9月の概況

2020年9月(9月1日～9月30日)にESET製品が国内で検出したマルウェアの検出数は、以下のとおりです。

  • 国内マルウェア検出数の推移(2020年4月の全検出数を100%として比較)

    国内マルウェア検出数*1の推移
    (2020年4月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、
コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2020年9月の国内マルウェア検出数は、直近6か月の中で最も多いものとなっています。検出されたマルウェアの内訳は以下のとおりです。

国内マルウェア検出数*2上位(2020年9月)

順位
マルウェア名
割合
種別
1
 VBA/TrojanDownloader.Agent 12.3% ダウンローダー
2
 JS/Adware.Agent 7.4% アドウェア
3
 JS/Adware.Subprop 5.2% アドウェア
4
 HTML/ScrInject 3.7% HTMLに埋め込まれた
不正スクリプト
5
 JS/Adware.PopAds 2.9% アドウェア
6
 GenScript 2.5% 不正スクリプトの汎用名
7
 HTML/Refresh 1.7% 別のページに
遷移させるスクリプト
8
 JS/Adware.Inpagepush 1.2% アドウェア
9
 MSIL/GenKryptik 0.8% 難読化されたMSIL形式
ファイルの汎用名
10
 Suspicious 0.8% 未知の
不審ファイルの総称

*2 本表にはPUAを含めていません。

9月に国内で最も多く検出されたマルウェアは、VBA/TrojanDownloader.Agentでした。VBA/TrojanDownloader.Agentは、Office製品で利用されるプログラミング言語のVBA（Visual Basic for Application）で作成されたダウンローダーです。主な感染経路は、メールの添付ファイルです。 感染すると、他のマルウェアをダウンロードします。 VBA/TrojanDownloader.Agentによってダウンロードされるマルウェアとして、DridexやEmotetなどが確認されています。

  • VBA/TrojanDownloader.Agentの検出数の月別推移（国内、2020年）※2020年4月を100％と設定

    VBA/TrojanDownloader.Agentの検出数の月別推移（国内、2020年）
    ※2020年4月を100％と設定

国内検出数の月別推移を見ると、9月はVBA/TrojanDownloader.Agentの検出数が急増し、直近6か月の中で最も検出が多い月となっていることが分かります。増加の原因の1つは、Emotetの感染を狙ったばらまきメールを多数検出したことです。

Emotetの感染を狙ったばらまきメールの変化

今月は、Emotetの感染を狙ったばらまきメールに変化が確認されました。添付ファイルに攻撃者自身が設定したパスワード付きzipファイルを利用するといった手法です。過去に確認されたEmotetに感染した端末が持つ添付ファイルの自動暗号化機能によるものとは異なります。IPAからもパスワード付きzipファイルについて注意喚起が行われています。

  • パスワード付きzipファイルを添付したEmotetの感染を狙ったばらまきメール（国内）

    パスワード付きzipファイルを添付したEmotetの感染を狙ったばらまきメール（国内）

zipファイルを展開するためのパスワードはメール本文に書かれています。ファイルを展開すると、Wordファイルが確認できます。これがEmotetのダウンローダーです。

このようにパスワード付きzipファイルを利用するのは、セキュリティ製品による検出回避が主な目的だと考えられます。パスワード付きzipファイルは日本のビジネスメールでもよく利用されるため、多くの人がファイルを実行してしまうことが懸念されます。さらに、添付されているEmotetのダウンローダーであるWordファイルにも変化が確認されています。Wordファイルを開いた時に表示される画面において、今までの英語の文章から日本語の文章になっているものが確認されています。開いたファイルにエラーが生じていると思わせるような日本語の文章を書き、コンテンツの有効化をクリックさせようとしています。

  • ばらまきメールに添付されていたWordファイルを開いた時の画面

    ばらまきメールに添付されていたWordファイルを開いた時の画面

コンテンツの有効化をクリックすると、マクロが実行されPowerShell経由でEmotetに感染します。Emotetに感染すると、追加のモジュールのダウンロードや他のマルウェアに感染する恐れがあります。過去には、ランサムウェアRyukの感染へとつながったケースが確認されています。

今回ご紹介したように、9月はパスワード付きzipファイルが添付されているEmotetの感染を狙ったばらまきメールが確認されています。今後も、言語や環境に合わせて攻撃手法が巧妙化していくことが考えられます。セキュリティ製品の適切な利用や添付ファイルを安易に開かないこと、マクロを有効化しないことなどの対策が重要です。また、Emotetに感染した場合は、他のマルウェアに感染している可能性が高く、Emotetだけではなく追加でダウンロードされたマルウェアにも対処する必要があります。

常日頃からリスク軽減するための対策について


各記事でご案内しているようなリスク軽減の対策をご案内いたします。
下記の対策を実施してください。

1. ESET製品プログラムの検出エンジン(ウイルス定義データベース)を最新にアップデートする
ESET製品では、次々と発生する新たなマルウェアなどに対して逐次対応しております。
最新の脅威に対応できるよう、検出エンジン(ウイルス定義データベース)を最新にアップデートしてください。

2. OSのアップデートを行い、セキュリティパッチを適用する
マルウェアの多くは、OSに含まれる「脆弱性」を利用してコンピューターに感染します。
「Windows Update」などのOSのアップデートを行い、脆弱性を解消してください。

3. ソフトウェアのアップデートを行い、セキュリティパッチを適用する
マルウェアの多くが狙う「脆弱性」は、Java、Adobe Flash Player、Adobe Readerなどのアプリケーションにも含まれています。
各種アプリのアップデートを行い、脆弱性を解消してください。

4. データのバックアップを行っておく
万が一マルウェアに感染した場合、コンピューターの初期化(リカバリー)などが必要になることがあります。
念のため、データのバックアップを行っておいてください。

5. 脅威が存在することを知る
「知らない人」よりも「知っている人」の方がマルウェアに感染するリスクは低いと考えられます。マルウェアという脅威に触れてしまう前に「疑う」ことができるからです。
弊社を始め、各企業・団体からセキュリティに関する情報が発信されています。このような情報に目を向け、「あらかじめ脅威を知っておく」ことも重要です。

※ESETは、ESET, spol. s r.o.の商標です。WindowsおよびPowerShellは、米国Microsoft Corporationの米国、日本およびその他の国における登録商標または商標です。
※本記事はキヤノンマーケティングジャパンのオウンドメディア「マルウェア情報局」から提供を受けております。著作権は同社に帰属します。

セキュリティ最前線


サイバー攻撃の最新動向とセキュリティ対策についてまとめたカテゴリです。

[PR]提供：キヤノンマーケティングジャパン