【お知らせ】2017年6月のマルウェア検出レポートを公開
～Microsoftの関連ツールを悪用したマルウェアが増加～

キヤノンマーケティングジャパングループのキヤノンITソリューションズ株式会社（本社：東京都品川区、代表取締役社長：神森 晶久、以下キヤノンITS）は、2017年6月のマルウェア検出状況に関するレポートを公開しました。

キヤノンITSのマルウェアラボでは、国内で利用されているウイルス対策ソフト「ESETセキュリティ ソフトウェア シリーズ」のマルウェア検出データを基に、2017年6月のマルウェア検出状況を分析し、以下のウェブサイトにレポートを公開しました。

2017年6月のマルウェア検出状況に関するレポート

2017年6月は、情報搾取やランサムウェア感染を狙う「ダウンローダ」と呼ばれるマルウェアに、Microsoft社関連の開発コードが使用されるケースが増加しました。特に、Microsoft Office製品のマクロ機能「VBA」や、プログラム言語「PowerShell」を使用したマルウェアの増加量が高く、5月に比べ「VBA」が17倍、「PowerShell」が12倍となりました。「PowerShell」はWindows7以降のOSに標準搭載されているツールで、今後も「ダウンローダ」に限らずマルウェアの作成に使用される可能性が高いものとみています。

1位　「JS/Danger.ScriptAttachment」
6月に最も多く検出されたのは、前月2位の「JS/Danger.ScriptAttachment」です。これはJavaScript言語で作られた「ダウンローダ」で、メールに添付されたファイルから検出されています。発症するとランサムウェアや情報搾取型マルウェアをダウンロードし感染を狙います。
1月から4月は減少傾向で推移していましたが、5月14日以降は約2週間の間隔で大量のばらまき型メール攻撃が観測されています。6月だけで30万件以上検出する結果となりました。

日本での「JS/Danger.ScriptAttachment」の直近3カ月間の検出状況（2017年7月4日時点）

※ ESET社「VIRUSRADAR」より集計。点線は線形近似。

2位　「VBA/TrojanDownloader.Agent」
2位の「VBA/TrojanDownloader.Agent」は、主にMicrosoft Office製品のマクロ機能で使用されるVBA（Visual Basic for Application）で作られた「ダウンローダ」です。6月末に特に大規模な攻撃が行われ、検出数は4月と5月の総検出量を上回り、25万件を超えました。

日本での「VBA/TrojanDownloader.Agent」の直近3カ月間の検出状況（2017年7月4日時点）
※ ESET社「VIRUSRADAR」より集計。点線は線形近似。4月と5月は月間総数のみ記載。

この不正プログラムを組み込んだファイルの多くは請求書を装ったものであり、添付メールで送り付けるケースが数多く確認されています。いずれも「コンテンツの有効化」をクリックするよう誘導する内容が書かれていて、クリックすると「ダウンローダ」として機能します。最近ではメール本文も自然な日本語を使っていて、社内の部署を装ったケースなどもあり、偽装メールと判断しにくくなっている傾向があります。

3位　「PDF/TrojanDropper.Agent」
3位は5月に1位だった「PDF/TrojanDropper.Agent」 です。6月6日から8日にかけて多発した「Jaff」ランサムウェア感染の「ドロッパー」として用いられていたことが確認されています。 「ドロッパー」は、それ自体には不正コードが含まれないため入口対策では検出されにくく、システム内部に侵入した後に、何らかのタイミングでマルウェアを投下（＝ドロップ）し、感染を狙います。「Jaff」ランサムウェアは6月だけで1月から5月までの総検出量を大きく上回っています。

日本での「PDF/TrojanDownloader.Agent」ファミリーの検出状況（2017年7月4日時点）
※ ESET社「VIRUSRADAR」より集計

4位　「Suspicious」（不審ファイルの呼称）
ESET製品によって検出されたマルウェアにまだ名称がない場合、その不審ファイルを指す名称が「Suspicious」で、検出量4位となりました。このように、ウイルス定義データベースによる検出ではない、未知のマルウェアと見られるものが多く検出されました。（注：「Suspicious」で検出したものは、その後ウイルス定義データベースの更新によってマルウェア名が付与された形で検出されるケースもあります。）

日本での「Suspicious」の検出状況（2017年7月4日時点）
※ ESET社「VIRUSRADAR」より集計。点線は線形近似。

5位　「PowerShell/TrojanDownloader.Agent」
5位は、PowerShellで作られた「ダウンローダ」の「PowerShell/TrojanDownloader.Agent」でした。
6月に確認されている攻撃では、メールを使ってMicrosoft Word形式ファイルを送り付け、そこに組み込まれたマクロが実行されると、Windowsのコマンドプロンプトが呼び出され、そこからPowerShellを使用してマルウェアのダウンロードと実行が行われていました。
コマンドプロンプトから先の処理は、ファイルから実行されずメモリ上で展開されることもあります。実行形跡が残らないため、原因の特定が遅れることにつながっています。

日本での「PowerShell/TrojanDownloader.Agent」の検出状況（2017年7月4日時点）
※ ESET社「VIRUSRADAR」より集計。

上位に入ったマルウェアは、マルウェアが添付された「ばらまき型メール攻撃」が多くを占めており、そのメール攻撃量もたいへん多い状況が続いています。添付されているファイルは新種もしくは亜種のマルウェアが多く、ファイル形式は、ZIP圧縮形式（実行形式や文書形式ファイルが圧縮されている）、文書形式（PDF、DOC、XLS）などさまざまです。日頃からよく利用されるファイル形式でもありますので、取り扱いに十分注意してください。

キヤノンITSでは、より安全なインターネット活用のためのセキュリティ情報提供を目的として、マルウェアや各種セキュリティに関する情報を提供しています。こちらも合わせてご覧ください。

マルウェア情報局


※ESETは、ESET, spol. s r.o.の商標です。