コラム
今月のコラム
今月のコンテンツ
【 正規ツールが攻撃の武器となる「LotL攻撃」 】
近年、サイバー攻撃の手法は高度化しており、その中でも注目されているのが「Living off the Land(LotL)攻撃」です。
これはマルウェアを新たに侵入させるのではなく、Windowsに標準搭載されている
正規ツールや管理機能を悪用して攻撃を行う手法です。
そのため、従来のウイルス対策ソフトでは不審な動きを検知しにくく、
大きな脅威となっています。
LotL攻撃では、PowerShellやWMI、リモート管理機能など、
本来はシステム管理者が利用するツールが悪用されます。
攻撃者はこれらの正規機能を悪用してネットワーク内を探索し、
認証情報の窃取や他端末への侵入を進めます。
正規のプログラムとして実行されるため、不正なソフトウェアを導入する場合と比べて
検知が難しい点が特徴です。
こうした状況を受け、Microsoftではマルウェアに悪用されやすい管理ツールである
WMICの削除を進めています。
■LotL攻撃への主な対策
・不要な管理ツールや機能の無効化
・管理者権限の最小化
・アクセスログの監視強化
サイバー攻撃は「怪しいプログラムを防ぐ」時代から
「正規機能の悪用を監視する」時代へと変化しています。
企業はシステム管理の利便性とセキュリティのバランスを取りながら
適切な監視体制と運用ルールを整備することが求められています。
弊社ではEDR製品および監視サービスも取り扱っておりますので
セキュリティ強化をご検討、ご相談されたい場合は
お問い合わせいただけますと幸いです。
ウイルス情報
【 認証情報や入力情報を窃取する情報窃取型マルウェア 】
■ウイルス名TrojanSpy.MSIL.PURELOGSTEALER、Dropper.DR/W32.Malware、HEUR:Trojan.MSIL.InjectorNetT 等
■概要
このマルウェアは情報窃取を目的としたトロイの木馬です。
感染するとバックグラウンドで動作し、利用者に気付かれないよう
各種情報を収集して外部へ送信します。
また、レジストリのRunキーを利用した自動起動設定を行い、
端末再起動後も継続して動作することが確認されています。
さらに、プロセスインジェクションなどの手法を利用して
他プロセス上で不正動作を行うことで、検知回避を試みます。
■漏洩する情報
感染した場合、以下の情報が漏洩する可能性があります。
- Windowsの認証情報
- Webブラウザの保存情報
- キーボード入力情報
- システム情報
- 各種アカウント情報
■リバースエンジニアリング対策
解析情報から、以下のような対策が確認されています。
- プロセスインジェクションによる不正動作
- 隠しファイル設定の利用
- 難読化による解析妨害
- セキュリティ製品による検知回避の試行
■想定される侵入経路
- フィッシングメールの添付ファイル
- 悪意のあるWebサイトからのダウンロード
- 不正なソフトウェアやクラックツール
- 他マルウェアによる追加感染
なお、本検体には「dropped-by-remcos」のタグが付与されており、
別のマルウェア経由で配布された可能性も示唆されています。
過去のコラムにつきましては、サポートメールのバックナンバーをご覧下さい。
