月にスペインの病院への攻撃にも使われたとされる。セキュリティー会社米マカフィーは、ネットウォーカーを使う攻撃者側への暗号資産(仮想通貨)ビットコインの送金を追跡。3~7月だけで複数の組織から計2500万ドル(約26億5千万円)の身代金を脅し取ったとみている。

新型コロナのワクチン開発や臨床試験に取り組む研究機関や企業の情報も狙われている。

英米とカナダの当局は7月、「APT29」と呼ばれるロシアのハッカー集団が20年に入り継続的に3国でワクチン開発に関わる様々な組織に攻撃を仕掛けていたとして非難する声明を出した。

APT29は情報を盗み取るマルウエア(悪意のあるプログラム)を使うとされ、同系統のマルウエアは18年に日本企業への攻撃にも使われた。当時解析したラック・サイバー救急センターの石川芳浩氏は「いつ日本の研究機関などが狙われてもおかしくはない」とみる。

国内の医療機関の多くは患者情報などを扱うシステムを外部と切り離しており「攻撃を受けにくいという前提でセキュリティー意識が十分に高まってこなかった」と医療業界の関係者は話す。

だが18年には奈良県の病院の電子カルテシステムがランサムウエアに感染し、約1千人分の情報が暗号化される被害が起きた。近年、電子カルテのクラウドサービスを導入する施設も増えている。

医療機関などで国内外のサイバー攻撃の情報を共有する団体「医療ISAC」(東京)の深津博代表理事(愛知医科大病院医療情報部長)は「業界全体でセキュリティーの議論を深めていく必要がある」と強調する。』

「アドレス帳」、ハッキングされた…ぽい…。

※ 今日は、こんなところにしておく…。

※ というのは、朝からメーリングソフトの「アドレス帳」がハッキングされ、記載していた「アドレス」が流出したらしく、その後始末に追われ、バタバタしたからだ…。

※ いきさつは、こうだ…。

※ メーリングソフトは、ジャストシステムのShurikenというものを、愛用していた…。

※ しかし、win10に変えたら、うまく動作しなくなった…。

※ それで、某有名無料メーリングソフトに乗り換えた…。

※ 最近、「更新」を促す表示が出たので、鵜呑みにして、クリックして「更新した」…。

※ そしたら、オレが使っている「ガラケー」に、標的メールらしきものが送信されて来たんだよ…。

※ そのメーリングソフトの「アドレス帳」の情報が、流出した…、としか思われない…。ケータイのメアドで、とても記憶できるシロモノじゃ無いからな…。自分のケータイに下書きを送って、仕上げる…、というようなことをやっていたので、自分へのケータイ・メアドを載せていた…。

※ 「アドレス帳」がハッキングされたとなると、そこに載っている人みんなに、「標的メール」が送信される危険性がある…。

※ それで、いきさつと「注意喚起」のメールを、記載していた皆さんに送る必要があった…。

※ 対策としては、メーリングソフトを変えて、「アドレス帳」の方は、「メモ帳」にテキスト形式で転記して、保存しといた…。

※ 現在、経過を観察中だ…。

※ Emotet(エモテット)の例にもあるように、「アドレス帳」がハッキングされると、自分だけでなく、そこに載っている人全員が迷惑する…。後始末が、大変になるんだ…。

※ イヤな世の中に、なったもんだな…。

「今こそEDR-高度化するサイバー攻撃を迎え撃つ-」

『高度化したサイバー攻撃、ファイルレスマルウェアとは?
サイバー攻撃が高度化した今、万全の対策をしていても被害に遭ってしまう、ということが増えています。なかでも、高度化する脅威として危険視されているサイバー攻撃が、ファイルレスマルウェアです。このファイルレスマルウェアは、exeファイルなどの実行ファイルを使用せず、OS標準のツールを使用し、メモリー上で不正なコードを実行するのが特徴です。

通常のマルウェアによる攻撃の場合、実行ファイルがディスク上に保存され、メールの添付ファイルや、メールの文面でリンクされたWebサイトにアクセスすることで感染します。現在、多くの企業で導入されているEPPでは、実行ファイルに含まれるシグネチャと既知の脅威とのパターンマッチングを行い、水際で被害を食い止めます。しかし、実行ファイルを使用しないファイルレスマルウェアは、そもそもシグネチャがない、すなわちパターンマッチング対象が存在しないため、EPPでは検知することができません。

ファイルレスマルウェアの感染経路
ファイルレスマルウェアが危険視されている理由はこれだけではありません。それは、被害に気づいたとしても、感染原因や攻撃手法をつきとめることが極めて困難である点です。では、ファイルレスマルウェアの感染原因や攻撃手法はどのようになっているのでしょうか。

代表的な例では、実行形式ではないショートカットファイルやレジストリなどがメールに添付されます。そして、そのメールを開封し、添付されたファイルをクリックすることで感染しますが、その際、利用されるのがPowerShell などのOS標準のツールなのです。ディスク上ではなく、PCのメモリー上に悪意あるコードを展開して実行し、感染したPCを不正に操作します。

ファイルレスマルウェアの特徴をまとめると、以下の3点があげられます。
実行ファイルがなく、PCのディスク上に保存されない
EPPでは検索対象外である「メモリー」上で動作する
PowerShellなどの動作はログが残らないこともあり、検知や攻撃手法の特定が困難である
このようなファイルレスマルウェアは、1日当たり数万もの新種が誕生しているとも言われ、今後もさらに増加すると見られています。

これからのサイバー脅威に対抗するには、「侵入後の迅速な対応」を行うことが重要
サイバー攻撃が高度化の一途をたどる昨今、EPPのような既知の脅威を防御する手法だけでは、安全性を確保することがほぼ不可能です。侵入された後の挙動を分析して、脅威を検知する対策が重要となってきます。そこで登場するのが、新たなセキュリティ対策製品EDR(Endpoint Detection and Response)です。

EPPが主に既知の脅威から防御するものであるのに対し、EDRは不正な挙動・振る舞いを検知し、感染後の対応を迅速に行うことを目的としたセキュリティ製品です。EDRにより、EPPで検知できなかったファイルレスマルウェア等による不正な挙動をいち早く検知し、対応することが可能になります。

まとめ
大規模な被害を与えたサイバー攻撃が、企業環境内で検出されるまでの時間は、全世界で日本が最も遅く、平均17時間※1を要していることが分かっています。
ただし、この数字は最良のケースであり、データ漏洩事件の68%※1は、発見されるまで数カ月以上かかるということも分かっています。この数字だけで見ても、侵入したサイバー脅威が組織全体、関係各所に広がり、大きな被害をもたらす危険性が容易に想像できるでしょう。
※1 出展:ソフォス社「7つの気になる真実-エンドポイントセキュリティ」

今後、サイバー脅威はさらに進化し、ファイルを一切使用しない攻撃手法が生まれることも考えられます。こうしたリスクを少しでも軽減するためには、既知の脅威に対する防御に加え、感染をすばやく検知し、迅速な対応を行うことが重要です。』

高度化するマルウエアの攻撃手法、EDRはその手口をどう見抜く

高度化するマルウエアの攻撃手法、EDRはその手口をどう見抜く
高槻 芳 日経クロステック/日経コンピュータ
https://xtech.nikkei.com/atcl/nxt/column/18/01367/082000005/ 

『攻撃の発覚を避けようと工夫する最近のマルウエア。それに対抗するEDRは、端末の多様な情報を収集・解析。攻撃のわずかな痕跡や振る舞いも見逃さない――。その仕組みを解剖する。

 最近のマルウエアは非常に高度な手法を使ってパソコンへの攻撃を隠し、発覚を避けようとしている。マルウエア本体を小型化し、感染先の端末に元からある正規のプログラムを流用するなど、隠蔽の手口は洗練される一方だ。

 その代表例が2019年末から日本に甚大な被害をもたらした「エモテット(Emotet)」だ。このマルウエアはOfficeファイルのマクロを使ってパソコンに感染する。マクロがWindows標準搭載のコマンドラインツール「PowerShell」を起動し、PowerShellコマンドによってEmotet本体をメモリー上にダウンロードして実行する。パソコンのハードディスクにはマルウエアの実行に必要な最低限のファイルしか置かないため、ファイルを分析する従来のウイルス対策ソフトで検知するのは困難だ。

 2020年6月にホンダを襲ったとされるランサムウエア「Ekans」の仕組みも高度だ。本来の攻撃であるファイルの暗号化に先立ち、Windowsが備えるネットワーク設定ツールを使って正規のファイアウオールの設定を変え、端末の通信を妨害していた。これも攻撃の発覚を遅らせる仕組みだ。

 たゆまぬ“研究”の形跡が見られる現代のサイバー攻撃。対抗するには「被害に遭った端末を速やかに発見して対処するのに尽きる」。アクセンチュアでユーザー企業のセキュリティー監視チームなどを支援する、テクノロジーコンサルティング本部セキュリティグループの坂根康之マネジング・ディレクターはこう指摘する。

2つの手法でマルウエアを検知
 対策の要となるのがEDRによって攻撃を「検知」する機能だ。マルウエアが端末の内部に侵入したのか、さらにシステムに感染したのか。それをEDRは主に2種類の手法で検知する。

図 EDRにおける攻撃の「検知」と「封じ込め」
エージェントと解析サーバーが連携して攻撃の痕跡を解析
[画像のクリックで拡大表示]
 1つは、端末のイベントログなどから感染の「痕跡」を見つけ出す手法だ。現実社会の警察官が、事件現場に残された数々の証拠を分析して犯行を特定していくように、EDRはマルウエアの被害に遭った端末や感染範囲などを突き止める。

 EDRは端末に導入したエージェントを使い、端末の様々な情報を収集して記録する。対象とする情報はファイルの作成やプロセスの起動、レジストリーの変更など多岐にわたる。防犯カメラで人の動きを記録するのと同様、端末の挙動を記録し続けている。』

『EDRは記録したデータをクラウド上のサーバーに集めて解析し、攻撃を受けた結果生じる侵害の痕跡がないかどうかを判定する。痕跡とは例えば「マルウエアのハッシュ値やファイル名」「攻撃に利用される外部サーバー(C&Cサーバー)のIPアドレスやURL」「マルウエア感染時に変更されるレジストリー名や値」などだ。EDRベンダーやセキュリティー組織などから「IOC(Indicator of Compromise)」と呼ばれるサイバー攻撃の痕跡情報を入手し、解析に役立てている。

図 マルウエアの感染状況をリモートから調査するEDR
エージェントとクラウド上の解析サーバーが密に連携
[画像のクリックで拡大表示]
 EDRが備えるもう1つの検知手法は、端末の「サイバー攻撃と疑わしい振る舞い」を動的に検知するものだ。前者が過去データに基づく静的な検知とすれば、後者はリアルタイム情報に基づく動的な検知だ。不審な人物の行動をカメラで監視する警備員のように、攻撃時に発生する特徴的な振る舞いをEDRのエージェントやクラウド上のサーバーに組み込んだ検知ロジックで検知する。

 「人工知能(AI)や機械学習を駆使して『どうやら攻撃が始まりそうだ』との兆候を察知する」と、米クラウドストライクのマイケル・セントナスCTO(最高技術責任者)は説明する。

 マルウエア自体は次々に新種が登場し派生しており、IOCなどの痕跡情報を使って網羅的に検知するのは難しい。一方、感染後に生じる端末内部の情報窃取やファイルの暗号化といった攻撃パターンや“クセ”なら、むしろ検知ロジックで絞り込みやすい。こうした考え方に立った検知手法であり、前述のエモテットのように従来のウイルス対策ソフトを欺いて防御をすり抜ける攻撃についても効果が期待できる。

 EDRはマルウエア感染を検知すると、ユーザー企業のSOC(Security Operation Center)やシステム管理者にアラートを送り、自動または手動で感染端末から外部への通信を遮断する。情報漏洩や他の端末への感染拡大を封じ込めた上で、感染した端末を元の状態に修復する。

 こうした一連の検疫活動に並行して、どのような攻撃が行われたかリポートも作成する。検知や封じ込め、修復といった機能は自動化されている場合が多い。だが、人の判断が必要になる巧妙な攻撃の手口については、やはりEDRを導入した全端末から集まる情報を人間が分析し、個別に対策を講じる必要がある。攻撃内容のうちリスクの高いものから優先順位をつけ、全体として迅速かつ合理的な対応を図るのも重要だ。

 EDRは主にイベントログや解析結果を基に、感染の経緯や経路、影響の範囲を調べてリポートを作る。端末がどのようなツールをダウンロードして実行したか、どこに通信しているか、OSの再起動時にマルウエアが実行されるような設定がなされているか、など攻撃の実態を把握していく。

 EDRの中にはAIによる調査支援機能を備えるタイプもある。AIが初期段階でインシデント情報を整理し、優先順位をつけてからSOCの分析官などに渡す。そうすると分析官はより深刻なインシデントに集中して調査できるようになる。

 EDRによる調査支援は攻撃への迅速な対応だけでなく、再攻撃されるリスクを軽減するのにも役立つ。自社を狙う特定の攻撃パターンを把握できれば、それを基に自社専用のIOCを作成できる。それがサイバー攻撃に対する検知精度を高めることにつながる。』

NTTコム・サイバー攻撃事件の深層、多要素認証を無効化されていた

https://xtech.nikkei.com/atcl/nxt/column/18/01157/081900017/

 ※ 文章の内容は、同じであるようだ…。

 ※ 警鐘を鳴らす意味で、再度掲載し、図が掲載されていたので、それを貼っておく…。

『NTTコミュニケーションズに対する2つのサイバー攻撃が明らかとなった。延べ約900社・組織の顧客情報が外部に流出した可能性がある。撤去予定だった海外の運用サーバーの「隙」を突かれた。後日、社員になりすました不正アクセスも判明した。攻撃者は端末の多要素認証を無効化し、社内システムに入り込んでいた。

 「まさか日本のセキュリティー業界のリーダーであるNTTコミュニケーションズが被害を受けるとは」。サイバーセキュリティーに詳しい業界関係者は口をそろえる。

 NTTコムは2020年5月28日、サーバーなどの自社設備がサイバー攻撃を受け、顧客情報が外部に流出した可能性があると発表した。7月2日には、社員になりすました攻撃者から不正アクセスを受け、顧客情報の流出範囲が拡大した恐れがあることも公表した。

 一連の攻撃により、防衛省や海上保安庁、厚生労働省など単純合算で延べ約900社・組織の通信関連工事情報が外部に流出した可能性がある。河野太郎防衛大臣は2020年5月29日の閣議後記者会見で、不正アクセスの報告を受けたと明らかにしたうえで「しっかり調査していただきたい」と要請した。監督官庁の総務省幹部も「現状把握と顧客対応をしっかりやってほしい」とくぎを刺す。

撤去予定の海外サーバーに「隙」
 社内調査により、攻撃者の侵入経路は2通りあったことが判明している。

 1つが顧客向けサービスの監視や障害の切り分けなどを担うシンガポールの運用サーバーを踏み台としたルートだ。攻撃者は2019年9月ごろに同サーバーに侵入。その後、タイなど複数の海外拠点を経由し、2019年12月に法人向けクラウドサービス「Bizホスティング エンタープライズ(BHE、2018年3月にサービスの提供を終了)」と「Enterprise Cloudオプションサービス」の運用サーバーに入り込んでいた。ここを足掛かりに法人向けクラウドの工事情報管理サーバーのほか、社内セグメントのアクティブディレクトリー(AD)運用サーバーや社内ファイルサーバーへと触手を伸ばしていた。

図 NTTコミュニケーションズが受けたサイバー攻撃の概要
2つの不正アクセスが判明した
[画像のクリックで拡大表示]
 NTTコムは2020年5月7日、社内セグメントのADサーバーに対する不正な遠隔操作を試みたログを検知した。遠隔操作の踏み台になった同セグメントのAD運用サーバーを同日中に緊急停止し、社内調査を進めた。その後、AD運用サーバーのアクセス元だった法人向けクラウドの運用サーバーを停止したり、マルウエアによる外部サイトとの通信を遮断したりした。

 実は、最初に侵入を許したシンガポールの運用サーバーは撤去予定だった。同サーバーを収容するデータセンターが老朽化し、2019年10月に新データセンターへの移転を計画していた。同サーバーも新しいものに切り替わる予定だった。まさに撤去直前のタイミングを攻撃者に突かれた。

 同サーバーは撤去を間近に控えていたこともあり、セキュリティー上の脅威を検出するEDR(Endpoint Detection and Response)を導入できていなかった。NTTリミテッド・ジャパンの飯田健一郎社長は「もっと対策の感度を上げておくべきだった」と悔やむ。

 攻撃者がどういった脆弱性を突いてシンガポールの運用サーバーに侵入したかについては「継続調査を実施したが、機器の撤去でログを確認できないため、原因を特定できなかった」(NTTコム)と説明する。』

『社員になりすまし
 もう1つは日本にあるVDI(仮想デスクトップ基盤)サーバー経由だ。シンガポールの運用サーバーを踏み台にした不正アクセスを調査する過程で、複数の社員が勤務日以外に社内のファイルサーバーにアクセスしていることを2020年5月25日に突き止めた。翌26日にはファイルサーバーのアクセス元がすべてVDIサーバーだったことが判明。さらに27日、何者かが社員になりすましてVDIサーバーにログインしていた事実を確認した。

 NTTコムは社員がVDIサーバーにログインする際、多要素認証を採用していた。具体的にはIDとパスワードとは別に、ランダムに並んだ数字の表を使う「マトリクス認証」を併用していた。同社の久野誠史デジタル改革推進部情報システム部門担当部長は「攻撃者は特殊な方法でVDIサーバーに接続していた」と打ち明ける。

 特殊な方法とは、マトリクス認証を無効化し、主にIDとパスワードだけでVDIサーバーにログインできるというものだ。久野担当部長は「我々も認識していなかったVDI全体の抜け道があった。攻撃者はちょっとした(システム上の)『穴』をいくつも組み合わせていた」と語る。

 攻撃者はこの抜け道を見つけ出し、不正入手した社員のIDとパスワードを使って自身の端末でVDIサーバーの認証を突破していた。しかもNTTコムはVDIサーバーへの接続時に端末のウイルス対策ソフトの種類やバージョンもチェックしていたが、攻撃者はこれらも把握し、インストールしたうえで侵入していた。2020年8月6日時点で社員のIDとパスワードの流出経路は判明していないが、社内セグメントのADサーバーからは流出していないことを確認している。

 NTTコムは緊急対応を既に済ませ、2020年5月26日時点でVDI全体の利用を停止した。翌27日に全社員のパスワードも強制リセットした。同社によると、27日以降、不正ログインがないことを確認できているという。

 ルートが異なる2つの不正アクセスに関連はあるのか。NTTコムの小山覚情報セキュリティ部部長は「(攻撃者が同一かどうかは)何とも言えない。攻撃元のアトリビューション(特定)は実施していない」と話す。ただ、どちらも「サイバー攻撃の専門集団」(同社)としている。

 あるサイバーセキュリティーの専門家は「同一の攻撃主体ではないか」としたうえで、「攻撃の途中でユーザーの認証情報を入手し、VDIサーバー経由の接続に切り替えたのではないか。正当なアカウントとパスワードを使ったアクセスのほうがより隠密な行動ができるからだ」と分析する。実際、攻撃者は日勤の時間帯しか動かず、「ばれないようにひっそりと活動していた」(久野担当部長)。攻撃者はメール送信といった目立つ行動も控えていた。

 別のサイバーセキュリティーの専門家は「BlackTechによる攻撃の可能性がある」と指摘する。BlackTechとは、中国政府との関係が噂されるサイバー攻撃集団だ。既に明らかとなっている三菱電機に対するサイバー攻撃にも関与したとされる。BlackTechの攻撃の特徴は「海外拠点の通信機器の脆弱性を利用する」(同)点にあり、特に情報通信や製造業、学術機関が狙われる傾向にある。

UEBAやEDRを導入
 NTTコムは再発防止を急いでいる。まず社員の正当なIDとパスワードを使った「なりすまし攻撃」により、影響範囲の特定に時間がかかった反省から、攻撃者の振る舞いを細かく把握できる「UEBA(Userand Entity Behavior Analytics)」を2021年3月までに本格導入する計画だ。EDRも2020年秋までに、サーバーも含めて全端末への導入を終える。

 サイバー攻撃の動向や企業のセキュリティー対策に詳しいラックの西本逸郎社長は「被害範囲の特定や封じ込めにEDRは有効だ」と語る。パソコンなどのログを詳細に洗い出す「フォレンジック」には、パソコン1台当たり2週間かかるケースもある。「EDRを導入すれば、こうした時間を大幅に短縮できる」(西本社長)。

 NTTコムはセキュリティー対策の有効性を検証する「Red Team」の人員拡充も検討する。社内のITやOT(制御技術)システムに対して、疑似的なサイバー攻撃を仕掛け、対策の実効性を評価する「TLPT(Threat Led Penetration Test)」のプランを策定し、それに合わせるような形で、Red Teamの体制の詳細を詰める。「今後は撤去予定の設備に対するセキュリティー対策も徹底する」(小山部長)。

 NTTコムで判明した今回のサイバー攻撃は多くの企業にとって対岸の火事ではない。新型コロナウイルスの流行により、企業はいや応なく在宅勤務の拡充などを迫られている。そんな中で、利用範囲が拡大するIT機器のセキュリティー水準をどう担保するか。早急に対策が求められる。』