Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

次世代セキュリティ製品の検知回避を狙う「Emotet」

約5カ月の沈黙を経てふたたび7月に活動を再開したマルウェア「Emotet」。近年注目されている機械学習ベースのマルウェア対策製品から検知を回避する機能なども備えていた。

大量の亜種により、定義ファイルベースの製品による検出を逃れる手法は、多くのマルウェアで見られるが、7月以降出回っている「Emotet」ではサンドボックスを利用したゲートウェイ製品や、機械学習により作成されたマルウェアの検出エンジンなど、いわゆる「次世代セキュリティ製品」の検知を回避しようとする機能を備えていた。

ゲートウェイによる検出を避ける手段としては、パスワードを用いないとファイルを開けない暗号化した「zipファイル」を悪用している。

メールに記載されたパスワードを用いてzipファイルを復号し、チェックが行える製品も一部存在しているが、OSの標準機能では復号できない「AES 256ビット」の暗号化を用いることで高度な検出についても回避を試みている。

エンドポイントにおける検出回避の手法も巧妙だ。ハッシュ値の異なる大量の亜種にも対応できるよう、機械学習ベースの検出エンジンを搭載したセキュリティ製品も登場しているが、機械学習の手法を逆手に取り、検出を回避する手法が用いられていた。

(Security NEXT - 2020/10/29 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

マルウェア「QakBot」の検知が増加 - 窃取メールを悪用か
IPA、2021年前半の被害届出127件を公開 - ランサムや認証突破など
【特別企画】予算や人材不足の中小企業でもあきらめない! - マルウェア被害の縮小化
2021年1Qの標的型攻撃メール報告は13件 - 「Emotet」関連報告は収束へ
米政府、マルウェア「TrickBot」展開する標的型攻撃で注意喚起
INPIT委託先で「Emotet」感染 - 使用許可取消後のテレワーク端末で
JSAC 2021の「ベストスピーカー賞」が選出 - 講演動画も公開中
ウイルス届け出、前年比73.4%増 - 「Emotet」など被害も
「Emotet」感染後の対応、「駆除」だけでは不十分
政府、ISP経由で国内Emotet感染者に注意喚起