Bromiumブログ

米国を拠点とする12以上のウェブサーバで10種類のマルウェアがホストされ、大規模なフィッシング作戦の中での拡散に使用されています。 ● 異なる攻撃実行者の存在を想起する証拠があります。つまり、メールやマルウェアのホスティングを担当する行為者と、そのマルウェアを操作する行為者です。 ● サーバは、Necursボットネットの、マルウェアをホストするインフラストラクチャの一部であることを示しています。

欧米の金融サービスや政府機関、基幹インフラを狙ったスパイ作戦、Operation Sharpshooterがソーシャルエンジニアリングで企業組織内に侵入しています。 ●ソーシャルエンジニアリングは、技術的な方法以外の、人の心理的な隙や行動のミスにつけ込む手口で、背景には、FOMO（fear of missing out、「見逃してしまうこと」や「取り残されるかもしれない」ことへの恐れ）があります。 ● 単純でありふれた攻撃手口であっても人の性質上、避けきれるものではありません。

Bromiumで最近捕獲したマルウェアを解析した結果、実行地域を具体的に日本と韓国に絞っている事が明確に判明しました。

マクロを悪用した手口は古く多数の対策も施されていますが、攻撃する側もセキュリティ機構の隙をつく新たな手口を次々と編み出します。 ユーザのセキュリティ意識や成熟度に依存しない手口は特に脅威です。 ファイルを開かなくてもマクロを開始させる手口を実在する検体をもとに解説します。

●インターネットの進化につれ、Webページは強力でインタラクティブな機能を新たに使いはじめています。 ● これらの機能の脆弱性を悪用することで、攻撃者が遠隔であなたのPCでマルウェアを実行する可能性があります。 ●Bromiumは、こうした攻撃から保護するために設計された、ハードウェア的な隔離技術を採用しています。

●侵害がより頻繁に、より一般的に、そしてより劇的に発生すると思われます ●セキュリティ業界が従来の攻撃手法を排除する方法を見いだす分、新たな攻撃手法が出現するでしょう ●人工知能（AI）と機械学習（ML）は、攻撃者と防御者の両方の掛け金を増やすでしょう ●防御側の「ゼロトラスト」と「PEBKAC対策」の加速が促進されます

Bromiumのお客様は、86％の割合でマルウェアを隔離されたマイクロVMで実行させ続けることを積極的に選択しています ● この、一般的な直観とは真逆にみえるアプローチが、仮想化ベースのセキュリティにしかできない脅威インテリジェンスの最大化に繋がります ● 従来のソリューションは、侵害の影響を最小限に抑えるために発見次第即座にマルウェアを終了しようとしますが、得てして遅すぎなのと、そこから習得できることを犠牲にすることがよくあります

●Microsoft Office文書や、OSに標準で実装されているPowerShellだけで成り立つ攻撃手法は、マルウェアとして検知することが大変困難です。 ●今回は、こうした種類の実際のマルウェアの一つを実例に、解析手順をご説明しながら、その中にみられる作成者の手法を具体例としてご紹介します。