Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

次世代セキュリティ製品の検知回避を狙う「Emotet」

約5カ月の沈黙を経てふたたび7月に活動を再開したマルウェア「Emotet」。近年注目されている機械学習ベースのマルウェア対策製品から検知を回避する機能なども備えていた。

大量の亜種により、定義ファイルベースの製品による検出を逃れる手法は、多くのマルウェアで見られるが、7月以降出回っている「Emotet」ではサンドボックスを利用したゲートウェイ製品や、機械学習により作成されたマルウェアの検出エンジンなど、いわゆる「次世代セキュリティ製品」の検知を回避しようとする機能を備えていた。

ゲートウェイによる検出を避ける手段としては、パスワードを用いないとファイルを開けない暗号化した「zipファイル」を悪用している。

メールに記載されたパスワードを用いてzipファイルを復号し、チェックが行える製品も一部存在しているが、OSの標準機能では復号できない「AES 256ビット」の暗号化を用いることで高度な検出についても回避を試みている。

エンドポイントにおける検出回避の手法も巧妙だ。ハッシュ値の異なる大量の亜種にも対応できるよう、機械学習ベースの検出エンジンを搭載したセキュリティ製品も登場しているが、機械学習の手法を逆手に取り、検出を回避する手法が用いられていた。

(Security NEXT - 2020/10/29 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

政府、ISP経由で国内Emotet感染者に注意喚起
2020年の緊急対応支援、3割強が「Emotet」 - ラック
「Emotet」で10億円以上荒稼ぎか - インフラ維持に5000万円
2020年4Qの標的型攻撃メールは16件 - 目的不明のバラマキ不審メールも
「Emotet」を追い詰めた「Ladybird作戦」 - 攻撃者がバックアップ保有の可能性も
欧米警察が協力、「Emotet」をテイクダウン - 被害チェックサイトも
「Emotet」相談、引き続き高い水準 - 偽脅迫メールは増加
JNSAが選ぶ2020年10大ニュース、気になる1位は……
活動再開「Emotet」、1000社以上で観測 - 発見遅らせる機能強化も
12月21日より「Emotet」感染メール増加 - あらためて警戒を