サイバー犯罪の現状と対策におけるインテリジェンスの活用
日本プルーフポイント株式会社
シニアセキュリティコンサルタント

内田 浩一

自己紹介
Malware Analysis
セキュリティベンダーにおいてマルウェア解析業務や、マルウェア検知製品の開発にも従事。

Threat Intelligence
攻撃者と脅威動向を継続的に観測し、高度なセキュリティ対策に重要なインテリジェンスの活用を支援。

SOC Supervisor
多数の大手企業や政府に対してSOCの立ち上げや運用支援のコンサルティングサー
ビスを提供。

内田 浩一

シニア セキュリティ コンサルタント

Penetration Testing
15年のPenetration test経験を有し、制御システムへの侵入やIoTデバイスに対するハッキング等、幅広い技術的検証プロジェクトをリード。

脅威分析を得意とするテクニカルコンサルタント© 2023 Proofpoint. All rights reserved2Agenda• サイバー犯罪の現状• 攻撃の動向と手口• 内部のインテリジェンスを活用した対策強化© 2023 Proofpoint. All rights reserved3サイバー犯罪の現状
何がリスクになるのかを考える© 2023 Proofpoint. All rights reservedサイバー犯罪エコシステム
ランサムウェアグループ

実行犯
Threat Actor
初期アクセスブローカー

卸売りアクセスマーケット

Initial Access Broker(IAB)

Wholesale Access Markets(WAM)

フィッシング
実行犯

Stealer
実行犯

フィッシングキット

Stealer
販売

販売© 2023 Proofpoint. All rights reserved

企業環境

5

ランサムウェアグループ

ランサムウェアグループ

Lockbitのアフィリエイト条件

Lockbitは以下に該当する協力者を募集✓ 結束力のある経験豊富なペンテスターチーム✓ 初期アクセスブローカー• アクセス権の販売• 利益に対する80%の支払い

企業環境に侵入するだけのスキルを有するハッカーチームと協業© 2023 Proofpoint. All rights reserved

6初期アクセスブローカーとの繋がり
Threat Actor

初期アクセスブローカー

初期アクセスブローカー
Initial Access Broker(IAB)

ランサムウェアグループ
WastedLocker

TA569

The TrickRyuk

TA800

BazaLoader
Egregor

TA577

SocGholish

Maze
TA551

IcedID
REvil

TA570

Qbot

ProLock© 2023 Proofpoint. All rights reserved

7

情報を販売するマーケット

認証情報や情報窃取型マルウェアのログが多数販売されているマーケット© 2023 Proofpoint. All rights reserved

卸売りアクセスマーケット
Wholesale Access Markets(WAM)

Redline Stealerで収集された各種情報およびスクリーンショット

8

認証情報DBのサブスクリプションサービス

卸売りアクセスマーケット
Wholesale Access Markets(WAM)

70億件の認証情報データベースへのアクセス権を提供するサブスクリプションサービス※元はロシア語

週に3万5千件新規に追加(現在80万件を保持)される情報窃取型マルウェアのログ提供サブスクリプションサービス© 2023 Proofpoint. All rights reserved

9小規模なデータ売買から大規模なサービス化へ
他の攻撃者

250ドル/月

クラウド型データ提供サービス

フィッシング攻撃者

フィッシング攻撃者

10ドル程度Stealer
攻撃者© 2023 Proofpoint. All rights reserved

10利益に繋がる企業は複数のグループに狙われるランサムでどのようなデータを盗むと支払いに応じる可能性が高くなるか？ソースコード？顧客情報？

支払いの可能性が高い企業はランサムグループの標的にサイバー犯罪もエコシステムによって効率化されているのが現状© 2023 Proofpoint. All rights reserved

11

攻撃の動向と手口
高度化する防御システムの穴を狙う攻撃者© 2023 Proofpoint. All rights reserved

脅威動向の変化に繋がった

MicrosoftがOffice製品のマクロを無効化
Microsoft社がマクロを無効化✓ ダウンロードしたドキュメントのマクロを無効化✓ ドキュメントを悪用した脅威に極めて有効✓ 2022年4月から順次展開
脅威動向の変化✓ オフィスファイルの悪用が減少✓ LNKやIMG等の他ファイルへ移行✓ フィッシングが激増

Webやメール経由で受信したファイルに対して付与するMark of the Webフラグによってリスクのあるファイルを識別。

いままではユーザがEnable Contentをクリックする事でマクロが実行された

今後はWebやメール経由で届いたドキュメントのマクロを強制無効化

マクロ無効化に対するアンダーグラウンドコミュニティの動き

マクロは多くのユーザ環境で無効化されるが、いまだ多くの企業では営業や財務担当者がマクロを利用する可能性がある。入口は狭くなるが、この手口は今後も有効。

Mark-of-the-Web(ダウンロードされたドキュメント)のFlagを回避する手法が存在する為、このような手法はマクロ無効化に対抗する手段として有効。

マクロ強制無効化に対する攻撃者側の対応(2022年)

xls

doc

lnk

iso

img

html

主要な手口

異なる手口の模索

マクロ無効化対策

現状活発な手口

主要な手口であったxlsやdocの悪用はマクロ強制無効化により悪用できなくなる。多くの攻撃者はxls、docに変わる新たな手口の研究と開発に追われている。

マクロ強制無効化後、lnkファイルの悪用が増加。但し、業務の中でlnkを添付するケースは少なく、メール対策として拡張子でブロックする事は容易。

マクロ強制無効化の回避策としてイメージファイルにxlsやlnkを格納する手口が増加。アンダーグラウン
ドコミュニティでも活発に有効な手口のディスカッションが行われている。

拡張子だけでブロックされる事のないHTMLを悪用した攻撃が増加。難読化したマルウェア本体をHTMLに埋め込む手口でセキュリティ機能を回避して到達。

HTML添付型フィッシングの例
難読化されたHTMLを送付するフィッシングが増加。難読化によりURLが特定される事を回避する目的があると考えられるが、多くのセキュリティ製品による検知回避を確認。

多くのメール対策製品をすり抜けるHTMLファイル© 2023 Proofpoint. All rights reserved

16HTML Smugglingによる検知の回避
Qbotはセキュリティ機能による検知を回避するHTML Smugglingと呼ばれる手法の悪用が確認されている。添付ファイルはHTMLの為、PPAP対策も回避して到達。
添付されたHTMLファイル

マルウェア本体ブラウザでHTMLを開くとZIPをダウンロード

ダウンロードされるファイル名
メール本文のパスワードでZIPを展開するとLNKファイル© 2023 Proofpoint. All rights reserved

17https://www.microsoft.com/security/blog/2021/11/11/html-smuggling-surges-highly-evasive-loader-technique-increasingly-used-in-banking-malware-targeted-attacks/

多要素認証を回避するフィッシング増加
EvilginxやEvilproxyといった多要素認証回避を目的としたツールやサービスを利用したフィッシングが増加

多要素認証の導入環境が増加する中で、AiTMと呼ばれる多要素認証を回避するフィッシングも増加© 2023 Proofpoint. All rights reserved18正規のサービスをフィッシングに悪用
Evernoteを悪用したフィッシング
www.evernote[.]com/shard/s484/sh/xxxxxxx-7f77-4b7851fc-fff3256757b7/f703c76075e46235b5fdc809e07ffc22

MicrosoftのAzure Storageを悪用したフィッシング
wdfaxmsg-secondary.z13.web[.]core.windows[.]net

OneNoteを悪用したフィッシング
aamjiwnaang-my.sharepoint[.]com/personal/gnahmabin_aamjiwnaang_ca/_layouts/15/Doc.aspx?xxxx© 2023 Proofpoint. All rights reserved

19

電話を悪用した新しい攻撃手法：TOAD
Telephone-oriented attack delivery (TOAD)：電話を用いた攻撃実行

メールを受信ユーザ(受信者)が電話

攻撃者が電話で応答攻撃者がユーザを不正サイトへ誘導

ユーザがダウンロードしたファイルを実行してマルウェア感染

攻撃者がユーザの端末を乗っ取り、データを窃盗

電話を用いることによりセキュリティ機能による検知を回避© 2023 Proofpoint. All rights reserved

20

8月に観測されたTOAD事例
8月に観測されたTOADのメールでは、Standard Notesと呼ばれるオンラインメモサービスに偽装した不正なメールを観測。サブスクリプションを停止する為には、メールに記載された電話番号に連絡が必要である事をメールでお知らせする内容。日本にも到達しているが、英語メールでかつ海外の電話番号である為、今現在の被害は限定的。

サブスクリプションを継続しない場合は、いつでも停止可能です。弊社営業部門へ連絡してください。
© 2023 Proofpoint. All rights reserved

サブスクリプション停止に関する重要なお知らせ。以
下のカスタマーコールセンターへお知らせ下さい。
21

正規サイトを偽装した不正サイト
ユーザが電話すると、正規サイトに偽装した不正サイト(standard-notes.net)へアクセスし、ファイルをダウンロードして実行するよう誘導。不正サイトは巧妙に作成されており、利用者がアクセスしても判断は難しいコンテンツになっている。

不正サイト：standard-notes.net© 2023 Proofpoint. All rights reserved

正規サイト：standardnotes.com

22

攻撃者の目的はCargobayのインストール
電話のオペレーターに従ってサイト上からキャンセルの手続きを行うと”Cargobay”と呼ばれるマルウェアに感染。

マルウェアのダウンロード© 2023 Proofpoint. All rights reserved

23

TOADに悪用された様々なブランド
確認されているTOADでは、様々なブランドを偽装した請求書を送りつけるケースが多く、キャンセルする為には電話での連絡が必要と記載されている。

AIの進化が国内のリスクにも繋がる可能性
フィッシングやBECといったメールで到達する脅威は、言語が大きな壁になっており、日本語でビジネスを行っている国内企業においては英語で到達するメールのリスクは海外と比較して低い(不審だと判断しやすい)状態であると思われる。しかしながら、翻訳サービスやAIの進化によって比較的流暢な日本語への翻訳も容易になってきたことにより、日本語の不正メールに悪用されるケースも増加する可能性がある。

AIサービスであるChatGPTで英語の不正メールを翻訳した結果© 2023 Proofpoint. All rights reserved25

内部のインテリジェンスを活用した対策強化© 2023 Proofpoint. All rights reserved攻撃者の手口に対応した防御が重要
セキュリティの本質は変化への対応

脅威動向を正確に把握し、敵の一歩先を進む対策の実装によりリスクを低減。

DefenseAttackDefenseAttackDefenseAttackDefenseAttack

攻撃者の手口に対して一歩先の対策が必要© 2023 Proofpoint. All rights reserved27収集した情報を活用して変化に対応
外部インテリジェンス

外部サービスの利用や自社のセキュリティ研究担当等によって収集する情報
脅威動向

マルウェアの情報

脆弱性情報

IoC

内部インテリジェンス

自社環境でブロックされている脅威や発生したインシデントの調査から得る情報
狙われている社員© 2023 Proofpoint. All rights reserved

攻撃の手口

対策の妥当性狙われる理由28

内部インテリジェンス

継続的なモニタリングと分析の結果を対策に転換
Continuous Monitoring

脅威とリスクの継続的な監視および分析
Adaptive Control+

リスクの高い脅威に対する柔軟な対応=

データドリブンなセキュリティ対応© 2023 Proofpoint. All rights reserved

29

Continuous Monitoring①

到達した脅威の分析による自社リスクの把握到達してブロックした脅威も含め手口とターゲットの傾向を調査する事によって対策に展開。

Threats
脅威People人

自社に到達する脅威を分析し、攻撃者の目的や手口に基づいて対策の妥当性を評価。

狙われている社員と被害に合った場合の影響範囲を想定したリスクの把握。

攻撃者インフラ

ターゲット

職位

手口

目的

業務

傾向

脅威傾向と対策の妥当性評価

誰が、なぜ高度な脅威のターゲットになっているのか
セキュリティ担当© 2023 Proofpoint. All rights reserved30メールで到達した脅威を分析してカテゴライズ
日時

送信元

受信者

脅威カテゴリ

検知

添付形式

目的

2023.1.10 09:23:00

攻撃者A

ceo@proofpoint.com

Malware

Qbot

html

社内環境への侵入

2023.1.10 09:45:00

攻撃者B

hr@proofpoint.com

Phishing

O365-

認証情報窃取2023.1.10 10:36:00

攻撃者C

engineer@proofpoint.com

PhishingO365-

認証情報窃取2023.1.10 13:11:00

攻撃者D

vp@proofpoint.com

MalwareAgentTesla

img

社内環境への侵入

2023.1.10 17:43:00

攻撃者E

hr@proofpoint.com

BEC

Invoice-

不正送金

ブロックした脅威まで分析する事により自社の脅威動向を把握する上で有益なデータとなる© 2023 Proofpoint. All rights reserved31リスク判断の困難な脅威

同僚からの不審なメールに対する調査少し時間ありますか？連絡を下さい。

© 2023 Proofpoint. All rights reserved

いまどこにいますか？

32リスク判断の困難な脅威

目的の不明な脅威は調査によってリスクを把握

iTune Gift Cardが必要なのですが、近くのコンビニで購入頂けますか？コンビニで購入可能な金額を教えて頂ければ、必要な金額をお知らせします。15分から20分程でコンビニに到達できますか？

攻撃者の目的が明確になり、このリスクは低いと判断することができる© 2023 Proofpoint. All rights reserved33狙われる人を把握して対策を適用
見えてくる傾向

ceo@proofpoint.com• 人事担当はBECのターゲットになりやすい• 自動車業界だと鍵の開発担当が狙われやすい

vp@proofpoint.com• 取引先向け窓口には取引先の名前を偽装したメールが到達• 特定のRATが毎回特定の数名に届く
hr@proofpoint.com• 外部公開されているメールアドレスのリスクは高い

攻撃者がどのように自社を狙っているかを把握

engineer@proofpoint.com

05

Malware1015

Phishing

BEC© 2023 Proofpoint. All rights reserved

20

2530

データを対策に生かす運用へ

34

Continuous Monitoring②

すり抜けているメールの把握により対策の妥当性を把握
社員の不審メールに対応するモチベーションと意識の向上を目的としたプラス思考の取り組み。
フィッシングリンクのクリックに対するマイナス評価のみだとモチベーション低下に繋がる。

３か月間に不審メールの通報件数が１番多い社員に対して賞金すり抜けている不審メールの把握

ユーザの意識向上

既存対策の妥当性

セキュリティ担当の分析能力向上

リスクの把握と対策強化

意識向上と体制強化© 2023 Proofpoint. All rights reserved35

不審メール通報やインシデント件数データ化の例
見えてくる傾向706050• 社員による不審メールの通報増加は良い傾向

40• 件数が多すぎると既存の対策強化の検討が必要

30• 増加する不正サイトアクセスの原因調査が必要

20

対策として次に何が必要かデータに基づいて判断

10
0
1月

2月
通報

不正サイトアクセス© 2023 Proofpoint. All rights reserved

3月

4月

マルウェア実行36

Adaptive Control

データに基づいてリスクに適応
継続的なプロセス対策

リスク可視化

適応レポート

不正メールブロック狙われた社員

リスクへの対応

現状把握

サンドボックス

自社を狙う脅威

ポリシーの最適化

対策の妥当性インシデント対応

脆弱な社員

脅威動向への対応

改善状況

日々変化するリスクに対策を適応する事で運用を高度化© 2023 Proofpoint. All rights reserved37データと調査結果に基づいた対策強化
人事担当者がBECのターゲット

人事担当者に対してBECに関する教育を実施

開発担当者がRATに狙われている開発環境にEDRの導入およびデータ漏
洩への対策を実施

毎月の不審メール通報件数が多すぎる

入口対策を強化して件数を低減

HTMLを添付した不正メールが増加

影響を調査の上、HTMLの添付付きメールをブロック© 2023 Proofpoint. All rights reserved38

セキュリティ運用の負荷が大きくなる例

対策による脅威のフィルタリング想定
1か月に到達した脅威とフィルタリング到達した脅威100,000

入口でのブロック95%ブロック

95,000

監視による検知95%検知(1日190件程の対応)

4,750

対策および監視をすり抜けた脅威

250

人員不足
見落とし

95%のブロックおよび監視による検知精度でも250件の見落とし© 2023 Proofpoint. All rights reserved

39

対策レイヤーが最適化された状態の例

多層的な防御機能による脅威のフィルタリング想定
1か月に到達した脅威とフィルタリング到達した脅威既知の脅威対策未知の脅威対策

ユーザによる通報監視による検知見落とし

100,00095%ブロック
95,00095%ブロック
4,750
95%ブロック
237
95%検知(1日0.5件程の対応)
12対策および監視をすり抜けた脅威
1
監視およびインシデント対応も十分対応可能な件数© 2023 Proofpoint. All rights reserved

40

脅威動向と自社のリスクを把握して一歩先のセキュリティ対策へ© 2023 Proofpoint. All rights reservedお問合せsales-japan@proofpoint.com
https://www.proofpoint.com/jp/

proofpoint-japan@proofpointjpn

42