’20/09最多検出マルウェア –「Valak」が情報窃取マルウェアとして再活発化

2020/10/26

Check Point社が2020年9月のマルウェアランキングを発表しました。

9月マルウェアトップ10

順位	前月比	マルウェア名	解説
1	→	Emotet	トロイの木馬。情報窃取の他、マルウェアの追加ダウンロードなどを行う。
2	↑	Trickbot	バンキング型トロイの木馬。多目的トロイの木馬の一種で、多様な攻撃を可能とする。
3	↑	Dridex	バンキング型トロイの木馬。「WebInject」と呼ばれる手法を利用して、銀行口座の認証情報窃取する。
4	↓	Agent Tesla	遠隔操作マルウェア。モニターを遠隔で監視し、パスワードなどを窃取する。
5	→	XMRig	クリプトマイナー。オープンソースのソフトウェアで、CPUを利用してマイニングを行う。
6	↑	Qbot	トロイの木馬。銀行口座の認証情報やキーボードの入力情報を窃取する。
7	→	Glupteba	ボットネット化するバックドア型マルウェア。情報窃取の他、感染マシンで仮想通貨のマイニングを行う。
8	↓	Ramnit	トロイの木馬。銀行口座の認証情報やFTPパスワードなどの情報を窃取する。
9	↑	Valak	情報窃取マルウェア。マルウェアの追加ダウンロードも行う。
10	↓	RigEK	脆弱性攻撃ツール。改ざんされたサイトにアクセスしたユーザーをRigEKが設置されたサイトに誘導する。

情報窃取マルウェア「Valak」が初ランクイン

アップデートを遂げた「Valak」マルウェアが急上昇し、ランキングに初登場しました。

Valakは2019年に初めて確認されたマルウェアで、これまではダウンローダーとして分類されていました。ところが、ここ数ヶ月で新機能を実装し、ほかのマルウェアの二次感染を引き起こすだけでなく、企業から個人までを標的とした情報窃取マルウェアとして再び勢力を拡大しています。

窃取対象は主にMicrosoft Exchangeサーバーの証明書やメール情報、認証情報です。9月のスパムキャンペーンでは、Word形式のファイル経由で感染を広めました。

マルウェアの配布形式に変化が？

Netskope社がCOVID-19の登場前後においてマルウェアの配布形式にどのような変化があったかを調査しました。
その結果、Word形式ファイルを経由とした攻撃が6倍以上増加していることがわかりました。(5%→45％近くまで上昇)

出典：Netskope, Inc.

Word形式ファイルを悪用した手法で現在主流となっているのは、マクロ機能を利用して外部からマルウェアをダウンロードする手口です。この場合、従来のような実行ファイルを使用する手法とは異なり、添付ファイルそのものはマルウェアをダウンロードするためのマクロが書かれているだけです。そのため、マルウェア本体として検出することは困難となります。

対策としては「メールに不自然な点があれば添付ファイルを開かない」といった、ユーザー側の意識が重要となります。とはいえ、実在の組織を騙ったり、取引先からの返信を装ったものなど、攻撃が巧妙化しているのも事実です。たとえ添付ファイルやリンクを開いてしまったとしても感染しないようにする対策も必要となります。

Wordのマクロの自動実行を有効化していると、誤ってファイルを開いてしまった場合、自動的にマルウェアがダウンロードされてしまう可能性があります。Wordマクロの自動実行は無効化しておきましょう。

「ファイル」―＞「オプション」―＞「セキュリティセンター（トラストセンター）」―＞「セキュリティセンターの設定（トラストセンターの設定）」―＞「マクロの設定」とクリックし、「警告を表示してすべてのマクロを無効にする」をチェック

宝情報では、Valak対策が可能なセキュリティ製品を取り扱っています。

Check Point 1500シリーズ
簡単な初期設定や管理の容易さが好評なUTMです。大企業向けの技術を中小企業向けに提供。マルウェア・不正侵入・危険なウェブサイトのブロックなど、求められる情報セキュリティ対策を一台で幅広くカバーします。
製品に関する詳細はこちらから

　参照元：

	チェックポイント・ソフトウェア・テクノロジーズについてチェックポイント・ソフトウェア・テクノロジーズ社は、世界中で高い評価を得ているセキュリティ技術のリーディングカンパニーです。
	宝情報について宝情報はチェックポイント中小企業様向けUTM製品の国内販売台数 No.1 ディストリビューターです。チェックポイント社との強い協業体制を構築し、販売店様を強力にバックアップする体制を整えています。