ウェブルート 脅威レポート

脅威インテリジェンスによるインサイト
2014 年を通して、ウェブルートでは数え切れないほどのマルウェアやいわゆるP UA（Pote n t ia l l y
Unwanted

Applications）と呼ばれる不要なアプ

リケーションの収集、数十億のIPアドレスやURLの監視、数百万の新種およびアップデートされたモバイル
アプリの不正な振る舞い分析、何百万ものエンドポイ
ントから取得したデータにもとづくマルウェアのトレ
ンド分析を行ってきました。このレポートでは、脅威イ
ンテリジェンスを利用して進化した攻撃から企業が身を守る方法について、弊社独自のインサイト、分析結
果および有益な情報を提供します。

APRIL 2015

CONTENTS
まえがき. .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 3はじめに. .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 4BrightCloud Threat Intelligenceの機能（収集、分析、分類、相関分析、公開）
85,000：1日に発生する新しい不正IP  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 7Webroot BrightCloud IP レピュテーション
IPアドレスに関する重要事項
55%以下：「信頼できる」とみなされるURLの割合 .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 10
Webroot BrightCloud Web クラシフィケーションとWeb レピュテーション
URLに関する重要事項
30%：フィッシングサイトにアクセスしたインターネットユーザーの割合 .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 14
Webrot BrightCloud リアルタイム アンチフィッシング
フィッシングに関する重要事項
15%：新しく作成されるファイルのうち、悪質な実行ファイルの割合 .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 17
Webroot BrightCloudファイル レピュテーショ ン
実行ファイルに関する重要事項
わずか 28% のモバイルアプリが「信頼できる」または「安全」 . .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 19
信頼できるアプリの割合は2013 ～2014年の間に52%から28%に減少
モバイルアプリに関する重要事項まとめ  . . . .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  .  . 23

2

まえがき

Hal Lonas,（ハル・ロナス – Webroot, Inc. 最高技術責任者）

ウェブルートは、データの盗難やサー被害に遭った企業は当然何かしらのセキュリティインフラを保持していたはずです。それなのに侵害が発生してしまった理由

ビス妨害を目的とした数多くの不正はどこにあるのでしょう。原因の一つして考えられるのは、効

URL、IPアドレス、
マルウェア、モバイ

果が薄い時代遅れのセキュリティ手法への依存です。これは、今日の能動的な脅威に対する理解や対策、未知の脅威をブロ

ルアプリが絶えず発生する状況を目ックする能力、そして被害を実際に検知するまでの時間を最の当たりにしてきました。2014年には小限におさえる機能がすべて不足していることを意味します。

中小企業のみならず、大企業や金融

ウェブルートは、各企業のIT担当部署やユーザーにとって必要

機関、IT企業を狙った侵害も増加し、不可欠なのは、常に最新の状態にアップデートされた脅威イン
テリジェンスであると考えています。常にその姿を変化させる

その件数はとどまるところを知りませ脅威に対して、セキュリティ対策も同様に適応していかなくてん。

はなりません。そのためには、不正IPやフィッシング攻撃に使用されるWebサイト、不正アプリが最も多く存在するカテゴリなどに関する最新情報の取得が重要になってきます。
今日の脅威に対抗するため、データの相互関係まで把握した上で脅威を事前にリアルタイム検出する脅威インテリジェンスが求められます。様々な脅威に対応するためのリアルタイムに複数要素を相関分析する予測型の脅威インテリジェンスは、企業が未知と既知両方の脅威に対抗していくにあたって必要不
可欠な要素といえるでしょう。

3

はじめに
この2015年版脅威レポートでは、2014年に企業や個人が経験した様々な脅威の概要
についてまとめています。データは、ウェブルートのエンドポイントソリューションと脅
威インテリジェンスサービスのバックボーンとして機能するビッグデータ分析セキュリ
ティエンジンであるBrightCloudが自動収集、分析した結果である脅威インテリジェ
ンスに基づきます。

2014 年を通して、ウェブルートでは数え切れ ないほどのマルウェアやいわゆるPUA（Potentially Unwanted Applications）と呼ばれる不要なアプリケーションの収集、数十億のIPアドレスやURLの監視、数百万の新種およびアップデートされたモ
バイルアプリの不正な振る舞い分析、何百万ものエンドポイントから取得したデータにもとづくマルウェアのトレンド分析を行ってきました。

このレポートでは以下のようなウェブルートの脅威分析チームの見解も併せて紹介します。

不正な動作に関連づけられたIPアドレスの分析

URLの分類や評価に関する詳細フィッシング検出における統計4

マルウェアとPUAに関するインサイト

Androidデバイス
向けアプリのセキ
ュリティについての情報

BrightCloud Threat Intelligenceの機能（収集、分析、分類、相関分析、公開）
ウェブルートが提供する

エンドポイントおよび脅威イン

BrightCloud®Threat Intelligence サービスを経由してテリジェンスソリューションは、次世代の脅威対策の最先

自社の顧客に既知と未知どちらの脅威にも対応可能な次端技術として構築されたBrightCloudがベースとなりま世代の脅威インテリジェンスを提供しています。また、本サす。このBrightCloudには世界規模のマルウェア検出ネッ

ービスはURLの分類や判定、IPやファイルの評価、フィッシ

トを構成する何百万ものセンサーから取得された膨大なング対策、モバイルセキュリティなどをすべてカバーしていデータが集約されており、ウェブルートのパートナー企業はます。

Collective ThreatIntelligence

Partner End Users Protected (27 Million)

グラフ1:BrightCloud5

このレポートでは、上記サービスに組み込まれたリアルタイム脅威分析エンジンを通してみえてきた様々な脅威の全容がまとめられています。ウェブルートは、膨大なデータ処理能力と最先端の自動機械学習機能および強力な相関分析エンジンの組み合わせにより、以下を実施し
ます。
1

2

監視

3

カテゴリ化

IPv4の全範囲と、使用中のIPv6を正確に監視し、1200万にのぼる不正IPアドレスリストをダイナミックに更新します。

ウェブルートユーザーのエンドポイント上で確認された何百万もの様々なファイルをカテゴリ分けします。

インターネット上にある95%のコンテンツに対して分類とスコア判定を日々実施し、リアルタイムでフィッシングサ
イトを検出します。

膨大なモバイルアプリのリスク判定を実施します。
（2014年には、700万以上の新しいアプリが確認されました）

分類

4

評価

さらに、ウェブルートではこのようなデータをURL、IP、ファイル、モバイルアプリなどの様々な要素間で関連づけ、その相互関係にもとづいたより正確で詳細な評価を提供しています。たと
えば、単独では正常と判断されるURLでも、不正なIPやファイル、モバイルアプリと関連している場合は、ウェブルートシステム内での評価は低くなります。このシステムの本来の目的は脅威の急激な広がりから企業やユーザーを守ることですが、今回のレポート発行にあたり、ウェブ
ルートでは以下のようなデータを分析し脅威の全容をまとめました。

200億

70億

6億

1500万

40億

1000万

以上のURL

以上のファイルの振る舞いに関する記録

以上のドメイン以上のモバイルアプリ

以上のIPアドレス

以上のセンサー6

1日に発生する新しい不正IP

Webroot BrightCloud IP レピュテーション
攻撃を防止する最も効果的な手法の一つに不正なIP

グラフ2: BrightCloud IP Reputation Index

アドレスからの通信のブロックがあげられます。ウェ
ブルートでは40億以上ものIPアドレスを継続的に監視した結果をデータベース化し、リスクの高いIPアド
レスについて5分ごとに（※設定で頻度の変更が可能です）更新しています。最新の脅威を正確に識別し効
果的な防御を実施するには、頻度の高い更新が必要不可欠です。また、ホストが感染状態から回復しIPア
ドレスを変更した場合など、再評価を繰り返し実施してリアルタイムな状況を把握することが重要になってきます。
BrightCloudでは、様々なアプローチからデータの分析と関連づけを行い、より正確なリスク判定スコアの算出を目指しています。このスコアは「信頼できる」
ものから「不正」まで、5つのレベルに分かれます。カ
テゴリへの分類は、BrightCloud®IP

Reputation

Indexで各IPアドレスにつけられた1から100までのス
コアにもとづいて実施されます。数値が低いほどリス
クが高いことになり、これらのIPアドレスはスコアの高いものと比較してより高い頻度でモニタリングされ
ます。

7

01-20
高リスク

リスクが高いとみなされるIPアドレスです。
不正ペイロードやDos攻撃などの攻撃に使用される可能性が高く、企業インフラやエン
ドポイントに影響を与える恐れがあります。

21-40
疑わしい

疑わしい動作をするとされるIPアドレスです。攻撃に使用される可能性は平均値より高いとみなされます。

41-60
中リスク

一般的に良性と考えられるが、リスクになり得る可能性を持つIPアドレスです。攻撃に使用される可能性も一定程度存在します。

61-80
低リスク

良性と考えられ、リスクと判断される特徴も持たないIPアドレスです。攻撃に使用される可能性も低いとされます。

81-100
信頼できる
Trustworthy

セキュリティリスクと関連づけられたことが一度もない、
クリーンなIPアドレスです。
攻撃に使用される可能性は非常に低いとされます。

IPアドレスに関する重要事項
ウェブルートが保持する既知の不正IPアドレスのリストには、約1200万ものIPアドレスが登録されています。そのうち約36%のIPアドレスは毎日入れ替わり、この傾向は年間を通してほぼ変わりません。マルウェア作成者は、あるIPアドレスは不正と判定されるまでのわずかな時間しか、攻撃の開始や制御に使用できないことを知っています。不正な動作が確認された数分後にブラックリストに登録されるため、攻撃者はホストやIPアドレスを頻繁に変えます。しかし、常に最新の状態にアップデートされるウェブルートのIPブ
ラックリストは、このような急速な変化にも対応し、被害が広がる前にその動きを食い止めることができます。

た、それまで不正な動きがまったく見られなかったIPアドレスが新規で登録されることも多いのがウェブルートのリストの特徴です。2014年には一日平均85,000以上の新しいIPアドレスがリストに追加されました。この数値から、こうしたリストが日常的に更新され続けることがスパム
やDDos攻撃対策において、いかに重要か改めて分かります。各企業での設定の例として、たとえばセキュリティ意識の高い銀行であれば前述のスコアが80より低いIPアドレスはすべてブロックするように選択できます。一般企業では、パートナー企業と関連したサイトであればスコアが60以上のIPアドレスまで許可することもある
かもしれません。

ブラックリストから外されたIPアドレスが再度リストに現れることはあまりないものの、一部のIP
アドレスに限っては不正な動作と何度も関連づ
けられ、リストに再登録されることもあります。
特に、リストの上位1万までに登録されたIPアド
レスは再利用される率が高く、1ヶ月のうちにリスト除外と再登録を平均4回も繰り返します。ま不正IPアドレスは世界中に存在しますが、一定の国や地域に集中していることも事実です。以下のグラフ3が示すとおり、不正IPアドレスの30%はアメリカに存在し、その後に次いで多いのが中国とロシアです。また、不正IPの半数がアジアに存在します。

31% アメリカ

グラフ3：不正IP発生国トップ10

8

23%

中国

10%

ロシア

8%

韓国

4%

ベトナム

4%

ウクライナ

2%

ドイツ

1%

オーストラリア

1%

チリ

1%

オランダ

不正IPアドレスに関するもうひとつの興味深い点とししかし、企業側で既存のブラックリストを使用して関て脅威のタイプが挙げられます。これは各IPが関連す

連IPアドレスをブロックし、スパムやボットネットを阻る不正行為の性質に応じてスパム、スキャナー、プロ

止することは不可能ではありません。

キシ、Web攻撃、フィッシングなどに分かれます。個々

グラフ4では、脅威のタイプごとに分けられた不正IPのIPが関連する不正行為に基づき、主要な脅威タイの割合をまとめています（スパムおよびボットネット

プでカテゴリー分けされています。そのうち、脅威タを除く）。半数を占めるのはスキャナーで、プロキシ

イプ別では最も割合が高いのはスパムであり、全体の90%におよびます。

が僅差でそれに続きます。

これらの脅威は活動期間が非常に短く、数時間もしくは数分のものもあります。

その他 2%

Web攻撃 6%

スキャナ 51%

プロキシ 41%

グラフ4：脅威タイプ別不正IPの分布（2014年、スパムを除く

9

55%以下「信頼できる」とみなされるURLの割合

Webroot BrightCloud Web クラシフィケーションとWeb レピュテーション
ウェブルートでは200億以上のURLを分類、監視し、その結果をBrightCloud®Web
クラシフィケーションとBrightCloud® Web レピュテーションを通して提供しています。Webroot BrightCloud Web クラシフィケーションはWebサイトを83のカテゴリに分類したインテリジェンスをベースにオンライン脅威からユーザーを守り、ポリシーを経由した効率的なインターネット利用の制御を行います。
BrightCloud®Web レピュテーション では各URLの履歴、存在期間、ランク、場所、
ネットワーク、リンク、リアルタイムな動作などにもとづいて、IP

レピュテーションと同様に5つにレベル分けされたスコア判定システムを利用しています。本サービスを導入することでカテゴリ別ではなく単独のURLにおける評価を反映し、Web攻撃に対する正確でリアルタイムな防御を実行することができます。
BrightCloud分析エンジンは現在、1秒ごとに2,500以上のURLに対する分類とスコ
ア判定を人間よりも高い精度で実施することができます。このスピードと正確性はウェ
ブルートの大きな強みとなっています。

10

URLに関する重要事項
低リスク 11%

一言でリスクのあるURLといっても、そのレベルは多岐にわたります。グラフ5では、BrightCloud上でスコア判定されたURLのリスク度の内訳をまとめています。判定対象となったURLの半数は信頼がおけると判定され、リスクが低いと判断されたものも11%あっ

中リスク 30%

信頼できる 54%

たことは特筆すべき内容でしょう。多少のリスクがあると判定された30%に関しては、新規Webサイトなど内容を識別するために十分なデータがなかったも疑わしい 2%
高リスク 3%のも含まれます。そのため、このカテゴリに分類されたURLがすべて悪質なものであるとは言い切れません。Web上に存在するサイトの多くは正当なものです

グラフ5：カテゴリ別URLリスクの分布（2014年）

が、企業にとっては避けた方が無難なサイトも数多くあります。

ために、アメリカなどの地域フィルタリングサービス

また、URLが作成された地域に関しても注意が必要

では自動的にブロックされない国にマルウェアURLです。グラフ6では、検出された不正URLを国ごとにをホストします。これで、企業ネットワーク側で「高リまとめています。グラフ3や5と比較すると、分布の割

スク」の国のURLを含むアクセスをすべて拒否する設合が大きく異なることが分かります。不正IPの発生源定がされていた場合でも影響されません。このようなで大きな割合を占めていたロシアや中国は、URLの状況をふまえると、IPアドレス単独に対するフィルタ

分布ではそこまでの数値を出していません。原因の一リングだけではなく、URLの性質にもとづいた評価ス

つとして考えられるのは、リスクの高い地域にいる攻コアを確認することが重要であることが分かります。

撃者がフィルタリングによる自動ブロックの回避する

グラフ6：不正URLのホスト国トップ10

11

48%

アメリカ

8%

フランス

4%

ドイツ

4%

ロシア

4%

オランダ

2%

イギリス

2%

中国

2%

カナダ

2%

ブラジル

1%

トルコ

数億もの不正なサイトからのユーザーとネット
ワークの保護インターネット上に存在する数多くの不正なサイトかス、ファイル、モバイルアプリなどとの関係性が確認

らユーザーやネットワークを守ることは非常に重要されたものが含まれます。

です。URLに関するデータをさらに詳しく分析するた

最も疑わしいとされたのはオンライングリーティング

め、ウェブルートでは83個のURLカテゴリをもうけ

カードのサイトで、一般的には信頼できるとみなされています。例として、コンテンツ配信ネットワーク、オがちな定期的に更新されるコンテンツ提供サイトがンライングリーティングカード、翻訳サービスなどが次に続きます。コンピューターやインターネットセキュ

挙げられます。また、BrightCloud Web クラシフィ

リティ関連のWebサイトが上位に位置しているのは、

ケーションでは高リスクのURLをさらに「既知のスパ

不正URLに言及することが多かったり、セキュリティ

ムURL」、「マルウェアサイト」、「フィッシング」、「プ

ブログ上でそういったリンクを直接紹介することもあロキシ回避、アノニマイザー」、「スパイウェア、アドウるためです。なお、「すべてのカテゴリ」は前述したよ

ェア」、「ボットネット」の6つのカテゴリに分類していうな比較的高いリスクを示す、不正に関連したカテゴます。グラフ7では、リスクが高い、もしくは疑わしい

リを含めた８３すべてのカテゴリの平均です。

動作が確認されたURLが多く確認されたカテゴリのうち上位15位をまとめています。これらのサイトには
感染後に回復していないものや、不正URL、IPアドレ

100%
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%

ー
リ
グ
ン
イ
ラ
ン
オ

ド
ー
カ
グ
ン
ィ
テ

ツ
ン
テ
ン
コ

配

信

関
ナ
ァ
フ
リ
マ

連

翻

訳

ル
ー
メ
eb
W

個

人

ジ
ー
レ
ト
ス
用

グ
ッ
ラ
ド

関

連

ー
ュ
ピ
ン
コ

ク
索
ル
ィ
の
テ
ー
も
ー
検
リ
む
ワ
画
、ツ
ュ
ト
含
動
ス
キ
ッ
を
は
イ
セ
ネ
容
た
バ
ト
ル
内
ま
ド
ッ
ャ
る
像
ア
ネ
シ
あ
画
の
ー
ー
の
連
タ
ソ
題
ン
関
問
イ
株
、
ー
タ
動
自

車

関

連

High Risk

Suspicious

ア
ピ

ア
ピ
ー
ツ

味
リ
ゴ
趣
、
テ
ン
カ
ョ
の
シ
て
ー
べ
エ
す
リ
ク
リ

Moderate Risk

グラフ7: 疑わしいまたはリスクが高いとされるカテゴリトップ15（悪質なカテゴリを除く）

12

Low Risk

Trustworthy

リスクの高い国の攻撃者は信頼度の高い国に不正なサイトをホストする
グラフ8では、左列が訪問回数の多いURLカテゴリ上位10位、右列がリスクが高いURLカテゴリ上位10位を表しています。不正に関連したカテゴリに含まれるURLは必然的にリスクが高くなります。これらの直接不正に関連したカテゴリを除外すると、ビジネス、経済、社会、ショッピング、旅行、健康、医療関連のものなどが疑わしいカテゴリとして挙げられることが分かります。

URLカテゴリトップ10

疑わしい、または高リスクのURLカテゴリトップ10

1

ビジネス、経済21.2%

1

スパム関連URL

30.9%

2

社会

12.8%

2

マルウェアサイト

13.7%

3

旅行

6.4%

3

ビジネス、経済

7.8%

4

アダルト、
ポルノ

5.7%

4

プロキシ回避、
アノニマイザー

6.7%

5

ショッピング5.4%

5フィッシングや他の不正

6.4%

6

個人サイト、
ブログ関連

4.8%

6

社会

5.1%

7

アート、
エンタテイメント

4.0%

7

ショッピング

5.1%

8

健康、医療関連

2.7%

8

旅行

2.7%

9

コンピューター、
インターネット
関連

2.5%

9

健康、医療関連

1.8%

10

ニュース、
メディア

2.3%

10

アート、
エンタテイメント

1.8%

グラフ 8: 2014年におけるURLカテゴリトップ10の内訳

また、一見疑わしかったり望ましくないと見られがちなカテゴリでも、平均値と比較すると評価が高い場合もあります。たとえば詐欺関連のカテゴリに分類されたURLのうち85%が「信頼できる」または「低リスク」と判定され、これは全カテゴリの平均値である65%を上回ります。他にもヘイト、人種差別関連（82%）、グロテスク系（81%）暴力関連（77%）、違法な内容（67%）、アダルト、ポルノ（65%）、ヌードを含むもの（65%）が「信頼できる」または「低リスク」の評価割合が高いカテゴリとして挙げられます。企業や家庭においては、上記のようなカテゴリは好ましくないと考えており、アクセスや制限を行う場合にはカテゴリ分けも考慮に入れるべきです。なぜなら評価スコアだけでは、こうしたサイトを内容を踏まえた上での判定ができないためです。
ウェブルートが使用するURLカテゴリの一覧は以下のURLより参照可能です。
www.brightcloud.com （英語）13

フィッシングサイトにアクセスしたインターネットユーザーの割合

Webrot BrightCloud リアルタイム アンチフィッシング
ウェブルートのBrightCloud リアルタイム アンチフィッシングはアクセス先のWebサイトに不備がな
いか、フィッシングサイトではないかの分析をミリ秒単位で実行します。フィッシングサイトは一定のサイト訪問が得られる数時間の間だけオンラインであることが多いため、いかにリアルタイムな分析を実施するかが重要になってきます。静的なブラックリストではこのようにダイナミックに活動するサイトに対抗することはできないのに対し、リアルタイム検出ではサイトが作成されてから数秒で検出が可能であるためです。
さまざまなセキュリティベンダーが自社の顧客を保護し、フィッシングサイトに対抗するために
BrightCloud リアルタイム アンチフィッシングを活用しています。2014年、ウェブルートは英語以外の言語サポートを増設し、エンドポイント向けのセキュリティ製品であるWebroot SecureAnywhereにリアルタイムのフィッシング対策機能を統合しました。その結果、2014年最後の3ヶ月間にウェブル
ート全体で検出されたフィッシングサイトの平均値は大きな増加をみせました。それにともない、このレポートでは2014年の10月から12月にかけてのデータにもとづいた分析を紹介します。

14

フィッシングに関する重要事項
2014年最後の3ヶ月間、ウェブルートの保護下にあるユー
ザーのうち、毎月およそ2.5%においてゼロデイ攻撃をしかけるフィッシングサイトへの初回アクセスが確認されていたことが分かりました。
（２回目以降のアクセスはすべて自動でブロックされています）2.5%という数値自体は少なくみえますが、年間に換算するとユーザー全体の30%がゼロデ
イURLを経由したフィッシング攻撃に遭遇する可能性があるということになります。この数値から、リアルタイムなフィ
ッシング対策を事前に用意しておくことがどれだけ重要かが分かります。
また、フィッシング攻撃は世界規模のイベントが発生する時年間でユーザー全体の30%がゼ期に集中して増加する傾向があります。たとえば、2015年

ロデイURLを経由したフィッシンの始めにフランスでシャルリー・ヘブド襲撃事件が発生した
際には、データに大きな変動がみられました。また、2014

グ攻撃に遭遇する可能性あり

年最後の週には、その四半期における他の週と比較して50%以上のフィッシング攻撃の増加が確認されました。これは、この時期がちょうどホリデーシーズンにあたり、プレゼントなどで新しいデバイスを使い始めるユーザーが多いことが原因と考えられます。

60,00050,00040,00030,00020,00010,0000
11/5/14

11/12/14

11/19/14

11/26/14

12/3/14

12/10/14

12/17/14

12/24/14

グラフ9：2014年の10月から12月にかけて週単位で確認されたフィッシングURL

15

12/31/14

1/7/15

ゼロデイ攻撃で使用されたフィッシングデータから具体的

ショッピング .2%にどのようなWebサイトがねらわれていたのかを分析すると、興味深い結果が得られました。調査対象は、2014年の間になりすまし被害にあったトップ60の企業です。グラフ

IT企業 55.6%

10のデータから、フィッシングサイトのターゲットが金融機

金融機関 44.3%

関もしくはIT企業のいずれかにほぼ同じ割合で集中していることが分かります。
しかし、実際に攻撃の対象となった企業の数を比較するとその割合は変化します。グラフ11で分かるように、なりすま

グラフ10: 産業カテゴリ別フィッシングサイトの割合

しの被害にあった企業のうち、80%以上が金融機関でした。ただし、1企業に対するフィッシング攻撃の総数では、IT
ショッピング 3.2%

企業が金融機関を上回っています。平均値では、1金融機関につき攻撃総数が900回だったのに対し、IT企業においてIT企業 14.5%

は1社に対して実に9,000回もの攻撃が確認されています。

金融機関 82.3%

60企業のうち、なりすまし被害に遭った総数が上位5位だった企業をカテゴリ別に以下に示します。

グラフ11: フィッシングサイトによりなりすましにあった企業の割合

フィッシングの標的とされたIT企業トップ5

フィッシングの標的とされた金融機関トップ5

1

位 Google

35.6%

1

位 PayPal

52.2%

2

位 Apple23.8%

2

位 Wells Fargo

17.9%

3

位 Yahoo

18.6%

3

位 Bank of America

12.2%

4

位 Facebook

13.3%

4

位 Chase

4.6%

5

位 Dropbox

6.6%

5

位 Lloyd’s Bank

4.5%

その他：NatWest、Royal Bank of

その他：Microsoft、Blizzard、
Adobeなど

Canada、Navy Federalなど

グラフ12： なりすましの被害にあったIT企業と金融機関

国ごとのフィッシングサイト分布を見ると、アメリカが全体の75%を占めトップに立っています。しかし、これはあくまでアメリカを中心に展開するウェブルートユーザーから取得したデータのため、どうしても偏りがあることも述べておきます。また、フィッシング攻撃は経済的な見返りが大きいターゲットが狙われやすいため、必然的に発展途上国よりも先進国での発生率が高くなります。

16

新しく作成されるファイルのうち、悪質な実行ファイルの割合

Webroot BrightCloudファイル レピュテーショ ン
ウェブルートでは、パートナー企業向けに分単位で自動更新されるファイル評価サービスを提供しています。この不正またはホワイトリスト化されたファイル指標に対するリアルタイムな検索サービスを利用することで、IT管理者は企業ネットワークに侵入しようとする脅威ファイルを種類、ファイル名、プラットフォーム、暗号化やパスワード保護の有無に関わらずブロックすることができます。
ファイルの特徴から、不正実行ファイルは「マルウェア」と「PUA」の2種類に分けられます。後者は性質上不正と断言はできないものの、企業にとっては不適切または不必要とみなされるアプリケーショ
ンです。これにはスパイウェアやアドウェア、ハッキングツールなどが含まれます。

17

実行ファイルに関する重要事項
PUAs 12%2014年、ウェブルートは数億におよぶ実ユニークな実行フ
ァイルを新しく確認しました。これらのファイルのうち、約

マルウェア 3%

3.4%がマルウェア、12%がPUAとみなされています。
2014年を通して、各ウェブルートユーザーは平均1.3個のマ
ルウェア、4.6個のユニークなPUAに遭遇したことになります。この数値から実行ファイルを利用した脅威がいかに急速に広まっているかや、その内容もカスタム化が進み、より
ピンポイントなターゲットを狙ったねらったものに進化していることがよく分かります。
また、
マルウェアやPUAはその数だけでなく、種類の豊富さも注目すべき点といえます。2014年、ウェブルートではひとつのマルウェアファミリーにつき平均して約700、PUAファ
ミリーに関しては約30,000もの実行ファイルを検出しましその他 85%た。これらの実行ファイルから特定されたマルウェアファミ
リーの数は14,000以上、PUAファミリーは1,000以上におグラフ13: 2014年ファイル評価カテゴリ分布

よびます。これはマルウェアよりもPUAの方がユーザーに広まる率が高いということです。その原因として考えられるのは、多くの環境においてPUAの方がはっきり「不正」ではな
く、「疑わしい」という判定のみで、検出やブロックまではされないこともある点です。
そして、このような高い発生率に加え、2014年は身代金要た。中でも最も注目すべきなのがWindowsのレジストリを求型ウイルス（ランサムウェア）の爆発的な増加および複雑

悪用し、新種のウイルスに感染させるPoweliksと呼ばれる化が見られた年といえます。全体で15のファミリーと広く蔓

マルウェアです。このマルウェアの強みはレジストリ下に完延したCTB/CritroniやCryptowall 3.0を含む何百もの亜全におさまる点と、新しい感染を引き起こす際にファイル種が確認されました。各ファミリーは、ソーシャルエンジニ

コンポーネントをまったく必要としない点です。主に暗号アリングを利用した新しく画期的な手法と複雑な仕組みを化ランサムウェアに使われたことにより、Poweliksが大々暗号化の手法に導入しています。Twitterを利用して「身代的に注目されたのは2014年8月でしたが、ウェブルートで金」を支払ったユーザーのリストを作成する、暗号解除用とは、2014年3月からPoweliks

偽って感染のきっかけとなるツールを配布する、暗号解除がを確認し、直ちに顧客の保護を開始していました。早期バージョンのサンプル分析を通可能であること示すためファイルをひとつだけ無料で解除

して、レジストリに感染するためのテクニックは2種類のパタ

する、ゲーマーやゲームMODを狙うなど、さらなる身代金をーンが識別され、WindowsのPowerShellを経由するもの

狙ってその手法は多岐におよびます。

が最終形態として確認されています。

また、2014年はPC感染において新手の手法が目立ちまし

18

わずか
のモバイルアプリが「信頼できる」または「安全」

Webroot BrightCloud モバイルアプリ レピュテーション
BrightCloud モバイルアプリ レピュテーションサービスは、モバイル管理やセキュリティのソリューシ
ョンを提供するベンダーが、流動性の高いモバイルデバイスにおける脆弱性を把握するのに役立ちます。このサービスでは、アプリストアやその他の提供元で公開されるアプリを継続的に分析し脅威の識別を実施しているため、IT担当者側で個別に設定したポリシーやリスク耐性にもとづいて特定アプリ
へのアクセスを制限し、ユーザーに悪質なアプリが配布されることを未然に防ぐことができます。
ウェブルートではこのプロセスを一本化することで、正確な分類やモバイルアプリにおける情報の提供を実現しています。パートナー企業は6層に分けられた分類カテゴリにもとづいて効果的なポリシーを作成することができます。アプリの情報を実際にどのように判断し適用するかをフレキシブルに設定できるため、各企業のニーズに応えた環境を作り出すことができます。

19

信 頼 で きるア プリの 割 合 は 2 013～2014年の間に52%から28%に減少
モバイルアプリに関する重要事項
2014年、ウェブルートではアプリ

レピュテーション

えてしまいそうになりますが、対象データの取得源にに700万以上の新しいAndroidアプリのデータを追マルウェアが多く含まれていることを念頭に置いてお加し、その総数は1,500万を超えました。グラフ14でくことは必要です。とはいえ「信頼できる」または「安は、これらのアプリの評価の内訳を月別で表していま全」と判定されるアプリ（※2013年には52%だった

す。
「信頼できる」または「安全」と判定されたアプリのが、2014年には28%に減少）が「疑わしい」またはの割合はあまり変わらないのに対し、「好ましくない」「悪意のある」アプリに取って代わられたことは事実または「悪意のある」とされたアプリの数は増加し、です。この原因として考えられるのは、既存のアプリ「疑わしい」とされたアプリの数は逆に減少していまと機能が重複する新規アプリの市場が縮小しているす。平均値を見ると「信頼できる」または「安全」と判ことです。また、「悪意のある」、「疑わしい」、「好ま定されたのはアプリ全体の28%で、ほぼ半数が「低リしくない」アプリが、より多くのデバイス、特に新興国

スク」または「疑わしい」、そして22%以上が「好まし向けのデバイスに、工場出荷時にインストールされてくない」または「悪意のある」と判定されたことになりいることが考えられます。

ます。この結果からアプリの大半が良性ではないと考

100%
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%

Jan

Feb

Mar
信頼できる

Apr
安全

May

Jun

低リスク

疑わしい

Jul

Aug
好ましくないSep
悪意のあるグラフ14：モバイルアプリ評価の年間変移（2014年）

20

Oct

Nov

Dec

グラフ15では、「悪意のある」カテゴリに含まれる脅ツールも公開されます。数字が示すほどの大きなイン

威（アドウェア、PUA、ルートキット、スパイウェア、シ

パクトはないものの、ルートキットによるアプリへのステムモニター、トロイの木馬、ワームなど）の相対度

アプローチは今後も開発が続くと考えられます。

数をまとめています。マルウェア脅威で大多数を占め

Androidアプリは、Google Playストアで設定されたるのは「トロイの木馬」で、2014年は77%でした。こ45カテゴリに基づいたアプリの使用目的ごとにも分れには、Androidにおける不正アプリの大半を占め

析することができます。ウェブルートでは、すべてのカるSMS感染から偽インストーラまで、幅広い内容がテゴリにおいて不正アプリを検出しましたが、その割含まれます。他にもPUA（10%）、スパイウェア（9%合はカテゴリによって異なりました。グラフ16で分か）、ルートキット（4%）などが挙げられています。

るように、計算機からバッテリー管理までさまざまな

また、2014年12月においては、ルートキットの割合

機能を持ったアプリが含まれる「ツール」カテゴリが、が11月と比べてほぼ9倍になっています。これは、ホ

現時点で不正アプリを最も多く含むカテゴリと判明しリデーシーズンでさまざまなデバイスの新モデルが発ました。

表されたことに起因するとみられます。こういった新機種が発表されるとすぐそれに対応したルーティング

100%
90%
80%
70%
60%
50%
40%
30%
20%
10%
0%

01/14

02/14

03/14

04/14

05/14

06/14
トロイの木馬

07/14
PUA

08/14
スパイウェア

グラフ15： 月別Android不正アプリの分布

21

09/14
ルートキット

10/14
アドウェア

11/14
システム監視12/14
ワーム

その他 20%

メディア&動画 2%
ツール 44%

ライフスタイル 2%
ソーシャル 3%通信 3%
パズル 4%
パーソナライゼーション 4%
エンターテインメント 5%

カジュアル 5%

アーケードとアクシン 8%

グラフ16：カテゴリ別「悪意のある」Androidアプリの分布（2014年）

このカテゴリに分類されるアプリには、デバイスになんらかの追加アクセスを要求するものが多いのも特徴です。これはアプリを不正利用する際に悪用されがちな要素といえます。他に上位10位に入ったカテゴリは、「アーケードとアクション」（8%）、「
カジュアル」（5%）、「エンターテインメント」（5%）、「パーソナライゼーション」
（4%）、
「パズル」
（4%）、
「通信」
（3%）、
「
ソーシャル」（3%）、「ライフスタイル」（2%）、「メディア＆動画」（2%）でした。
残りの35のカテゴリが不正アプリの総数において占める割合は合計してもわずか20%でした。しかし、これらの数値からだけではマルウェアの本質はみえてきません。補足情報として、以下にウェブルート分析担当者のAndroidに対する脅威の見解をま
とめます。

1

2
Android向けに作成されたマルウェアのうち、ほとんどすべてがデバイス管理機能に干渉することで自身の権限をより強く設定し、アンインストールも非常に難しくする能力を持ちます。デバイス管理機能の確認画面はほとんどの場合特定のアプリに対して表示されるため、マルウェアでは他のアプリ名を騙ってこういった画面を表示したり、ソーシャルエ
ンジニアリング手法を通してユーザーに自身が適正なアプリだと信じこませるケースがほとんどです。

今日、Android上でPC向けのマルウェアが模倣されることは珍しくありません。例として挙げられるのは、何年も前からPCを対象に発生しているランサムウェアです。これらの脅威は近年SimplelockerやSvpengの最新形態である
Kohler などの形でAndroidにその矛先を向けています。また、デジタル仮想通貨の発行もこういったソフトウェアの例のひとつです。2014年、Google Play ストア上で公開されているAndroid向けアプリの中でも、マイニングソフトウェ
アを秘密裏に搭載したものが多く発見されました。

3

4
SmsForw、Smsreg、Sms.Fakeinst 、Sms.Thief な
ど、Android向けに作られたSMS関連のマルウェアの数は増え続けています。また、ShastroSms やYzhcsms などの旧型マルウェアが最近またその勢力を増してきています。

2013年末ごろ、Secapkと呼ばれる難読化ツールが広まりました。これはコードの盗難防止など正当な目的にも使用されますが、悪質な内容を隠すために悪用されることもあります。このSecapk を使用したアプリの数は減ることがありません。ウェブルートのモニタリングにおいても、毎週何百ものSecapkで難読化されたアプリが確認されていま
す。

22

まとめ
ウェブルートで取得、分析したデータは、脅威が世界のあらゆる場所で発生していること、そしてこれらの脅威が非常にダイナミックな性質を持つことを示しています。IPアドレスを何度も変更して検出をかいくぐろうとする新種の攻撃に対抗するには、継続的にブラックリストを更新していくことが必要不可欠です。また、フィッシング攻撃もその動きが非常に速いことが特徴です。年間約30%のユーザーがゼロデイフィッシングサイトの被害に遭っているという数値からも、リアルタイムなフィッシング対策がいかに重要かが分かります。
Webroot
BrightCloud
Mobile App Reputation
また、サイトが良性なのか悪性なのかの判断に結論として、企業がサイバー攻撃から身を守るについても一定の傾向がみられました。URL評

は、リアルタイムかつ正確性の高い脅威インテリ

価サービスで取得されたデータによると、URL

ジェンスの導入が重要であるといえます。そうす

カテゴリの評価だけでは個々のサイトの性質をることで脅威を事前に自動検出するポリシーの判断することはできないことが分かります。さ設定が可能になり、ネットワーク、エンドポイン

らに、膨大な数の実行ファイル（全体の15%以

ト、ユーザーを幅広く保護することができます。

上）がマルウェアもしくはPUAと判定されましこれは、企業が自身をターゲットにした攻撃をた。平均すると、各ユーザーが6つの新しくユニ

詳しく分析するのに加え、脅威の全体像をつかークな疑わしいアプリケーションに遭遇していむためにも重要なことといえます。ユーザー側でることになります。これは、システム侵害のためも、訪問するWebサイトやEメールに記載されたのアプリのカスタム化が進み、狙いもピンポイン

URL、使用するアプリケーションやモバイルアプ

トになってきていることを示しています。

リに対して今まで以上に注意を払う必要があるでしょう。

Android向けアプリにおいては、「安全」、または「信頼できる」アプリの数が2013年から（ウェブルート脅威分析チーム）

2014年にかけてほぼ半数に落ちこみ、「疑わしい」、あるいは「悪 意のある」とされるアプ
リの 数は逆に3倍になったことが 分かりました。Androidのユーザーにとっては、今までよりも脅威のリスクが高まったということです。

脅威インテリジェンスの詳細については、以下URLをご覧ください。
www.webroot.co.jp
サイバーセキュリティ ソリューションの詳細については、ウェブルートまでお気軽にお問い合わせください。

23

ウェブルートについて
ウェブルートは保護下にあるエンドポイントをインテリジェンスを構成する重要なデータとして活用し、インターネット上に存在する様々な脅威からユーザーを防御しています。ウェブルートが提供するクラウドベースのインテリジェンスネットワークの保護対象となるユーザーは、コンシューマー、
ビジネスユーザー、セキュリティソリューションを提供するベンダーなど多岐に渡ります。アワードを受賞したSecureAnywhere®とBrightCloud®ソリューションでは、コンピューター、タブレット、スマートフォンなどの様々な種類のデバイスが保護され、その台数は3000万台以上におよびます。また、セキュリティインテリジェンスを活用したサービスはCisco、F5ネットワークス、HP、Microsoft、パロアルトネットワークス、RSAセキュリティなどの名高いセキュリティ企業が提供するサービスの強化に貢献しています。本社はコロラド州にあり、北アメリカ、ヨーロッパ、日本、アジアパ
シフィックなどの幅広い地域に展開しています。サービスの詳細は以下URLをご覧ください。 URL：www,webroot.co.jp

ウェブルート株式会社

東京都港区南青山3-13-18 313南青山8F
03-4588-6500© 2015 Webroot Inc. All rights reserved. Webroot, Webroot BrightCloudおよびBrightCloudは Webroot Inc. の米国およびその他の国における商標、または登録商標です。その他の会社名、商品名は各社の商標、または登録商標です。