マルウェア配信担う自己拡大型トロイの木馬に警戒 - 復旧に1億円超えも

従来のバンキングトロジャンから、ダウンローダーにシフトした背景について、Symantecは「Emotet」を利用する攻撃グループ「Mealybug」が、他グループに感染インフラを提供するビジネスに移行したものと分析。検出回避やマルウェアが自己拡散するためのモジュールなどもあわせて提供していると見られている。

その理由として「Emotet」を通じて感染を拡大した「Qakbot」のケースを挙げ、両マルウェアでは同じパッカーが利用される一方、コマンド＆コントロールサーバなど、攻撃後に用いるインフラに共通点が見られなかったと同社は指摘。

メインコンポーネントに使用されたコードやデバッグを無効化する手法も異なり、機能の重複で感染を互いに阻害する面も見られたことから、「Mealybug」では、配信インフラを「Qakbot」を利用するグループに提供したものと判断している。

同グループが収益モデルを変えた理由について、オンラインバンキングで多要素認証の利用が進み、バンキングトロジャンのみで収益をあげることが難しくなりつつあるのではないかと推測。攻撃者におけるビジネスモデルの「進化」や「純化」のひとつと見ている。

（Security NEXT - 2018/07/31 ）ツイート

マルウェア配信担う自己拡大型トロイの木馬に警戒 - 復旧に1億円超えも

関連リンク

PR

関連記事