トレンドマイクロ、「国内標的型サイバー攻撃分析レポート 2018年版」を公開
- 2018/06/27 10:00
- SecurityInsight
トレンドマイクロは6月25日、2017年（1～12月）の国内における標的型サイバー攻撃を分析したレポート「国内標的型サイバー攻撃分析レポート 2018年版：「正規」を隠れ蓑にする攻撃者」を公開した。その概要は以下のとおり。
１．標的型サイバー攻撃の94.0％が隠蔽工作に「正規」ツール・サービスを悪用
正規ツールやサービスを悪用した攻撃の隠蔽が標的型サイバー攻撃の94.0％で見られるなど、2017年は「正規」を隠れ蓑にするサイバー犯罪者の活動が特に顕著だった。
標的組織内の端末を遠隔で制御し続ける上で使われる遠隔操作サーバー（C&Cサーバー）は、83.3％がクラウドサービスやホスティングサービスなどの正規サービス上に設置されていることを確認した。国内の正規Webサイトが改竄された上でC&Cサーバーとして悪用されているケースが確認された2015年と比較しても、2017年はその傾向が大きく異なっていることが分かる。
標的組織内での内部活動においては、不正コードを正規プロセスの一部として実行することで遠隔操作ツールの存在と活動を隠蔽する「DLLインジェクション」や「DLLプリロード」などの手法が使われていた。また、標的組織のネットワーク内部で使用されている認証情報を窃取する上で、オープンソースツールやフリーツールなどが利用されていた。
2．ネットワーク監視対象法人組織の26.0％で標的型サイバー攻撃による侵入を確認
トレンドマイクロが2017年１年間に行った法人顧客のネットワーク監視活動の中では、監視対象法人組織全体の71.0％で、標的型サイバー攻撃の兆候である内部活動の疑いを確認した。特に、標的型サイバー攻撃が実際に行なわれていることを示唆する、遠隔操作ツールによる活動は全体の26.0％で確認された。
また、同社の監視サービスにおいて生成されるアラートは、1組織当たり月平均35万6,514件に上る中で、C＆Cサーバーとの通信や内部活動といった標的型サイバー攻撃の可能性を示唆するアラートは、1組織あたり月平均778件と、アラート全体のわずか0.2％にしか過ぎない。このことから、大量のログやアラートの中から、いかに早期に標的型サイバー攻撃の痕跡を可視化できるかが、被害を防止するために重要といえる。