2022年12月に国内で最も活発だったマルウェアはFormbook

グローバルではQbotがEmotetを抜いて首位、Glupteba が2022年7月以来のランクインで8位となったほか、Android向けマルウェアのHiddadが復活。「教育・研究」業界への攻撃集中は止まらず。

包括的なサイバーセキュリティソリューションプロバイダーであるチェック・ポイント・ソフトウェア・テクノロジーズ（以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（以下CPR）は、2022年12月の最新版Global Threat Index（世界脅威インデックス）を発表した。

Formbookが日本のランキング首位で他を引き離す

2022年12月、日本のランキング首位は国内組織の25%に影響を与えたFormbookとなり、国内組織の6％に影響を与え2位となったQbot以下を大きく引き離した。Formbookは情報収集と個人情報の窃取を目的としたマルウェア。Qbotは銀行口座の認証情報やキーストロークを盗む巧妙なトロイの木馬型マルウェアであり、グローバルランキングでは世界の組織の7%に影響を及ぼし、前月に復活を見せたEmotetを抜いて首位となっている。また、ブロックチェーン対応のトロイの木馬型ボットネットGluptebaが2022年7月以来初めてトップ10に入り、8位となっている。Android向けマルウェアのHiddadが復活したほか、「教育・研究」分野は依然、世界的に最もサイバー攻撃を受けた業界となっている。

復活したGlupteba、Hiddad

2021年12月、Google社がGluptebaに対する大規模な無力化措置を講じた。しかしながら、Gluptebaは再起を果たしたと見られる。変異型のモジュール型マルウェアであるGluptebaは、感染先のコンピューターで多様な目的の達成が可能。このボットネットは、多くの場合他のマルウェアのダウンローダーやドロッパーとして使用される。すなわち、Gluptebaへの感染は、ランサムウェアへの感染やデータ漏えいを始めとするセキュリティインシデントをもたらす可能性がある。また、Gluptebaは感染したコンピューターからユーザー認証情報とセッションCookieを窃取するよう設計されている。認証データはユーザーのオンラインアカウントやその他のシステムへのアクセスに用いられる可能性があり、攻撃者がこうした侵害されたアカウントを用い機密データの窃取やその他の行為に及ぶことを可能にする。さらに、このマルウェアはターゲットに暗号資産の採掘機能を展開するため用いられることが多く、マイニングのブロック生成にコンピューターのリソースを使い、枯渇させる。

また12月には、Hiddadがモバイルマルウェアのトップ3に2022年内で初めて入った。HiddadはAndroid端末を標的とする広告配信マルウェア。正規のアプリケーションをリパッケージし、サードパーティーのアプリストアで公開している。主な機能は広告の表示だが、OSに組み込まれた重要なセキュリティ情報へのアクセスも可能。

チェック・ポイントのリサーチ担当VPであるマヤ・ホロウィッツ（Maya Horowitz） は次のように述べている。
「CPRの最新リサーチから顕著な特徴として見えてくるのは、疑いを抱かせずにハッカーによるデバイスへの不正アクセスを可能にするため、マルウェアが正規のソフトウェアを装う頻度の高さです。だからこそ、ソフトウェアやアプリケーションのダウンロードやリンクをクリックする際には、それが一見どれほど真正であるように見えても、十分な注意義務を怠らないことが重要です」。

また、CPRによると12月に最も悪用された脆弱性は「Webサーバ公開型Gitリポジトリの情報漏えい」で、世界的な組織の46%に影響を与えました。続く2位は44%に影響を与えた「Webサーバへの悪意あるURLによるディレクトリトラバーサル」、３位は43%に影響を与えた「HTTPへのコマンドインジェクション」としている。

国内で活発な上位のマルウェアファミリー

*矢印は、前月と比較した順位の変動、（ ）内の数字は国内企業への影響値を示している。

日本のランキングはFormbookが2位以下を引き離し、国内組織の25％に影響を与え首位となった。Formbookは2022年10月には国内3位、11月に国内2位と徐々に順位を上げており、12月には前月の影響値3%から飛躍的な増加を伴う結果となっている。グローバル首位のQbotは前月と同じ国内2位にとどまったが、影響値は前月から倍加している。3位は前月国内首位のEmotetが順位を下げる結果となった。

1. ↑ FormBook (25.08%) – FormBookはWindows OSを標的とするインフォスティーラー。2016年に初めて検知されたこのマルウェアは、強力な回避技術と比較的安価な価格から、ハッキングフォーラムでは「Malware-as-a-Service（MaaS）」として販売されている。FormBookは様々なWebブラウザから認証情報を集積し、スクリーンショットを収集し、キーストロークを監視・記録する。また、C＆C（コマンド＆コントロール）サーバーの命令に従ってファイルをダウンロードして実行する。 2. ↔ Qbot (6.12%) – Qbot、別名Qakbotは、2008年に初めて発見されたバンキング型トロイの木馬で、銀行の認証情報とキーストロークを盗み出すよう設計されている。スパムメールを通じて拡散されることが多く、アンチVM（仮想マシン）、アンチデバッグ、アンチサンドボックスなど複数の手法を用いて解析を妨げ、検知を回避する。 3. ↓ Emotet (2.14%) – Emotetは自己増殖する非常に高度なモジュール型トロイの木馬。かつてはバンキング型トロイの木馬として使用されていたが、最近では他のマルウェアの拡散や悪質なキャンペーンにも使われている。Emotetは持続性を維持する様々な手段と、検知を免れるための回避技術を搭載しており、悪意ある添付ファイルやリンクを含むフィッシングメールを介して拡散されている。

グローバルで活発な上位マルウェアファミリー

*矢印は、前月と比較した順位の変動を示している。

12月はEmotetを抜いてQbotが最も流行したマルウェアとなり、全世界の組織の7%に影響を与えた。Emotetは4%に影響を与え2位、XMRigは3%に影響を与え3位という結果。

1. ↑ Qbot – Qbot、別名Qakbotは、2008年に初めて発見されたバンキング型トロイの木馬で、銀行の認証情報とキーストロークを盗み出すよう設計されている。スパムメールを通じて拡散されることが多く、アンチVM（仮想マシン）、アンチデバッグ、アンチサンドボックスなど複数の手法を用いて解析を妨げ、検知を回避する。 2. ↔ Emotet – Emotetは自己増殖する非常に高度なモジュール型トロイの木馬。かつてはバンキング型トロイの木馬として使用されていたが、最近では他のマルウェアの拡散や悪質なキャンペーンにも使われている。Emotetは持続性を維持する様々な手段と、検知を免れるための回避技術を搭載しており、悪意ある添付ファイルやリンクを含むフィッシングメールを介して拡散されている。 3. ↑ XMRig – XMRigは、仮想通貨Moneroのマイニングに使用されるオープンソースのCPUマイニングソフトウェア。脅威アクターは多くの場合、このオープンソースソフトウェアをマルウェアに組み込み、被害者のデバイス上で違法なマイニングを行う形で悪用する。

世界的に最も攻撃されている業種、業界

引き続き「教育・研究」分野が世界的に最も攻撃されている業界の首位。2位は「政府・軍関係」、3位は「保健医療」。

悪用された脆弱性のトップ

12月、最も悪用された脆弱性は「Webサーバ公開型Gitリポジトリの情報漏えい」で、全世界の組織の46%に影響を与えた。続く２位は44％に影響を与えた「Webサーバへの悪意あるURLによるディレクトリトラバーサル」、3位は43％に影響を与えた「HTTPへのコマンドインジェクション」。

1. ↑ Webサーバ公開型Git リポジトリの情報漏えい – Gitのリポジトリには、情報漏えいの脆弱性が報告されている。この脆弱性を悪用されると、アカウントの情報が意図せず漏えいする可能性がある。 2. ↓ Webサーバへの悪意あるURLによるディレクトリトラバーサル（CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、 CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260）– 複数のWebサーバー上に、ディレクトリトラバーサル攻撃に利用される脆弱性が存在している。この脆弱性は、Webサーバー上において、ディレクトリトラバーサル攻撃のパターンを示すURIを適切に削除していないことによる入力バリデーションのエラーによるもの。この脆弱性の悪用に成功すると、認証されていないリモートの攻撃者による、脆弱性のあるサーバー上の任意のファイルへのアクセスや、情報の漏えいが可能となる。 3. ↑ HTTPへのコマンドインジェクション（CVE-2021-43936、CVE-2022-24086）– HTTPへのコマンドインジェクションの脆弱性が報告されている。リモートの攻撃者は、特別に作成した不正リクエストを被害者に送信することでこの脆弱性を悪用する。これに成功すると、攻撃者は標的のマシン上で任意のコードを実行できるようになる。

モバイルマルウェアのトップ

12月も引き続き、Anubisが最も流行したモバイルマルウェアの首位にとどまった。2位にはHiddadが浮上し、3位はAlienBot。

1. Anubis – AnubisはAndroidデバイスを標的として設計されたバンキング型トロイの木馬。最初に検出されて以来、リモートアクセス型トロイの木馬（RAT）としての機能、キーロガーや音声録音、ランサムウェアが持つ様々な機能など、多くの機能が追加されている。AnubisはGoogleストア上で公開されている数百種類のアプリから検出されている。 2. Hiddad – HiddadはAndroid端末向けのマルウェアで、正規のアプリケーションをリパッケージし、サードパーティーのアプリストア上で公開している。主な機能は広告の表示ですが、OSに組み込まれた重要なセキュリティデータへのアクセスも可能。 3. AlienBot – AlienBotはAndroidデバイス向けのバンキング型トロイの木馬。サービスとしてのマルウェア（MaaS）としてアンダーグラウンドで販売されており、キーログ、認証情報を盗むためのダイナミックオーバーレイ、2FA（２段階認証）バイパスのためのSMS情報の窃取などの機能をサポートしている。また、TeamViewerモジュールを使用することで、遠隔コントロールの機能を追加することができる。

12月のマルウェアファミリー上位10件のリストの完全版は、チェック・ポイントのブログ で確認ができる。

出典：PRTIMES　チェック・ポイント、2022年12月に最も活発だったマルウェアを発表　日本国内ではFormbookが首位、25%の組織に影響を与え2位以下を引き離す