Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

上位版「Emdivi」登場 - マルウェアによる不正通信は1カ月で3倍以上に

6月に入り、日本年金機構をはじめ、国内組織のマルウェア感染被害が次々と明らかになったが、7月に入りさらに感染が拡大している。ウェブサイト経由の感染が原因と見られ、マルウェアによる不正通信の発信元となったIPアドレスは、1カ月で1000件の大台を突破したという。

20150820_ks_001.jpg
C&Cサーバへ通信を試みたIPアドレスの件数推移(グラフ:カスペルスキー)

カスペルスキーが、攻撃キャンペーン「Blue Termite」の観測状況を明らかにしたもの。「Blue Termite」は、国内組織を対象としたAPT攻撃。海外に設置されることが多いコマンド&コントロール(C&C)サーバが国内に設置されている点などからも、国内組織に対象を絞った攻撃だと見られている。

同社によれば、その後も「Blue Termite」の活動は鈍るどころか、ますます活発な動きを見せているという。そのひとつが感染経路の拡大。従来はメールにより感染を広げていたが、ウェブサイトの改ざんによるドライブバイダウンロード攻撃の展開を開始したという。

イタリアのセキュリティベンダーであるHacking Teamから脆弱性情報が漏洩。7月以降は、改ざんされた複数の国内正規サイトがドライブバイダウンロード攻撃の踏み台となった。なかでも「Adobe Flash Player」の脆弱性「CVE-2015-5119」が悪用されたDBD攻撃の一部は、「Blue Termite」の一環だったと見られている。

同社は、同攻撃と従来攻撃の関連性を示す証拠のひとつとして、DBD攻撃でダウンロードされるファイルに「Emdivi」の亜種である「Emdivi t17」が含まれていた点を指摘。

同社ではこれまで、「Emdivi」が「Blue Termite」以外の攻撃キャンペーンに利用されたケースを確認していないとし、さらに従来の攻撃で利用されたC&Cサーバが、今回も利用されていたことを理由に挙げている。

(Security NEXT - 2015/08/24 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

約7割が標的型攻撃への訓練実施 - 管理者3割「開封が評価に影響」
「Oracle WebLogic」に脆弱性、攻撃が発生中 - 早急に更新を
複数の日系自動車関連企業にサイバー攻撃 - ベトナムのグループ関与か
2018年はランサム活動が縮小 - RaaSの「GandCrab」に活発な動き
プラント関係者狙う執拗な攻撃が継続中 - 一定知識で自然な文面
ゼロデイ攻撃への悪用目立つ「権限昇格の脆弱性」
2019年1Qはインシデントが増加 - 「スキャン」「マルウェアサイト」など
GWに備えて対策を - 脆弱性や改元対応、BECへの警戒も
2割強の企業が過去1年間にPCやスマホ紛失を経験
ASUSの更新機能が侵害、マルウェア拡散 - MACアドレスで標的絞りさらなる攻撃