10月の概況

2021年10月（10月1日～10月31日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
2021年5月の全検出数を100%として比較

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含んでいます。

2021年10月の国内マルウェア検出数は、2021年9月と比較して減少しました。検出されたマルウェアの内訳は以下のとおりです。

*2 本表にはPUAを含めていません。

10月に国内で最も多く検出されたマルウェアは、JS/Adware.Agentでした。
JS/Adware.Agentは、悪意のある広告を表示させるアドウェアの汎用検出名です。Webサイト閲覧時に実行されます。

今月は検出数が減少傾向にありましたが、さまざまなマルウェアによる脅威を引き続き検出しています。
その中でも、今月は情報窃取型マルウェアの1つである「AgentTesla」についてご紹介します。
AgentTeslaは、2014年頃から活動しており、MaaS（Malware-as-a-Service）として配布されています。確認されてから7年経っていますが、依然として検出され続けています。 AgentTeslaは、資格情報やCookie情報などの窃取機能や、キーロガー機能を持っています。ほかにも、画面のスクリーンショットやクリップボードの内容を取得する機能を持っています。 電子メールの添付ファイルが、主な感染経路として確認されています。また、添付ファイルには、さまざまな形式のファイルが使われています。さまざまな形式のファイルを利用する理由として、より効果的にユーザーを騙すために変化し続けてきたことやセキュリティ製品を回避することが考えられます。
実際に感染した例では、ダウンローダーは2つの段階に分かれて動作していました^*3。
1つ目が、悪意のあるコードのダウンロードサイトへ接続し、コードを実行する段階です。2つ目が、AgentTeslaをダウンロード・実行する段階です。また、この段階では、実行環境（サンドボックスや仮想環境かどうか）やデバッガーが実行されているかを確認します。

*3 WeliveSecurity 「Agent Tesla: principales características de este malware」

AgentTeslaのダウンローダーが添付されたメールの一例

ESET製品では、以下のようにファイル形式ごとにAgentTeslaのダウンローダーの検出名が分かれています。

*4 検出名は一例です。これら以外にも、ほかの亜種や汎用検出名などで検出されることがあります。
また、同じ検出名でも、検体によってはダウンロードする検体が異なる場合があります。

AgentTeslaのダウンローダーの検出状況（2021年10月・国内）は、以下のとおりです。

AgentTeslaのダウンローダー（2021年10月・国内）^*5

*5 この統計では、AgentTesla以外のマルウェアをダウンロードするものも検出数とし てカウントされています。Win32/Exploit.CVE-2017-11882は、さまざまなマルウェアのダウンローダーとして使われています。2021年9月には、マルウェアレポートでご紹介したとおり、「FormBook」などもダウンロードします。

10月は添付ファイルとしてrarファイルやexeファイルなどが多く利用されていることが分かります。また、検出名は異なりますが、同じ時期に検出されていることが分かります。この傾向の理由の1つとして、多くのユーザーへの感染を狙ってさまざまなファイル形式で同時期にばらまきメールを送信していることが考えられます。

ご紹介したように、AgentTeslaにはさまざまなダウンローダーが存在しており、感染手法も多岐にわたります。
長年使用されている中で、攻撃主体や標的に合わせて変化していると考えられます。
手法以外にも、攻撃者はAgentTeslaの機能更新を行っており、セキュリティ製品の回避や解析者を妨害するための難読化も使用しています。

このような情報窃取型マルウェアの被害に遭わないためにも、電子メールの添付ファイルを不容易に開かないことが必要です。ほかにもソフトウェアをダウンロードする場合は、信頼できるWebサイトから行ってください。
情報窃取型マルウェアは自身で感染に気付くことが難しいので、XDRやEDR製品などのセキュリティ製品を導入して正しく運用することが重要です。