チェック・ポイント・リサーチ、2023年11月に最も活発だったマルウェアを発表　国内首位にグローバルランキング首位のFormbookが浮上

悪意あるHTMLファイルを用いてステルス性のマルウェアを拡散する新たなAsyncRATキャンペーンを確認、また、トップ10リストから姿を消していたFakeUpdatesがグローバル2位に急浮上

包括的なサイバーセキュリティソリューションプロバイダーであるチェック・ポイント・ソフトウェアテクノロジーズ（Check Point® Software Technologies Ltd. < https://www.checkpoint.com/ > 、NASDAQ：CHKP、以下チェック・ポイント）の脅威インテリジェンス部門であるチェック・ポイント・リサーチ（Check Point Research、以下CPR）は、2023年11月の最新版Global Threat Index（世界脅威インデックス）を発表しました。

11月、CPRはAsyncRATの新たなキャンペーンを発見、悪意あるHTMLファイルが隠されたマルウェアの拡散に用いられました。一方、JavaScriptダウンローダーのFakeUpdatesが2カ月ぶりにトップ10リストに入り、2位に躍り出ました。国内ランキングでは10月にはトップ10圏外だったFormbookが順位を上げ、グローバルと並んで首位となりました。世界的に最も攻撃を受けた業界は、10月に引き続き「教育・研究」分野となっています。

AsyncRATはリモートアクセス型トロイの木馬（RAT）で、検知されることなくコンピューターシステムを遠隔で監視・制御できる能力で知られています。11月のトップ10リストで6位にランクインしたこのマルウェアは、PowerShellやBATといった様々なファイル形式を利用してプロセスインジェクションを実行します。発見された11月のキャンペーンでは、リンクを埋め込まれた電子メールが受信者に送られました。このリンクをクリックすると、それがトリガーとなり、悪意あるHTMLファイルがダウンロードされます。続いてこのマルウェアは、検知回避のため、信頼できるアプリケーションであるようにカモフラージュするための一連の動作を即座に開始します。

一方、ダウンローダーのFakeUpdatesは2カ月ぶりにトップマルウェアリストに登場しました。FakeUpdatesはJavaScriptで書かれたマルウェアの配布フレームワークであり、ユーザーを騙して偽のブラウザアップデートを実行させるために、すでに侵害されたウェブサイトを展開します。このマルウェアは、GootLoader、Dridex、NetSupport、DoppelPaymer、AZORultを含む他の多くのマルウェアを通じて、さらなる侵害を引き起こします。

チェック・ポイントのリサーチ担当VPであるマヤ・ホロウィッツ（Maya Horowitz）は次のように述べています。
「11月に確認されたサイバー脅威では、脅威アクターが一見無害に見える手法を利用してネットワークに侵入する方法が示されています。AsyncRATキャンペーンの台頭、そしてFakeUpdatesの復活は、攻撃者が従来の防御を回避するために単純さで人を欺く方法を用いる傾向を浮き彫りにしています。このことは、組織にとって、既知の脅威に対する認識に頼るだけでなく、新たな攻撃ベクトルが被害をもたらす前にそれらを特定し、未然に防ぎ、対処する能力を備えた重層的なセキュリティアプローチを採用する必要があることを強調しています」

また、CPRによると、11月に最も悪用された脆弱性は「HTTPへのコマンドインジェクション」で、全世界の組織の45%に影響を及ぼしました。2位は「Webサーバーへの悪意あるURLによるディレクトリトラバーサル」で世界的な影響は42%、3位は「Zyxel ZyWALLへのコマンドインジェクション（CVE-2023-28771）」で、世界的な影響は41%でした。

国内で活発な上位のマルウェアファミリー

*矢印は、前月と比較した順位の変動を示しています。

 国内では10月にランキング圏外だったFormbookが国内組織の2.43%に影響を与え、グローバルランキングとともに国内でも首位へと浮上しました。2位には前月3位のAgentTeslaが影響値1.46%で順位を上げ、3位には前月首位だったRemcosと、前月から引き続きSnatchが、ともに影響値0.97%で並ぶ結果となりました。

1.    ↑ Formbook（2.43%） – FormBookはWindows OSを標的とするインフォスティーラーです。2016年に初めて検知されたこのマルウェアは、強力な回避技術と比較的安価な価格から、ハッキングフォーラムでは「Malware-as-a-Service（MaaS）」として販売されています。FormBookは様々なWebブラウザから認証情報を集積し、スクリーンショットを収集し、キーストロークを監視・記録します。また、C＆C（コマンド＆コントロール）サーバーの命令に従ってファイルをダウンロードして実行します。

2.    ↑ AgentTesla（1.46%）  – Agent Teslaはキーロガーとインフォスティーラーとしての機能を有する高度なRATで、被害者のキーボード入力やシステムキーボードの監視とデータ収集、スクリーンショットの撮影、また被害者のマシンにインストールされている様々なソフトウェア（Google Chrome、Mozilla Firefox、Microsoft Outlookなど）を通じて認証情報を抽出します。

3.    ↓ Remcos（0.97%） – Remcosは2016年に初めて活動が確認されたRATで、スパムメールに添付された悪意あるMicrosoft Office ドキュメントを通じて拡散されます。Microsoft WindowsのUACセキュリティを回避し、高レベルの特権でマルウェアを実行するよう設計されています。

3.    ↔ Snatch（0.97%）  - Snatchは2018年に初めて活動が確認されたRaaS (サービスとしてのランサムウェア)グループおよびマルウェアで、脅迫を目的とした被害者のデータの窃取と暗号化を行い、二重脅迫戦術を駆使します。

グローバルで活発な上位のマルウェアファミリー

*矢印は、前月と比較した順位の変動を示しています。

 

11月に最も流行したマルウェアはFormbookで、全世界の組織の3%に影響を与えました。2位はFakeUpdatesで世界的な影響は2%、3位はRemcosで世界的な影響は1%でした。

1.    ↔ Formbook – FormBookはWindows OSを標的とするインフォスティーラーです。2016年に初めて検知されたこのマルウェアは、強力な回避技術と比較的安価な価格から、ハッキングフォーラムでは「Malware-as-a-Service（MaaS）」として販売されています。FormBookは様々なWebブラウザから認証情報を集積し、スクリーンショットを収集し、キーストロークを監視・記録します。また、C＆C（コマンド＆コントロール）サーバーの命令に従ってファイルをダウンロードして実行します。

2.    ↑ FakeUpdates – FakeUpdates、別名SocGholishは、JavaScriptで書かれたダウンローダーです。FakeUpdatesはペイロードが実行される前に、ディスクにペイロードを書き込み、GootLoader、Dridex、NetSupport、DoppelPaymer、AZORultなど、他の多くのマルウェアによるさらなる侵害を引き起こします。

3.    ↔ Remcos – Remcosは2016年に初めて活動が確認されたRATで、スパムメールに添付された悪意あるMicrosoft Office ドキュメントを通じて拡散されます。Microsoft WindowsのUACセキュリティを回避し、高レベルの特権でマルウェアを実行するよう設計されています。

世界的に最も攻撃されている業種、業界

11月、世界的に最も攻撃されている分野は前月に引き続き「教育・研究」で、2位は「通信」、3位は「政府・軍関係」でした。

1.    教育・研究

2.    通信

3.    政府・軍関係

悪用された脆弱性のトップ

11月、最も多く悪用された脆弱性は「HTTPへのコマンドインジェクション」で、全世界の組織の45%に影響を及ぼしました。2位は「Webサーバーへの悪意あるURLによるディレクトリトラバーサル」で世界的な影響力は42%、3位は「Zyxel ZyWALLへのコマンドインジェクション（CVE-2023-28771）」で世界的な影響は41%でした。

1.    ↑ HTTPへのコマンドインジェクション（CVE-2021-43936、CVE-2022-24086）– HTTPへのコマンドインジェクションの脆弱性が報告されています。リモートの攻撃者は、特別に作成した不正リクエストを被害者に送信することでこの脆弱性を悪用します。これに成功すると、攻撃者は標的のマシン上で任意のコードを実行できるようになります。

2.    ↑ Webサーバーへの悪意あるURLによるディレクトリトラバーサル（CVE-2010-4598、CVE-2011-2474、CVE-2014-0130、CVE-2014-0780、CVE-2015-0666、CVE-2015-4068、CVE-2015-7254、CVE-2016-4523、CVE-2016-8530、CVE-2017-11512、CVE-2018-3948、CVE-2018-3949、CVE-2019-18952、CVE-2020-5410、CVE-2020-8260） - 複数のWebサーバー上に、ディレクトリトラバーサル攻撃に利用される脆弱性が存在しています。この脆弱性は、Webサーバー上において、ディレクトリトラバーサル攻撃のパターンを示すURIを適切に削除していないことによる入力バリデーションのエラーによるものです。この脆弱性が悪用されると、認証されていないリモートの攻撃者による、脆弱性のあるサーバー上の任意のファイルへのアクセスや、情報の漏えいが可能になります。

3.    ↓ Zyxel ZyWALLへのコマンドインジェクション（CVE-2023-28771） - Zyxel ZyWALLにコマンドインジェクションの脆弱性が発見されました。この脆弱性が悪用されると、リモートの攻撃者は影響を受けたシステム上で任意のOSコマンドを実行できるようになります。

モバイルマルウェアのトップ

11月も引き続きAnubisが最も流行したモバイルマルウェアとなりました。2位はAhMyth、3位にはSpinOkが続いています。

1.    Anubis – AnubisはAndroidデバイスを標的として設計されたバンキング型トロイの木馬です。最初に検出されて以来、リモートアクセス型トロイの木馬（RAT）としての機能、キーロガーや音声録音、ランサムウェアが持つ様々な機能など、多くの機能が追加されています。AnubisはGoogleストア上で公開されている数百種類のアプリから検出されています。

2.    AhMyth - AhMythは、2017年に発見されたリモートアクセス型トロイの木馬（RAT）です。アプリストアや各種ウェブサイト上で公開されているAndroidアプリによって配布されています。ユーザーがこのマルウェアに感染したアプリをインストールすると、マルウェアはデバイス上で機密情報を収集し、キーログやスクリーンショットの撮影、SMSメッセージの送信、カメラの起動など、機密情報を盗み出すためのアクションを行います。

3.    SpinOk - SpinOkは、スパイウェアとして機能するAndroidソフトウェアモジュールです。デバイス上に保存されたファイルの情報を収集し、悪意ある脅威アクターに転送する機能を有します。この悪質なモジュールは100以上のAndroidアプリ内に存在することが確認され、2023年5月までに4億2,100万回以上ダウンロードされたことが分かっています。

チェック・ポイントのGlobal Threat Impact Index とThreatCloud Mapは、チェック・ポイントの ThreatCloudインテリジェンス < https://www.checkpoint.com/jp/solutions/threat-intelligence-research/ > によって実現されています。ThreatCloudは、ネットワーク、エンドポイント、モバイルを網羅する世界中の数億個のセンサーから得られるリアルタイムの脅威インテリジェンスを提供します。このインテリジェンスは、AIベースのエンジンと、チェック・ポイント・ソフトウェア・テクノロジーズのインテリジェンス・リサーチ部門であるチェック・ポイント・リサーチによる独自のリサーチデータによって強化されています。

11月のマルウェアファミリー上位10件のリストの完全版は、チェック・ポイントのブログ < https://blog.checkpoint.com/research/november-2023s-most-wanted-malware-new-asyncrat-campaign-discovered-while-fakeupdates-re-entered-the-top-ten-after-brief-hiatus/ > でご覧いただけます。

Check Point Researchについて
Check Point Researchは、チェック・ポイントのお客様、脅威情報コミュニティを対象に最新のサイバー脅威インテリジェンスの情報を提供しています。チェック・ポイントの脅威インテリジェンスであるThreatCloud に保存されている世界中のサイバー攻撃に関するデータの収集・分析を行い、ハッカーを抑止しながら、自社製品に搭載される保護機能の有効性について開発に携わっています。100人以上のアナリストや研究者がチームに所属し、セキュリティ ベンダー、捜査当局、各CERT組織と協力しながら、サイバーセキュリティ対策に取り組んでいます。
ブログ: https://research.checkpoint.com/
X（旧Twitter）: https://twitter.com/_cpresearch_

チェック・ポイントについて

チェック・ポイント・ソフトウェア・テクノロジーズ（https://www.checkpoint.com/）は、世界各国の政府機関や企業など、あらゆる組織に対応するサイバーセキュリティソリューションを提供するリーディングカンパニーです。Check Point Infinityの各ソリューションはマルウェアやランサムウェアを含むあらゆる脅威に対して業界トップクラスの捕捉率を誇り、第5世代のサイバー攻撃から企業や公共団体を守ります。Infinityは、企業環境に妥協のないセキュリティを提供し脅威防御を実現する4つの柱で構成されています。リモートユーザー向けのCheck Point Harmony、クラウドを自動的に保護するCheck Point CloudGuard、ネットワーク境界を保護するCheck Point Quantum、そして防止優先のセキュリティオペレーションスイート、Check Point Horizonです。チェック・ポイントは10万を超えるあらゆる規模の組織を守っています。チェック・ポイント・ソフトウェア・テクノロジーズの全額出資日本法人、チェック・ポイント・ソフトウェア・テクノロジーズ株式会社（https://www.checkpoint.com/jp/）は、1997年10月1日設立、東京都港区に拠点を置いています。

 

ソーシャルメディア アカウント 
・Check Point Blog: https://blog.checkpoint.com 
・Check Point Research Blog: https://research.checkpoint.com/ 
・YouTube: https://youtube.com/user/CPGlobal 
・LinkedIn: https://www.linkedin.com/company/check-point-software-technologies/ 
・X（旧Twitter）:https://twitter.com/checkpointjapan 
・Facebook: https://www.facebook.com/checkpointjapan 

 

本件に関する報道関係者からのお問い合わせ

チェック・ポイント広報事務局 （合同会社NEXT PR内）

Tel: [phone]　Fax: [phone]

E-mail: [e-mail]