Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

上位版「Emdivi」登場 - マルウェアによる不正通信は1カ月で3倍以上に

6月に入り、日本年金機構をはじめ、国内組織のマルウェア感染被害が次々と明らかになったが、7月に入りさらに感染が拡大している。ウェブサイト経由の感染が原因と見られ、マルウェアによる不正通信の発信元となったIPアドレスは、1カ月で1000件の大台を突破したという。

20150820_ks_001.jpg
C&Cサーバへ通信を試みたIPアドレスの件数推移(グラフ:カスペルスキー)

カスペルスキーが、攻撃キャンペーン「Blue Termite」の観測状況を明らかにしたもの。「Blue Termite」は、国内組織を対象としたAPT攻撃。海外に設置されることが多いコマンド&コントロール(C&C)サーバが国内に設置されている点などからも、国内組織に対象を絞った攻撃だと見られている。

同社によれば、その後も「Blue Termite」の活動は鈍るどころか、ますます活発な動きを見せているという。そのひとつが感染経路の拡大。従来はメールにより感染を広げていたが、ウェブサイトの改ざんによるドライブバイダウンロード攻撃の展開を開始したという。

イタリアのセキュリティベンダーであるHacking Teamから脆弱性情報が漏洩。7月以降は、改ざんされた複数の国内正規サイトがドライブバイダウンロード攻撃の踏み台となった。なかでも「Adobe Flash Player」の脆弱性「CVE-2015-5119」が悪用されたDBD攻撃の一部は、「Blue Termite」の一環だったと見られている。

同社は、同攻撃と従来攻撃の関連性を示す証拠のひとつとして、DBD攻撃でダウンロードされるファイルに「Emdivi」の亜種である「Emdivi t17」が含まれていた点を指摘。

同社ではこれまで、「Emdivi」が「Blue Termite」以外の攻撃キャンペーンに利用されたケースを確認していないとし、さらに従来の攻撃で利用されたC&Cサーバが、今回も利用されていたことを理由に挙げている。

(Security NEXT - 2015/08/24 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

標的型攻撃対策市場の市場規模は120億円 - 前年比42.6%増
標的型攻撃メール訓練をセルフサービスで提供 - KDL
エネルギー産業狙う攻撃グループ、年頭より攻撃活発化 - 制御システムへのアクセス狙う
既知のOffice脆弱性「CVE-2017-0199」を狙う攻撃が増加
日本シーサート協議会の初イベント、新旧の交流の場に - テーマは「絆」
MIND、一連の攻撃シナリオから検知する対策サービス
実在組織名用いたメール攻撃訓練でトラブルのおそれも - IPAが注意喚起
巧妙化する標的型攻撃、複数マルウェアの同時感染で攻撃を冗長化
JPCERT/CC、「Mirai」被害低減や標的型攻撃情報共有などに貢献した専門家やCSIRTに感謝状
政府、組織向けに標的型攻撃対策の解説資料 - 「人、組織対策」と「技術的対策」を解説