Netskope（ネットスコープ）の調査研究部門であり、クラウド関連の脅威を中心に独自のリサーチを行うNetskope Threat Labsは、米国時間2024年4月23日、Netskopeプラットフォームで追跡している重大なサイバー脅威について、2024年3月の統計を発表した。
クラウドによるマルウェア配信
攻撃者は、一般的なクラウドアプリを介して悪意あるコンテンツを配信することで、検知を回避しようと試みているという。マルウェアの配信にクラウドアプリを悪用することにより、主にドメインブロックリストや、URLフィルタリングに依存するセキュリティ制御、クラウドトラフィックを検査しないセキュリティ制御の回避が可能に。2024年3月、HTTP/HTTPSマルウェアのダウンロード全体の59％は、一般的なクラウドアプリから配信されたとしている。
ネットスコープがマルウェアのダウンロードを検出したアプリの数は増加し、過去最高の235種類に達したと述べている。
既に多くの企業に普及しているクラウドアプリを悪用することで、攻撃者は企業ユーザーへの攻撃を最大限に成功させているとし、最も普及している企業向けクラウドアプリであるMicrosoft OneDriveは、クラウドを介したマルウェアダウンロード数においてまたもやトップに立ち、6ヵ月以上にわたって首位に立ち続けているという。上位3種のアプリは、過去6ヵ月間に使用されたアプリのリストと比較して、ほぼ変化なし。3月にはSharePointが、マルウェアのダウンロードに多く使用されたアプリのリストで2位に順位を上げたという。
トップ10のリストは、攻撃者の手口、ユーザーの行動、組織のポリシーなどを反映するものとなっているという。
上位のマルウェアファミリー
攻撃者は、セキュリティソリューションの回避、あるいはマルウェア機能の最新化を目的として、継続的に新たなマルウェアファミリーや既存のマルウェアの亜種を作り出しているという。2024年3月、ネットスコープが検出したすべてのマルウェアダウンロードのうち68％が、新たなマルウェアファミリー、または過去6ヵ月に確認されたことのない新たな亜種だったとしている。その他の32％は、過去6ヵ月間に観測されたサンプルと同種のもので、現在も活動が確認されていると述べている。
以下は、2024年3月にネットスコープがブロックしたマルウェアおよびランサムウェアファミリーの上位のリスト。
- バックドア型マルウェア「Zusy」（別名TinyBanker）：Zeusのソースコードをベースとしたバンキング型トロイの木馬で、ウェブサイトへのコードインジェクションによる個人情報の窃取を目的としている
- ダウンローダー「BanLoad」：Javaベースのダウンローダーで、様々なマルウェア、特にバンキング型トロイの木馬などのペイロードを配信するために広く使用されている
- ダウンローダー「Guloader」：小規模なダウンローダーで、AgentTesla、Formbook、Remcosなどをはじめとするリモートアクセス型トロイの木馬（RAT）やインフォスティーラーを配信することで知られている
- インフォスティーラー「AgentTesla」：.NETベースのリモートアクセス型トロイの木馬（RAT）で、ブラウザのパスワード窃取や、キーストロークやクリップボードのキャプチャーなど多くの機能を備えている
- インフォスティーラー「LaZagne」：感染したデバイスからパスワードを盗むハッキングツールとして使用可能なパスワード回復ツール
- フィッシング「PhishingX」：フィッシングキャンペーンで被害者をフィッシングページに誘導するために利用される悪意あるPDFファイル
- ランサムウェア「LockBit 3.0」（別名Black）：ランサムウェアLockBitの最新バージョンで、2019年に出現し、世界で最も多くの攻撃に関連するRaaSグループのひとつとなっている
- トロイの木馬型マルウェア「Grandoreiro」：ラテンアメリカ地域で活動するバンキング型トロイの木馬で、一般にブラジル、メキシコ、スペイン、ペルーの銀行を標的とし、機密性の高い銀行情報の窃取を目的としている
- トロイの木馬型マルウェア「Razy」：一般的に正規のソフトウェアを装う悪質な広告を介して配信され、多くの場合、暗号通貨のデータを盗むために使用される
- トロイの木馬型マルウェア「Valyria」（別名POWERSTATS）：悪意あるVBScriptsが埋め込まれた悪質なMicrosoft Officeドキュメントのファミリーで、通常は別の悪意あるペイロードを配信するために使用される
過去6ヵ月間で攻撃者がより多く用いるようになった攻撃手法は、クラウドアプリを悪用してマルウェアを配信する手口、そしてマルウェアをPDFファイルにパッケージ化する手口だという。Netskope Threat Labsは、これらの攻撃手法からの適切な保護を確実にするために、セキュリティ態勢の見直しを勧めている。
【関連記事】
・Netskope、小売業を狙ったサイバー攻撃・脅威調査のレポートを発表
・日本はマルウェア配布にクラウドアプリが悪用される割合が最多か──Netskope Threat Labs調査
・ネットスコープ、企業のセキュリティ強化を支援する「Netskope One」発表
