9月の概況

2022年9月（9月1日～9月30日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
(2022年4月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2022年9月の国内マルウェア検出数は、2022年8月と比較して増加しました。検出されたマルウェアの内訳は以下のとおりです。

*2 本表にはPUAを含めていません。

9月に国内で最も多く検出されたマルウェアは、JS/Packed.Agentでした。
JS/Packed.Agentは、パッカーと呼ばれる圧縮ツールを使い、自己解凍形式で圧縮したJavaScriptのマルウェアです。ファイルが圧縮されると符号化により元のデータから変化します。このようにデータを容易に難読化することができるため、パッカーはシグネチャーを基にマルウェアを判定するセキュリティ製品の検出から回避させたり、解析しにくくさせたりする目的で、マルウェアに悪用されることがあります。

国内マルウェア検出数上位以外の特徴として、9月は国内の教育機関を騙るマルスパムが確認されました。このマルスパムは大学からのプロジェクト依頼という名目で添付ファイルを確認させ、マルウェアへの感染を狙ったものです。メール本文には実在する大学のロゴ画像や所在地などの情報、大学に所属していると思われる研究者の氏名といった内容が盛り込まれており、これは信憑性を高める目的があると推測されます。

2022年9月に確認された大学を騙るマルスパム

上記のメールに添付されたZIPファイルからは、EXEファイルが展開されます。このファイルにはGoogle製のソフトウェアを想起させるアイコンが設定されており、加えて電子署名も付与されています。これはユーザーに対して信頼できるソフトウェアであると誤認させることと、セキュリティ製品の検出から回避させることを狙ったものであると推測されます。

EXEファイルに設定されたアイコン

EXEファイルに付与されている電子署名

またこのEXEファイルの内部構造を分析してみると、データセクションに「NullsoftInst」というシグネチャーが確認できます。これはNSIS（Nullsoft Scriptable Install System）^*3を使用してWindowsのインストーラーを作成した際に付与される可能性があります。NSISによって作成されたマルウェアについて、ESET製品では「NSIS/」から始まる名称で検出する場合があります。実際に今回のEXEファイルをESET製品でスキャンしてみると、「NSIS/Injector.ASH」という名称で検出されることが分かります。

*2 NSIS Wiki | Source Forge

EXEファイルに含まれるシグネチャー

ESET製品がEXEファイルを駆除した際の通知画面

今回のNSISによって作成されたEXEファイルは、いくつかのEXEファイルやDLLファイルなどを含めたインストーラーとなっています。このインストーラーが起動されると、内部に含まれたファイルが展開および実行されてマルウェアに感染します。

EXEファイル（インストーラー）に含まれるファイル群（上）とその中の$PLUGINSDIRフォルダに含まれるファイル群（下）

今回紹介した教育機関を騙るマルスパムについて、同様の事例が過去にも確認^*4されているため、特に対象の機関に在籍している、あるいはその機関と業務で関わりがある場合は注意が必要です。もしこのようなマルスパムを確認した場合、対象機関はホームページなどを通じて関係者に注意喚起を行うことが重要です。マルスパム受信者は正規の相手にメールの送信事実を電話等で確認するといった対応を行ってください。また、誤った判断や誤操作によるマルウェアへの感染に備えて、セキュリティ製品を導入するなどの基本的な対策も併せて実施してください。

*4 東大総長かたるなりすましメールに注意　「ときょ　じゃぱん」「地球の世話しなさい！」など本文に | ITmedia