オンラインチャットアプリを用いたマルウェアの配布を確認――2022年10月 サイバーセキュリティニュース

2022年10月（10月1日～10月31日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

• 国内マルウェア検出数^*1の推移
  （2022年5月の全検出数を100%として比較）
  ^*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2022年10月の国内マルウェア検出数は、2022年9月と比較して微減しました。検出されたマルウェアの内訳は以下のとおりです。

10月に国内で最も多く検出されたマルウェアは、JS/Adware.Agentでした。JS/Adware.Agentは、悪意のある広告を表示させるアドウェアの汎用検出名です。Webサイト閲覧時に実行されます。

Emotetに感染させるためのばらまきメールの活動が、2022年7月上旬に停止しています。それに伴い、それらの添付ファイルとして主に利用されていたDOC/TrojanDownloader.AgentやVBA/TrojanDownloader.Agentの検出数は、7月以降減少しています。

• DOC/TrojanDownloader.AgentとVBA/TrojanDownloader.Agentの検出数月別推移（2022年・国内）
  ※2022年1月の検出数を100％として比較

しかし、ダウンローダーによる脅威は、依然として検出しています。

今回は、検出数が増加したMSIL/TrojanDownloader.Agentを紹介します。MSIL/TrojanDownloader.Agentは、.NETプラットフォームにおける実行ファイル形式のダウンローダーです。機能を複数に分けてダウンロードするマルウェアなどにおいて利用されていることがあります。実際にダウンロードされるマルウェアも多岐にわたり、「AgentTesla」「Smoke Loader」といった情報窃取型マルウェアのダウンロードを確認しています。

2022年におけるMSIL/TrojanDownloader.Agentの国内での検出状況は、以下のとおりです。

• MSIL/TrojanDownloader.Agentの検出数月別推移（2022年・国内）
  ※2022年1月の検出数を100％として比較

2022年のESET社の第1三半期脅威レポートでは、世界全体での検出数増加がトピックとして取り上げられており、日本においても3月に検出数が増加しています。今月は、増加した3月の検出数を上回る結果となっています。AgentTesla、FormBookやSmoke LoaderといったマルウェアをダウンロードするMSIL/TrojanDownloader.Agentの亜種の多数検出が、10月における検出数増加の要因として考えられます。

今回確認した亜種の中には、実行時にPowerShellが起動し、自身を削除するコマンドを実行するものがありました。コマンドは、Base64でエンコードされていました。

• 起動したPowerShellと文字列をBase64でデコードした結果
  ※Base64デコードに加えて、UTF-16のデコードを行っています

また、MSIL/TrojanDownloader.Agentがアクセスする特徴的な通信先として「cdn[.]discordapp[.]com」から始まるURLを確認しています。このURLは、オンラインチャットアプリの「Discord」でファイル共有した際に作成されるURLです。Discordのファイル共有機能を利用すると、ファイル共有用のURLを知っていれば、アカウントを持っていなくてもファイルを受け取ることが可能です。この機能を悪用し、攻撃者が用意したURLにアクセスさせることで、マルウェアや追加のモジュールをダウンロードします。また、ファイル共有で生成されるURLは、Discordの正規ドメインということもあり、セキュリティ製品によるアクセスのブロックをすり抜ける恐れがあります。

このようなDiscordを用いたマルウェアの配布は、以前から確認されており、最近ではコロンビアにおけるnjRATマルウェアの配布で利用されていたことがESET社から報告されています。

今回ご紹介したように、Emotetへの感染を狙ったダウンローダー以外にもさまざまなダウンローダーが検出されています。不審な実行ファイルを実行しないことはもちろんのこと、公式ホームページや公式アプリストアからアプリケーションをダウンロードすることを心掛けてください。また、よく利用するWebサイトの場合は、ブックマークに登録することも重要です。

引用・出典元

■ESET｜ESET Threat Report T1 2022
https://www.welivesecurity.com/wp-content/uploads/2022/06/eset_threat_report_t12022.pdf

■ESET | WeliveSecurity 「Discord: una plataforma atractiva para cibercriminales utilizada más allá de la comunidad gamer」
https://www.welivesecurity.com/la-es/2021/08/19/discord-plataforma-atractiva-cibercriminales-utilizada-comunidad-gamer/

■ESET | WeliveSecurity 「Campaña de espionaje distribuyó el malware njRAT en organizaciones de Colombia」
https://www.welivesecurity.com/la-es/2022/05/20/campana-espionaje-malware-njrat-organizaciones-colombia/

※本記事はキヤノンマーケティングジャパンのオウンドメディア「サイバーセキュリティ情報局」から提供を受けております。著作権は同社に帰属します。

[PR]提供：キヤノンマーケティングジャパン