暗 号 化された攻撃の現状
2021年版レポート

目次
はじめに

3

HTTPSトラフィックは安全でしょうか？

3

主な調査結果：4

暗 号 化された 脅 威 の 状 況

5

Web攻撃

6

フィッシング

6

マルウェア

7

情報窃盗

7

コマンド＆コントロール活動

8

認証スタッフィングとエクスプロイト活動

9

モバイル攻撃10

業種11

部門別攻撃状況

11

地域

13

暗 号 化 さ れ た 脅 威 を 防ぐた め に 必 要 な こ と14

マ ル ウェア の 事 例 紹 介

17

ゼットス ケ ー ラ ー が ゼ ロトラスト を 使 用 して 暗 号 化 さ れ た 脅 威 を 阻 止 す る 方 法

15

njRAT

17

Smoke Loader

18

QakBot19

Solarmarker

20

ラン サ ム ウェア の 事 例 紹 介

21BlackMatter

21

REvil/Sodinokibi

22

フィッシン グ の 事 例 紹 介

23Microsoft Oﬃce 365

23

Amazon25

OneDrive

26

Telegram

27

PayPal28

P O S T- E X P L O I TAT I O N ツール

29

Cobalt Strike

29

Poshc230

Ursnif30

Dridex31
暗号化された攻撃の状況

|

2

はじめに

HTTPSトラフィックは安全でしょうか？

企業のデータセキュリティにおいては、
この問題に対する誤解が広まっているようです。HTTPS（ ＝ TLS、
旧 SSL）は暗号化の業界標準であり、転送中のデータを保護します。その機能は、コンテンツを誰にも見られないようにすることです。しかし、このプロトコルはあくまでも手段であり、暗号化したからといってコンテンツ自体が安全になるわけではありません。マルウェアは、正規のファイルと同じように簡単に暗号化して送信することができ、実際にマルウェアの80％以上がこのような経路で送信されています。
この考えは当たり前なことのように思われますが、ほとんどの組織は、暗号化されたトラフィックを全部は検査していないということを考えてみて下さい。多くの場合、暗号化されたトラフィックは一切検査されていません。トラフィックの大半が暗号化されたチャネルを経由しているのに、なぜ企業は検査しないのでしょうか？さらに一歩進んだ疑問としては、彼らは何に気付いていないのでしょうか？
気付いていないどころの騒ぎではありません。2021年の1月から9月の間に、ゼットスケーラーはHTTPS
を介して207億件の脅威をブロックしました。2020年にブロックされた66億の脅威から314％以上の増加を示しており、それ自体は前年からほぼ260％の増加でした。
サイバー犯罪者の攻撃手法はますます巧妙になっており、ダークウェブ上で利用できるアフィリエイトネット
ワークやサービスツールを活用しています。これにより、セキュリティチームが一瞬たりとも油断できない巧妙な攻撃が爆発的に増加しています。特にランサムウェアは、世界中の企業に影響を与えており、有名な攻撃では数千万ドルの損害が発生しています。マルウェアの暗号化は、攻撃シーケンスの中では些細なステップです。
ランサムウェアをはじめとする数多くの脅威が増加し、ハイブリッドモデルや場所を選ばない仕事のモデルが続出する中で、企業は組織を保護する可能性を最大限に高めるために、オンプレミスおよびオフプレミスのすべてのトラフィックを検査する必要があります。しかし、このような検査には膨大なリソースが必要です。次世代ファイアウォールなどの従来のハードウェアベースのセキュリティツールでこれを大規模に行おうとするのはほぼ不可能であり、パフォーマンスを低下させることなく効果的に行うためには、5 ～ 7倍の数のデバイスが必要となります。その結果、多くの組織は、少なくとも一部の暗号化されたトラフィックを検査しないで通過させています。これは大きな問題ですが、具体的にどのくらいの深刻度なのかをご紹介します。

暗号化されたチャネルを利用した
攻撃は、2020年から2021年にかけて、314%増加しました。
暗号化された攻撃の状況|

3

主な調査結果：

ゼットスケーラーのZero Trust Exchangeには、300兆以上のシグナルと1,600億以上の日々のトランザクションから収集された世界最大のセキュリティデータセットが保管されています。これは、一日のGoogle
検索の15倍以上の量です。ゼットスケーラーのThreatLabz脅威研究チームは、2021年前半の9 ヶ月間のデータを分析し、その期間の暗号化トラフィックにおける脅威を評価しました。次の分析は、暗号化された攻撃の状況に関する重要な洞察を示しています。主な調査結果は次のとおりです：

•

•

•

•

•

•

HTTPS を介した脅威が増加： ゼットスケーラーは、2年連続で暗号化トラフィック内の脅威が
前年比314％以上増加していることを確認しました。

テクノロジ企業は巨大なターゲット：テクノロジ企業への攻撃は前年比で2,344%増加、小売・卸売企業への攻撃は841%増加しました。

重要なサービスに猶予： 2020年の最大の標的はヘルスケアでしたが、政府機関に対する攻撃とともに脅威は急激に減少しています。コロニアルパイプラインに対する攻撃のような大規模な攻撃を受けて、法執行機関の注目度が高まり、これらの業界が標的としての魅力を失ったのです。
暗号化された攻撃のトップターゲットは英国と米国：インド、
オーストラリア、
フランスがトップ 5に入っています。

攻撃傾向の変化： マルウェアは212％、フィッシングは90％増加しているのに対し、クリプトマ
イニング系マルウェアは20％減少しており、ランサムウェアが人気を集めるなど、攻撃の傾向が大きく変化していることが反映されています。

ゼロトラストで組織を守る 暗号化された脅威を防御する最善の方法は、クラウドプロキシベースのゼロトラストアーキテクチャを使用することです。これにより、攻撃対象を減らし、すべてのイン
バウンドおよびアウトバウンドのトラフィックをインラインで大規模に検査することができます。

テクノロジ企業への攻撃は 20倍に増加

暗号化された攻撃の状況|

4

暗 号 化された 脅 威 の 状 況

SSL (Secure Sockets Layer) やその後継であるTLS(Transport Layer Security)などの最新の暗号化技術は、
インターネットトラフィックの大半を保護するために世界中で使用されています。合法的トラフィックの暗号化率が高まると、悪意のあるトラフィックも同様に暗号化されます。ゼットスケーラーは、2021年の9ヶ月間に207億件以上の脅威をブロックしました。
暗号化されたトラフィックは、セキュリティチームが検査する可能性が低いだけでなく、暗号化されたファイルはフィン
ガープリントが非常に困難であるため、マルウェアが検出されずにすり抜けることができるといった、攻撃者にとっては都合のいい状態となります。

マルウェア (90.8%)

広告スパイウェア (6.8%)

ブラウザエクスプロイト (<0.1%)

クリプトマイニング (0.2%)

アノニマイザ (<0.1%)

フィッシング (1.8%)
ボットネット (0.2%)

犯罪者が暗号化されたトラフィックに隠すことができる攻撃の種類はさまざまです。マルウェアが圧倒的に多く、攻撃の約91％を占めています。

XSS (0.1%)

Webスパム (<0.1%)

図 1: 暗号化されたチャネルを介した攻撃の頻度

マルウェアが占める攻撃の割合：91%

しかし、他の攻撃タイプも増加しています。広告スパイウェア、ブラウザエクスプロイト、マルウェア、
フィッシング、ボットネット攻撃はすべて、2020年と比較すると2021年は増加しています。減少した
攻撃タイプは、
クリプトマイニング（コンピュータを乗っ取って暗号通貨をマイニングする）、
クロスサイ
トスクリプティング、すなわちXSS（ 正規のWebサイトに悪意のあるコードを注入する）、アノニマイザ
攻撃（プロキシを使って攻撃者を追跡しにくくする）の3つだけでした。 ここ数年、ランサムウェアがより収益性の高い選択肢となっているため、クリプトマイニング攻撃の人気は低下しています。ランサム
ウェアは、
このレポートのマルウェアカテゴリーに含まれています。
広告スパイウェア (435%)

ブラウザエクスプロイト(384%)
マルウェア (212%)

ボットネット (132%)
フィッシング (90%)

クリプトマイニング (-20%)
アノニマイザ (-44%)
XSS (-61%)
-100

0

100

200

300

400

500

図 2：暗号化されたチャネルを介した攻撃の年次変化
暗号化された攻撃の状況|

5

Web攻撃Webには、HTTPSプレフィックスが付いたサイトなど、悪意のあるサイトがたくさんあります。インターネットの衛生状態が悪いため、脅威が長引く可能性があります。ゼットスケーラーは、Coinhiveが2年以上シャットダウンされているにもかかわらず、Coinhiveに感染したサイトからの13,000を超える攻撃を観察しました。
HTTPSを利用する最も一般的なWeb攻撃カテゴリの1つは、ウェブの支払いデータを盗むために使用されるMagecart のような JavaScript ベースのスキマーです。
ファミリ

ヒット

Nicehash

5,644,273

Magecart

2,573,304

支払いのスキミング

Adload

1,626,905

WebスパムCovid19972,223

マルウェア

Webシェル

934,873

Coinhive

13,670感 染 した ウェブ
サイトは、その後何年も 残存することがあります。

タイプ

クリプトマイニング

マルウェア

クリプトマイニング

フィッシングフィッシングは依然として最も一般的な手口であり、ユーザは隠されたマルウェアを含むメール内のリンクをクリックするように仕向けられます。すべての電子メールおよびファイル共有サービスは攻撃に対して脆弱ですが、Microsoft 365の人気により、2021年には圧倒的に上位のターゲットとなり、9か月の監視
期間中に1,500万件を超える攻撃の試みがゼットスケーラーのプラットフォームによってブロックされました。

Microsoft 365 (15,491,990)
OneDrive (2,191,335)
Telegram (2,000,439)
Amazon (1,881,389)
PayPal (1,358,318)

05,000,000

10,000,000

15,000,000

20,000,000

図 3：暗号化されたフィッシング攻撃

暗号化された攻撃の状況|

6

マルウェア

2021年にはマルウェアが攻撃のトップカテゴリでした。マルウェアは通常、感染したリンクから電子メール
またはWebサイトでダウンロードされます。ほとんどの企業が何らかの形でマルウェア対策を行っています
が、攻撃者はその技術を高め、フィンガープリント技術を回避できる新たなマルウェアの変種を作成しています。もちろん、暗号化されたトラフィックを検査していない組織は、
マルウェアがシステムに侵入するまで、
たとえそれが有名なマルウェアであっても可視化することはできません。以下は、2021年に流行したマルウェアファミリの一部です。このレポートの後半で、これらのファミリのうち4つのファミリについて、その攻撃手順を示す技術的な事例を紹介をします。
ファミリ

マルウェアの攻撃

njRAT

355,753

Ursnif

336,540

Azorult

199,334

Hancitor

137,421

Emotet58,867

QakBot30,199

Smokeloader

4,269

個人識別情報（PII）は、
情報窃盗の試みの最大の標的です。

情報窃盗

攻撃者は暗号化されたチャネルを使ってシステムに侵入するだけでなく、暗号化されたチャネルを使ってデータを流出させることもあります。最もよく流出するデータタイプは、Aadhar (インド )、TFN (オーストラリア )、Social Security (米国 )、BSN (オランダ ) の番号などの、国家および税務上の識別子です。次いで、クレジット
カードや金融情報、そして知的財産や医療データが狙われています。次のグラフは、わずか3 ヶ月分の情報窃盗の試みを示しています。
PII (85,661,403)
金融 (5,351,773)
IPデータ (4,074,504)
医療 (2,288,668)
その他 (32,368)
0

20,000,000

40,000,000

60,000,000

80,000,000

100,000,000

図 4：情報窃盗の試み
暗号化された攻撃の状況|

7

コマンド＆コントロール活動

コマンド＆コントロール (C&C) サーバは、標的型攻撃での第2段階のペイロードの実行、データの盗用、ボット
ネットで使用するマシンの制御など、さまざまな理由で使用されます。ボットネットは、攻撃者の制御下にあるデバイスのネットワークであり、大規模な協調攻撃を可能にします。ボットネットは、分散型サービス
拒否 (DDoS) 攻撃、金融データの侵害、暗号通貨のマイニング、標的型侵入などに利用されてきました。
攻撃者は、さまざまなツールを使用してC＆ Cサーバにコールバックします。Smoke LoaderやGumblarなどは、
この目的のために特別に設計されたボットです。その他、CobaltstrikeやPoshc2などは、攻撃者によって再利用されている侵入テストツールです。以下は、これらのツールを使用したコールバックの試行率です。

Smoke Loader (3,237,276)
Gumblar(1,622,210)
Cobaltstrike (172,568)
Poshc2 (98,591)
Ursnif (87,821)0500,000 1,000,000 1,500,000 2,000,000 2,500,000 3,000,000 3,500,000

図 5：コマンド＆コントロール活動

攻撃者は、暗号化されたWeb上のアプリケーションの約70%に影響を及ぼします。
暗号化された攻撃の状況|

8

認証スタッフィングとエクスプロイト活動

暗号化されたトラフィックに拡散するのはマルウェアだけではありません。攻撃者はまた、
これらのチャネル
を使用して、暗号化されたアプリケーションを悪用することにより、人間による攻撃を試みます。
Threatlabzチームは、
また、ゼットスケーラーのディセプション技術を用いてグローバルに展開された網状の「 おとり」から情報を収集し、攻撃者の戦術、技術、手順 (TTP) も研究しています。
「 おとり」アセットは
攻撃者の餌として使用され、正規ユーザーによって操作されることはないため、「 おとり」アセットとの関与
は悪意のある活動の兆候となります。ThreatLabzが発見したのは次の通りです。

1. すべてのSSL対応アプリケーション「 おとり」の約70％が相互作用を持っていました。これは、SSL対応アプリケーションの70％に攻撃が試みられている可能性があることを示しています。
2. インターネット向 けの「 おとり」Webアプリケーションのコンテキストでは、認 証 情 報 攻 撃の約48％が電子メールとVPN「おとり」に対するものでした。
•
電子メールの「おとり」は、盗んだ認証情報をスタッフィングするのによく使われるターゲットでした。
• VPN「おとり」は、VPN製品で最近公開されたCVEの悪用の対象となっていました。
「.git」ファイルの検索で、ソースコードを公開するために誤って設定さ
3. 最もよく観察された手法は、れたWebサーバを検索する目的で行われたと考えられます。この手法は以前からありましたが、今でも侵入前の偵察では非常に一般的なものです。

暗号化された攻撃の状況|

9モバイル攻撃スマートフォンやタブレット端末は、攻撃者が偽のアプリケーションを使用して悪用する人気のターゲッ
トであり続けています。初期の頃の感染以降、新しく流行になったモバイルマルウェアの亜種の多くは、SSLネットワーク通信を使用して、コマンド＆コントロール活動をするもので、ペイロードの取得や、悪意のある活動やデータ盗用を行うためのコマンドの受信などをします。Hydra、Joker、
そして新たに発見されたGriftHorseなどのマルウェアファミリは、感染後の活動にSSLを活用していることがわかっています。

GriftHorseマルウェア

最近表面化したAndroid向けマルウェア「GriftHorse」は、全世界で1,000万人以上の被害者を出し、数億相当とも言われるユーロを盗んでいました。感染すると、賞品を受け取るために電話番号を送信する
ように誘導されます。被害者が知らないうちに、その電話番号はプレ
ミアム SMSサービスに加入しており、被害者の電話料金は毎月30 ユーロ以上も請求されていました。このトロイの木馬は、3つの段階でC&Cサーバと通信し、感染後の活動にSSLを活用していることが判明しました。

Jokerマルウェア

Jokerは、GooglePlayストアを通じてAndroidデバイスを標 的とする
最も著名なマルウェアファミリの1つです。ゼットスケーラーは、Joker
マルウェアがコマンド＆コントロール活動に使用するTLS経由のコー
ルバック試行を約22,000回ブロックしました。このマルウェアは一般に認識されているにもかかわらず、コード、実行方法、ペイロード取得
技術の姿を変貌させながら、Googleの公式アプリケーション市場への侵入をし続けています。Jokerは、
スパイウェアの一種であり、SMS
メッセージ、連絡先リスト、デバイス情報を盗み、被害者をプレミアム
ワイヤレスアプリケーションプロトコル (WAP) サービスに登録するように設計されています。

図 6：GriftHorseマルウェア

Hydraマルウェア

Hydraは、バンキングマルウェアの中でも最も一般的で強力な例の1つです。その機能の代表的なものには、ユーザの画面上で行われている活動を時間の経過とともに動画化するスクリーンキャストがあります。
Hydraは、攻撃者が感染したデバイスを監視・制御できるリモートアプリをインストールすることもできるた
め、深刻な脅威になります。Hydraは、SSL証明書を利用してコマンド＆コントロール活動を行います。

暗号化された攻撃の状況|

10

部門別攻撃状況

業種別

2021年と2020年を比較すると、業界によって大きな違いがありました。当社による調査では、暗号化されたチャネルでの攻撃率が上昇した業界が7つありましたが、昨年度に最大のターゲットとなったヘルスケア
を含め、2つは実際に攻撃率が減少しました。

テクノロジ (50%)
製造業 (11%)

小売業& 卸売業 (11%)
金融業& 保険業 (11%)

ヘルスケア (6%)

サービス業 (6%)

官公庁 (4%)その他 (1%)
教育 (1%)
0

10

20

30

40

50

2000

2500

図 7：業界別の攻撃量

テクノロジ (2344%)

小売および卸売 (842%)

その他 (222%)
製造 (93%)

金融および保険 (81%)
サービス (56%)

教育 (50%)

政府 (-10%)

ヘルスケア (-27%)
-500

0

500

1000

1500

図 8：2021年業界別攻撃量対2020年

暗号化された攻撃の状況|

11

テクノロジと小売業では攻撃率が大幅に増加しています

テクノロジ企業への攻撃は驚異的な23倍の増加を見せ、現在、観察されている攻撃の半分以上を占めています。テクノロジ業界は、他の業界よりもはるかに高い割合でマルウェアに悩まされています。ほぼ
すべてのビジネス機能がテクノロジに大きく依存しているため、攻撃者は多くの攻撃対象領域を悪用できます。これは、
リモート接続から電話会議、SaaSベースのアプリ、パブリッククラウドワークロードまで、あらゆるものでリモートワーカーをサポートする必要性が急増したことで悪化しました。
テクノロジ企業は、他の企業のサプライチェーンの中で重要な役割を担っているため、魅力的なターゲットとなります。サプライチェーン攻撃が成功すれば、KaseyaやSolarWindsなどの事例に見られるように、攻撃者は何百人、何千人もの下流の被害者にアクセスできるようになります。
小売および卸売部門もまた、攻撃率が8倍以上増加するという、非常に悪い年でした。2020年は攻撃の3.5％しか占めていませんでしたが、2021年には攻撃の11％を占めていました。TLSチャネルを介して小売業者やeコマース業者を狙うスキマー、悪意のあるJavaスクリプト、マルウェアのペイロードなどの悪意のあるコンテンツが大幅に増加しました。
世界が正常な状態に戻り始め、ビジネスや公共のイベントが世界中で開かれるようになっても、多くの従業員は、いまだに比較的安全ではない環境で働いています。重要なPOSシステムにアクセスすることは、
サイバー犯罪者にとって非常に魅力的ですが、これはサイバー犯罪者に莫大な利益をもたらす可能性の扉を開くからです。

ヘルスケア業界や政府機関への攻撃が減少

2020年に最大の標的となったものの、ヘルスケア業界への攻撃は2021年に27％減少しました。同様に、政府機関への攻撃は10％減少しました。SolarWinds社への攻撃、Colonial Pipeline社への攻撃、
アイル
ランドのHealth Service Executive社へのランサムウェア攻撃など、重要なサービスに影響を与えた大規
模なランサムウェア攻撃は、法執行機関の最高レベルから注目されており、これらの重要な産業は、手出しをするには危険が大きすぎるわけです。さらに、多くのランサムウェアファミリーは、
パンデミックの際に医療やその他の重要なサービスを攻撃しないことを宣言していますが、これらの約束は、完全には守られてはいません。

暗号化された攻撃の状況

|

12

地域

暗号化攻撃で最も狙われている国は、英国、
アメリカ、
インド、
オーストラリア、
フランスの5 ヶ国です。
イギリス
アメリカ
インド
オーストラリアフランス
0

2,000,000,000

4,000,000,000

6,000,000,000

図 9：最も攻撃された国

これらの国はいずれも大規模な技術拠点であり、その分野を標的とした攻撃の全体的な増加に伴い、攻撃率も増加しています。ThreatLabzは、一般的なターゲットではない
小 国を含む世 界 中の255の異 なる国で攻 撃を観 測しました。 その中には、カリブ海の全 域の島 々、フェロー 諸 島、
サン・バルテルミー島、
フォークランド諸島などでの750万件
以上の攻撃が含まれていました。 これは、「 場所を選ばない仕事」ポリシーの増加により、従業員が遠隔地で仕事をするようになったためです。
英国での大規模な攻撃率を筆頭に、ヨーロッパ全体では、暗号化されたチャネルを介して最も多くの攻撃が試みられ
ました。

地域

ヨーロッパ

回数
7,234,747,361

APAC

4,925,542,601

北アメリカ

2,778,360,051

南アメリカ
アフリカ
中東

中央アメリカカリブ

南極大陸

226,320,069
146,865,982
137,494,862
127,354,294
7,543,056
16,144「場所を選ばない仕事」の浸透により、サイバー攻撃の地理的な範囲が広がりました。
暗号化された攻撃の状況|

13

暗 号 化 さ れ た 脅 威 を 防ぐた め に 必 要 な こ とデジタル化された新しいワークモデルをサポートするために組織が移行するにつれ、資産とその資産へのアクセスの安全性を確保することがますます重要になっています。さらに、暗号化だけではセキュリティを確保できないことを認識しておくことも重要です。暗号化されたチャネルは、暗号化されていない
チャネルと同様に、敵に頻繁に使用されます。
基本事項：トラフィック全てを検査する

従来のツールでは、完全な検査を行うにはコストがかかり、パフォーマンスも低下してしまいます。また、
データタイプごとに異 なるポリシー を要 求する規 制 も、この作 業 を困 難 なものにしています。 幸 いなことに、システムのパフォーマンスに悪影響を与えたり、コンプライアンス上の悪夢を引き起こしたりすることなく、大規模に暗号化されたトラフィックを検査することができる、実践証明された戦略があります。
具体的には次を推奨します。
•

•

•

•

すべてのユーザのすべてのトラフィックを検査できるクラウドネイティブなプロキシベースのアーキテクチャにより、HTTPSトラフィックの全脅威を解読、検出、防止。

ファイアウォールベースのパススルーアプローチとは異なり、疑わしいコンテンツを分析のために保持するAIドリブンのサンドボックスにより、未知の攻撃を隔離し、マルウェアによるPatient Zero
（最初の感染）を阻止。
すべてのユーザ、
すべての場所に一貫したセキュリティを提供することで、自宅、本社、外出先など、誰もが常に同じ最高のセキュリティを利用できるようにする。

水平移動ができないゼロトラストの状態からスタートすることで、攻撃対象領域を瞬時に減らす。
アプリが攻撃者に公開されることはなく、ネットワーク全体ではなく、必要なリソースへのダイレ
クトアクセスが、認証されたユーザに許可されます。

このソリューションには、ゼットスケーラーのZero Trust Exchange™のようなクラウドネイティブなプロ
キシベースのアーキテクチャでしか実現できないスケーラビリティとパフォーマンスが必要です。クラウドベースのセキュリティプラットフォームは、
コンピューティングリソースを弾力的に拡張することで、復号化と検査の要求に応え、複数の場所で一貫したポリシーの施行を可能にします。企業を確実に保護するためには、攻撃対象を減らし、隠れた脅威を発見するための HTTPS 検査を完全にサポート
する、多層的で徹底した防御戦略が不可欠です。

暗号化された脅威を阻止する最善の方法は、全体的なゼロトラストセキュリティ戦略の一環として、暗号化されたトラフィックを検査することです。
暗号化された攻撃の状況|

14

ゼットス ケ ー ラ ー の Z E R O T R U S T E X C H A N G E は 、暗 号 化 さ れ た
脅 威 を ど の ように 防 止 す る の かゼロトラスト戦略とアーキテクチャは、急速に進化するサイバー攻撃から組織を守るための最も効果的な手段です。ゼロトラストとは、どの時点でも実際に攻撃を受けていること、
そしてインフラがすでに侵入されていることを想定するものです。想定した攻撃が成功しないように、この想定に基づいてセキュリティ管理を行います。
最も進んだ攻撃には、3つの異なるステージがあります。攻撃は、インターネットに接続されたエンドポ
イントや資産を最初に侵害することから始まります。侵入した攻撃者は、横方向に伝播し、偵察を行い、
ネット
ワークの足場を確立します。最後に、攻撃は目的を達成するために行動を起こしますが、その目的には
通常、データ盗用が含まれます。ゼットスケーラーのZero Trust Exchangeは、
これらの3つの攻撃段階のそれぞれにおいて、複数のセキュリティコントロールを提供することで、総合的にリスクを低減します。

侵入の防止
攻撃対象領域を最小化し、すべてのトラフィックを検査することで、
ユーザ、
サーバ、
ワークロード、
IoT/OTを保護します。

水平移動の防止
攻撃者がネットワーク上を移動し価値の高いターゲットを見つけることを阻止します。

情報窃盗を防ぐ
インターネットに接続されているすべてのデータを検査し、インターネットへのデータ
流出や管理されていないデバイスの悪用を防ぎます。

暗号化された攻撃の状況|

15

最初の情報漏洩：最初のアクセスを停止するためのステップは、エコシステムへのエントリポイントの数を減らすことです。攻撃対象領域を監査し、セキュリティパッチを最新の状態に保ち、存在する可能性のある設定ミスを修正します。また、インターネットに直接接続するアプリケーションを削除し、代わりに接続を仲介するクラウドプロキシの背後に配置する必要があります。これにより、攻撃者には1つの入り口と1つの出口のみとなり、監視をすることができます。次に、繰り返し推奨しているように、すべてのトラ
フィックを検査します。何でも信頼できると思い込まないでください。ゼットスケーラーは、サービスのプラットフォームの一部としてHTTPS検査を大規模に行います。トラフィックが増加すると、容量は即座にオンデマンドで追加されます。アプライアンスの導入検討や注文、出荷の必要はありません。
水平方向への移動：ゼロトラストでは、「 信頼されたネットワーク」というものは存在しません。どのアプリ
ケーションにアクセスしている人も敵対的であると仮定するため、その人が引き起こすダメージを制限する必要があります。マイクロセグメンテーションを使用して、認証されたユーザであってもアクセスを制限します。ゼットスケーラーのゼロトラストアクセスソリューションであるZscaler Private Access™は、ネットワークを公開することなくユーザを必要なアプリケーションに直接接続し、Zero Trust Exchangeによって仲介・認証された1対1のセグメントを作成します。これは純粋なゼロトラストのセグメント化であり、従来のテクノロジで使用されているルールベースのネットワークセグメント化よりも複雑さがはるかに少ないものです。また、ゼットスケーラーでは、戦略的に配置された「 おとり」で攻撃者をおびき寄せ、攻撃者が横方向に移動しようとしたり、偵察を行おうとするとセキュリティチームに警告するデセプション技術を採用しています。
コマンド＆コントロール (C&C) のコールバック： マルウェアがインストールされると、通常、コマンド＆コントロール (C&C) サーバとの接触を試みます。この接触により、攻撃者はマシンを乗っ取ったり、追加のコマンドを発行したり、追加のマルウェアをダウンロードしたり、データを盗んだりすることができます。
このような通信を遮断し、機密データを保護するためには、northbound (発信 ) トラフィックの検査は、
southbound (着信 ) トラフィックと同様に重要です。ゼットスケーラーは、暗号化されたデータを双方向で検査し、悪意のある送信トラフィックを特定して停止させる洗練されたデータ損失保護機能を展開します。
ゼットスケーラーのZero Trust Exchange は、攻撃の一連の流れを止め、
インラインの脅威検査、
サンドボッ
クス、
データ損失防止、および幅広い追加の防御機能を備えたマルチレイヤのアプローチを用いて、大規模な HTTPS検査を実施します。さらに、ゼットスケーラーのクラウド効果により、グローバルプラットフォーム
全体で特定されたすべての脅威は、ゼットスケーラーのすべてのお客様の保護機能を自動的に更新します。
そのため、世界中のお客様からの情報に基づいて、セキュリティ体制が常に改善されています。世界最大のセキュリティクラウドであるゼットスケーラーのZero Trust Exchangeは、
コンテキストベースのIDとポリシーの適用を使用して、場所に関係なく、ユーザーとアプリケーションによるビジネスのトランスフォーメー
ションを加速します。

暗号化された攻撃の状況|

16

マ ル ウェア の 事 例 紹 介

次は、ThreatLabzが2021年に見て取ることができた、TLSを活用した新しく普及しているマルウェアファミリ
です。

njRAT
TLSを介したダウンロードで355,753回のブロックが観測されました。

まとめ

njRATは、Bladabindiとも呼ばれ、.Netフレームワークで記述されたリモートアクセスのトロイの木馬 (RAT)
であり、感染したシステムを完全に制御しつつリモートの攻撃者にさまざまな機能を提供するものです。
ユーザのキーボード操作を記録したり、侵入したマシンからデータを盗んだり、
リモートサーバにデータを流出させたりすることができます。初めて観測されたのは2013年6月でした。
検出を回避するために、
マルウェアは、次のような技術の一部または全部を使用することができます。

1. ConfuserXなどの既知のパッカーを使った難読化。
2. 仮想化防止：次の存在を確認する：vboxservice.exe、vboxtray.exe、vmtoosd.exe、SDBIE.DLL、など。
分析ツールのチェ
ック：次のプロセスチェックをする：processviewer.exe、processhacker.exe、など。
3.

配布戦略

攻撃者は、電子メールやWebの攻撃ベクターなど、さまざまな戦略を用いてnjRATを実際に配布しています。
一般的な攻撃ベクターとしては、次のようなものがあります。
••

LordEKやRigEKなどのエクスプロイトキットを使用する。
マクロベースのMS Oﬃceファイルを、
電子メールの添付ファイルとして送信する、またはURLでホストする。

パーシステンス

パーシステンスを確保するために、
マルウェアは次のメカニズムのいずれかまたは両方を使用することが
できます。

®
®
®
®
1. 自動実行のレジストリエントリをHKCUSoftware Microsoft Windows CurrentVersion RunまたはHKCUSoftware®Microsoft®Windows®CurrentVersion®RunOnceに作成する。
2. 自身をスタートアップフォルダにコピーする

ネットワークnjRATは、コマンド &コントロール (C&C) サーバに対してダイナミック DNSを利用し、構成可能なポートを介してカスタム TCPプロトコルを使用して通信します。njRAT v2.0では、HTTPSプロトコル上で機能するペイロードをドロップするためにcdn.discordapp.comを使用していることが最近確認されています。
同じくHTTPSを使用しているFilebin.netも、
クラックされたゲームを装うために使用されています。
暗号化された攻撃の状況|

17

Smoke Loader

ThreatLabzは、TLS経由のダウンロードで4,269回のブロック、
コールバックで3,237,276回のブロックを記録しました。

まとめ

Smoke Loaderは、
2011年にロシアのサイバー犯罪闇組織から最初に出現しました。
今年、Smoke Loader
は10年目になり、現在も活動を続けています。Smoke Loaderは、追加のマルウェアをダウンロードして実行するためのダウンローダとして広く使用されています。
Smoke Loaderは、ボットとPHPベースのC＆C
パネル、およびユーザーマニュアルが付属する犯罪キットです。
このマルウェアはダークウェブで販売されることが多く、完全なマルウェアパッケージが1,650ドルで販売されています。

回避技術

Smoke Loaderは、多くの場合プロセスリストを繰り返し処理して注入するプロセスを見つけ、プロパゲー
ト注入メソッドを使用してexplorer.exeに注入します。また、複数のアンチ VMトリックで武器化されています。たとえば、実行可能ファイルのパスに文字列 [A-F0-9] {4} .vmtが含まれているかどうかを確認し、実行中のすべてのプロセスを確認して次のような文字列を検索します。qemu-ga.exeqga.exe、windanr.exe、
vboxservice.exe、vboxtray.exe、vmtoosd.exe、pr_toos.exe、vbox、およびvmmemc。 そしてどれかを見つけた場合、バイナリは終了します。また、次の実行中のプロセス名も検索します：procmon.exe、ProcessHacker.exe、Wireshark.exe、などその他多数。そしてこれらのプロセスの1つが見つかると、バイナリが終了します。

パーシステンスメカニズム

これは、
コンピュータ名、
ハードコードされた静的な番号 (キャンペーンによって異なる)、システムドライブのボリュームシリアル番号の連結に基づいて、被害者のマシンごとに一意のIDを生成します。次に、IDは連結された文字列のMD5 ハッシュとして生成され、ボリュームシリアル番号のMD5が再度追加されます。
マルウェアは、
この一意のIDをいくつかの目的で使用しますが、具体的には2つのドロップされたファイルのランダムなファイル名を作成します。1つ目はSmoke Loaderの実行可能ファイルのコピーであり、2つ目はスタートアップフォルダに作成されスケジュールされたタスクとして起動されるlnkファイルです。

ネットワーク通信

C＆ Cドメインは、単純なXOR操作を使用して暗号化されます。次に、Smoke Loaderは、POSTリクエ
ストをC＆ Cサーバに送信します。ペイロードは、RC4を使用して送信前に暗号化されます。POSTリク
エストは「404 Not Found」レスポンスを返しますが、レスポンスの本文にペイロードが含まれています。
Smoke Loaderは、いくつかの異なるマルウェアファミリで人気のあるダウンローダで、pastebin.comでホストされているAvemariaなどのマルウェアのダウンロードが確認されています。これは、HTTPSを介して機能します。また、HTTPSを使用する他のドロップ型マルウェアでも同様の通信が確認されています。

暗号化された攻撃の状況|

18

QakBot
TLSを介したダウンロードで30,199回のブロックが観測されました。

まとめ

QakBotは、QbotまたはPinkslipbotとも呼ばれるバンキング型トロイの木馬であり、2007年から活動を続けています。その主な目的は、銀行の認証情報を盗むことです。スパムメールによって配布され、悪意のある添付ファイルをダウンロードしたり、悪意のあるリンクをクリックしたりするようにユーザを誘導します。
ダウンロードされたドキュメントまたはスクリプトファイルは、感染したシステムのメインのQakbotペイロー
ドをさらにダウンロードします。一部の事例では、エクスプロイトキットを通じて配布され、TrickBotなどの他のマルウェアによってダウンロードされています。経時的に開発され、クレジットカード番号、社会保
障番号、電子メールアドレス、
キーストロークだけでなく、認証情報を盗むWebインジェクション技術などの機能が追加されていて、バックドア機能も備えています。

パーシステンスメカニズム

QakBotは、自動起動場所にRUNキーを作成し、ログインするたびにマルウェアを実行することでパーシス
テンスを確立します。また、午前5時33分にペイロードを1回実行するようにスケジュールされたタスクを作成すると、実行後にスケジュールされたタスクを削除します。
HKEY_USERS\Software\Microsoft\Windows\CurrentVersion\Run\{Random}
C:\Windows\SysWOW64\schtasks.exe ‘C:\Windows\system32\schtasks.exe ’ /Create /RU ‘NT
AUTHORITY\SYSTEM’ /tn {Random}/tr ‘\’ % AppData%\Roaming\Microsoft\{Random}\{Random.exe}\’ /I{Random}’ /SC ONCE /Z /ST 05:33 /ET 05:45

ネットワーク通信

キャンペーンの中には、JavaScriptが更新された QakBotを、ebook[.]w3wvg.com/datacollectionservice.
php3からダウンロードして実行するものがあります。
ダウンロードしているペイロードは暗号化されて、
スク
リプトはそれを復号してからシステムにドロップし、次の情報を被害者のマシンから盗みます。
•
•
•
•
•

IPアドレス
ホスト名
ユーザ名
OSバージョン
銀行の認証情報

WebInjectを使用して、被害者のマシンと銀行のWebサイト間の通信を改ざんし、認証情報を盗みます。次のスクリーンショッ
トに示すように、トランスポート層セキュリティを介してコマン
図 10：QakBot が TLS ハンドシェイクを使用する場合
ド &コントロールサーバと通信するために、QakBotは、Secure
Sockets Layerの代わりにTLSハンドシェイクを使用しています。
暗号化された攻撃の状況|

19

Solarmarker
まとめ

Solarmarker / Jupyter Infostealer / Yellow Cockatoo / Polazertとして知られるマルウェアは、高 度 にモジュール化された情報収集型ハッキングツールおよびキーロガーです。マルウェアは通常、PDFSamなどの既知の潜在的に望ましくない可能性のあるアプリケーション (PUA) をパッケージ化し、ほとんどの場合、Innopackを使用して正規のプログラムファイルとしてパッケージ化します。Solarmarker感染は、
通常、被害者にインターネットからファイルをダウンロードさせるための誘惑として使用される古い手法であるSEOポイズニングを使用して実行されます。マルウェアパッケージのダウンロードはHTTPS経由で行われます。

回避技術

このマルウェアは、MSIやInnopackなどのインストーラを使用して配布されます。これは、初期ベクトルのサイズを50 MBより大きくするために行われます。これは、一部のマルウェアリポジトリやサンドボックスの送信サイズよりも大きくなります。MSIは、エンドポイント検出やウイルス対策ソリューションを回避するためにも使用されます。というのは、PowerShellを実行しているMSIは、PowerShellスクリプトを実行しているEXEよりも不審度が低いためです。

パーシステンスメカニズム

最近のキャンペーンでは、
マルウェアはユーザーのスタートメニュー \プログラム \スタートアップディレクト
リにある.lnkファイルをドロップします。.lnkファイルがこのディレクトリに配置されると、起動時に実行され、バックドアが起動します。

ネットワーク通信

SolarmarkerはTLSプロトコルを使 用して提 供され、SEO
ポイズニングを使用して配布されます。このマルウェアは、
通常、他のインストーラと一緒にパッケージ化されているため、そのネットワーク通信は、正規パッカー通信によって多少難読化されています。ほとんどのプログラムはTLSとHTTPSを使用しますが、悪意のある通信はPOSTリクエス
トを使用してHTTP経由で発生します。IPアドレスはバイナ
リに存在します。ユーザデータは、次に示すようにJSONを使用して送信されます。

図 1：JSON を使って送信されるユーザデータ

暗号化された攻撃の状況|

20

ラン サ ム ウェア の 事 例 紹 介

BlackMatter
まとめBlackMatterは、2021年7月に配信を開始しました。BlackMatterランサムウェアのオペレータは二重恐
喝の手法を用いており、身代金が支払われない場合には、被害者から盗んだ機密データをWebサイトで公開することが知られています。BlackMatterは、RaaS (サービスとしてのランサムウェア ) を投稿しており、
フォーラムに広告を掲載して、侵害された大規模ネットワークへの初期アクセスを提供してくれるブローカーを募集しているのが確認されています。
「BlackMatter」の運営者はブローカーにネットワークへのアクセス料を支払っています。BlackMatterランサムウェアは、暗号化プロセスでRSA + Salsa20の組み合わせを使用しています。このランサムウェアは、暗号化した後のファイルに「.{ランダムな英数字 }」拡張子を追加しています。身代金を要求する文書として「{ランダムな英数字 }.README.txt」を残しています。

回避と難読化BlackMatterランサムウェアは、システムの復元を防ぐために、被害者のマシン上のシャドウコピーを削除します。ランサムウェアがより多くのファイルを暗号化できるように、Outlook、Oracle、Notepadなどの生産性に関連するプロセスを終了させます。また、実行後はCOMインターフェイスを介して特権の昇格もさせます。文字列の難読化と動的なWin32API解決手法を使用しています。

ネットワーク通信

BlackMatterは、ボットバージョン、ボット ID、ホス
ト名、ユーザ名、ディスク情報、オペレーティング
システム、システムアーキテクチャ、暗号化されたファイル情報などの情報を収集します。 次のス
クリーンショットに示すように、HTTPSを介して通 信し、暗 号 化 にTLSを使 用します。 ペイロー
ドがHTTPSとの通 信 に失 敗した場 合、HTTPを使用してコマンド＆コントロールサーバと通信します。
図 12：BlackMatterは暗号化にTLSを使用

暗号化された攻撃の状況|

21

REvil/Sodinokibi
まとめ

Sodinokibiとしても知られるREvilランサムウェアは、2019年4月 に最 初 に発 見 され、スパムメール、
エクスプロイトキット、および侵害されたRDPアカウントを通じて配布されました。 Sodinokibiは、Oracle
WebLogicの脆弱性も頻繁に悪用します。Sodinokibiは全てのファイルを暗号化し、拡張子に「.{ランダムな英数字 }」を付けています。暗号化の過程では、Salsa20とECDHベースの鍵交換アルゴリズムの組み合わせを使用します。身代金を要求する文書として「{ランダムな英数字 }-readme.txt」を残し、感染したシステムの壁紙を変更します。

回避と難読化

REvilは、UACバイパス技術を使用して、現在のプロセスのコンテキストで昇格された特権を持つ機能を実行する機能を備えています。REvilは、
また、さまざまなWindows APIを使用して、マシンにインストール
されているデフォルトのシステム言語を判断し、そのシステム言語が事前に設定されたホワイトリストに存在しない場合にのみ、悪意のある活動を実行します。このような言語チェックは、特定の地理的地域への被害者への感染を防ぐために、
ランサムウェア媒体によって実行されることがよくあります。

ネットワーク通信

REvilは、被害者のシステムからユーザ名、ホスト名、ドメイン名、
キーボードレイアウト、オペレーティング
システム、
ドライブ情報、CPUアーキテクチャ、および暗号キーの詳細を収集し、HTTPSを使用してこの情報をコマンド＆コントロールサーバに送信します。ドメインのリストは、ペイロードに埋め込まれた設定に存在します。

暗号化された攻撃の状況|

22

フィッシン グ の 事 例 紹 介

Microsoft Ofﬁce 365

フィッシングコンテンツをホストするために、合法的なホスティングサイトや、glitch.me、CodeSandbox、
Cloudﬂare Workersなどのオンラインコードエディタが悪用されていることが確認されています。これらのサイトは、HTTPSを介してフィッシングページを提供し、迅速なWeb開発に一役買っています。これらのフィッシングサイトのいくつかの例を次に示します。

図 13：フィッシングサイトの例

これらのフィッシングページは、多層難読化を使用しており、ソースコードの一部は、JavaScript難読化ツー
ルとBase64 エンコーディングを組み合わせて難読化されています。

図 14：多層難読化の例

暗号化された攻撃の状況|

23

多層難読化の別の例を次に示します。

図 15：多層難読化の例

これらのフィッシングサイトは、IPアドレスのフィンガープリントも作成し、そのIPが、次に示すスクリーン
ショットに示されている企業一覧に属している場合は、Microsoftの正規サイトにリダイレクトします。

図 16：企業一覧
暗号化された攻撃の状況|

24

AmazonHTTPSを介したAmazonフィッシングの事例が確認されています。その一例を、次のスクリーンショットでご紹介します。配信地域が米国にあらかじめ設定されていることがわかります。これにより、
このフィッシングキャンペーンのターゲットに関する見識が得られます。

図 17：HTTPS を介したAmazonフィッシングのインスタンス

図 18：HTTPS を介した Amazonフィッシングのインスタンス

次に示すのは、AmazonフィッシングホスティングWebサイトの場所にある、攻撃者が改ざんしたページです。

図 19：攻撃者が改ざんしたページ暗号化された攻撃の状況|

25

OneDrive

攻撃者がHTTPS経由でOneDriveフィッシングページを提供しているのを確認しました。これらは、
フィッ
シングコンテンツを掲載している危険なウェブサイトから提供されていました。ソースコードは基本的な16進数でエンコードされており、フィッシングコンテンツのスキャナーによる検出を免れています。

図 20：HTTPSでのOneDriveフィッシングのインスタンス

図 20：HTTPSでの OneDriveフィッシングのインスタンス

図 22：ソースコードのコード化された部分
暗号化された攻撃の状況|

26

Telegram

非公式のTelegramウェブクライアントがHTTPSを使用している例が見られています。これらのWebクライアントは、セキュリティを保証するものではありません。これらのフィッシングページは、ユーザの電話番号を要求し、ユーザの電話番号にワンタイムパスワードを送信します。ユーザが非公式サイトでワンタ
イムパスワードを入力すると、Webクライアントは、TelegramのAPIを使ってユーザのコンテンツを取得し、ユーザに提供します。それを実行している間、ユーザのメッセージ、連絡先リスト、その他の詳細情報が悪意のあるWebクライアントによってどのように使用されるかについては保証されません。そのようなWeb
サイトの例を次に示します。

図 23：HTTPSを使用した非公式Telegram Webクライアントのインスタンス

Telegramの創始者は、セキュリティを確保するためにTelegramの公式アプリの使用を推奨していました。

図 24：HTTPSでのOneDriveフィッシングのインスタンス

暗号化された攻撃の状況|

27

PayPalHTTPSを利用したPayPalのフィッシング活動を確認しました。次の例では、あるショッピングサイトで、
PayPalによる支払い方法が被害に遭っています。

図 25：HTTPSでのPayPalフィッシング
活動のインスタンス

ユーザがショッピングカートに商品を追加すると、配送と連絡先情報のリクエストがされます。詳細を入力すると、ユーザーにはさまざまな支払いオプションが提供されます。ここに表示されているPayPal支払
いリンクは危険にさらされています。ユーザーがPayPalオプションを選択すると、次に示すフィッシング
ページに移動します。

図 26：PayPalのフィッ
シングページ

PayPalの認証情報が入力されると、ユーザは正規のPayPal URLにリダイレクトされ、そこでログインして購入を完了することができます。

図 27：PayPalのフィッ
シングページ

この例は、ソーシャルエンジニアリングの興味深い例です。このページでは、正規のショッピングページと、お客様が正規のリンクを期待するであろう場所にPayPalのフィッシングリンクが配置されています。
クレジットカードの支払いリンクは正規のURLを指していますが、PayPalリンクのみが侵害されています。

暗号化された攻撃の状況|

28

P O S T- E X P L O I TAT I O N ツール
標的型攻撃の実行者は、Cobalt Strike、Mimikatz、LaZagneなどのツールを使用して、水平方向の伝播、データの漏えい、その他のC＆ C活動を実行するのが一般的です。Cobalt Strikeは、
このような標的型攻撃の多くで最も一般的に使用されているツールの1つです。

Cobalt Strike

ダウンロード用に24,410回のブロック、TLSを介したコールバック用に172,568回のブロックが観測され
ました。

まとめ

Cobalt Strikeは、敵のシミュレーションとレッドチームの運用のための商用ツールです。これは、事前に定義された設定可能なコマンド＆コントロール (C&C) プロファイルを備えたフル機能のソフトウェアで、その振る舞いやネットワーク指標を変更して、実際の攻撃で使用されるさまざまなマルウェアファミリーの戦術、技術、手順 (TTP) をシミュレートすることができます。これは正当な商用ツールですが、実際の攻撃
では敵によって繰り返し使用されています。次のようなさまざまなAPTグループが、Cobalt Strikeフレーム
ワークを使用することが知られています。

•
•
•
•

APT19
DarkHydrus
CopyKittens
APT32

•
•
•
•

Cobalt Group
APT29
Leviathan
FIN6

Cobalt Strikeはファイルレスマルウェアであり、複数の目的に使用できる多段階シェルコードをサポートしています。

ネットワーク通信

Cobalt Strikeは、影響されやすいC＆ Cプロファイルと呼ばれる機能を使用して、1つまたは複数のプロト
コルを介して通信するように設定できます。

•
•
•
•

DNS (TXT、A、AAAAレコード )HTTP/HTTPSSMB (名前付きパイプ )
TCP

回避技術

Cobalt Strikeは、プロセス間またはホスト間での通信を可能にするソケットである名前付きパイプも使用する最終段階のペイロードとしてドロップされることがよくあります。Cobalt Strikeでの攻撃後に使用される機能としては、
キーロガー、Mimikatz、スクリーンショットモジュールなどがあります。

盗まれた認証情報を使用する横方向の動き

Cobalt Strikeは、盗んだ認証情報を使って、SMB (Server Message Block) を使用しているリモートネット
ワーク共有へのアクセス、RDP (Remote Desktop Protocol) を使っているコンピュータへのログイン、
Telnet、SSH、VNCなどのリモート接続を受け付けるために特別に設計されたサービスへのログインなどを行っています。
暗号化された攻撃の状況|

29

PoshC2
TLSを介したコールバックで98,591回のブロックが観測されました。
PoshC2は、レッドチーム、ポストエクスプロイト、および横方向の動きで侵入テスターを支援するために使用されるプロキシ対応のC＆ Cフレームワークです。
PoshC2は主 にPython3で書 かれています。 すぐに使 用 できるPoshC2には、PowerShell v2およびv4、C ++およびC＃ソースコードで記述されたペイロードを備えたPowerShell/C＃およびPython2/ Python3のインプラントが付属しています。これらにより、Windows、* nix、OSXなどのさまざまなデバイスやオペレー
ティングシステムでC＆ C機能が有効になります。
PoshC2は、SharpSocksで使用できます。これにより、C＃リバース HTTPSトンネリング Socksプロキシが可能になり、C＆ CトラフィックをHTTPS経由で実行できるようになります。

Ursnif

ダウンロード用に336,540回のブロック、TLSを介したコールバック用に87,821回のブロックが観測され
ました。

まとめ

Ursnif (Goziとも呼ばれます) はバンキング型トロイの木馬ですが、
バックドア、
スパイウェア、
ファイルイン
ジェクタなどのコンポーネントを含む亜種があります。初めて存在が確認されたのは2006年で、以降継続的に稼働しています。このマルウェアは、国別のフィッシングキャンペーンを使用して配布されます。

パーシステンスメカニズム

Ursnifは、2つのメカニズムを使用してパーシステンスを作成します。

1. 新しいスケジュールタスクを作成します (名前は「Power<random_word>」(例：PowerSgs) )「HKEY_CURRENT_USER\Software\Microsoft\Windows\
2. 何らかの理由でこれが失敗した場合は、

CurrentVersion\Run」レジストリキーを使用して、システムの再起動時にもパーシステンスを維持できるようにします。

ネットワーク活動

マシン上に足場を確立すると、メインのワーカースレッドを開始し、C＆ Cサーバでコマンドを継続的にポーリングします。このマルウェアは、「 ユーザ」、「 サーバ」、「ID」などのユーザ情報をハッシュ値として収集します。
「 稼働時間」は、デバイスの実行時間の時間値です。
「DNS」はコンピュータ名、「whoami」は完全なユーザ名です。マルウェアは、HTTPSを使用して、C＆ Cに連絡し、情報を中継している場合があります。

暗号化された攻撃の状況|

30

Dridex

ダウンロード用に50,088回のブロック、TLSを介したコールバック用に11,167回のブロックが観測されました。

まとめ

BugatおよびCridexとしても知られるDridexは、銀行の認証情報を盗むことを専門とするトロイの木馬です。
2011年に初めて登場し、何年にもわたって進化し、Microsoft WordやExcelドキュメントをペイロードとして使用するいくつかのフィッシングキャンペーンで取り上げられました。

回避技術

Dridexは、CutwailボットネットまたはRIGエクスプロイトキットによって配布されます。Dridexは、たとえばSpaceXの打ち上げなど、現在の社会情勢に基づいたフィッシングキャンペーンを使用することでも知られています。

ネットワーク通信

Dridexドキュメントペイロードには、次の段階のC＆Cが含まれています。HTTPSを使用してC＆Cに接続し、ダイナミックリンクライブラリ (DLL) ファイルをダウンロードします。
これは、ユーザに感染し、さらにC＆Cに接続するという最終的なペイロードです。
Dridexの亜種は、最近のキャンペーンではDoppelDridexとも呼ばれ、
cdn.discordapp.comとSlackをC＆Cとして使用し始めており、
DLLファイルが含まれています。

暗号化された攻撃の状況|

31

Zscalerがパフォーマンスに影響を与えたり、コン
プライアンスの懸念を引き起こしたりすることなく、すべての SSLトラフィックを検査する方法を確認してください。また、インターネット脅威エクスポー
ジャ分析ツールを使用してSSL/TLSトラフィック
を検 査 する機 能 を チェックすることもできます。

ThreatLabZについて

ThreatLabZは、Zscalerのセキュリティ研究部門です。このワールドクラスのチームは新しい脅威を発見し、グローバル

なZscalerプラットフォームを使用する何千もの組織が常に保護されていることを保証する責任があります。マルウェアの研究や行動分析に加えて、チームメンバーは、Zscalerプラットフォームの高度な脅威対策のための新しいプロトタイ

プモジュールの研究開発に携わり、Zscalerの製品やインフラがセキュリティコンプライアンス基準を満たしていることを確認するための内部セキュリティ監査を定期的に実施しています。ThreatLabZは、新たに出現した脅威の詳細な分析結果をポータル（research.zscaler.com）で公開しています。

Zscalerについて

Zscaler (NASDAQ：ZS) は、
デジタルトランスフォーメーションを加速させ、敏捷性、効率性、耐障害性、安全性の向上を可能にします。ゼットスケーラーのZero Trust Exchange™ は、あらゆる場所のユーザ、デバイス、
アプリケーションを安全に接続することで、
サイバー攻撃やデータ損失から何千ものお客様を保護しています。SASEベースのZero Trust Exchange

は、世界中の150以上のデータセンタに分散する、世界最大のインラインクラウドセキュリティプラットフォームです。
詳細は、zscaler.comをご覧いただくか、Twitter @zscalerをフォローしてください。

Research © 2021 ThreatLabZ.Zscaler™ およびZero Trust Exchange™ は、米国またはその他の国、
あるいはその両方におけるZscaler, Inc. の (i) 登録商標またはサービスマーク、または (ii) またはサービスマークです。
その他の商標は、所有者である各社に帰属します。