6月の概況

2023年6月（6月1日～6月30日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
(2023年1月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2023年6月の国内マルウェア検出数は、2023年5月と比較して減少しました。検出されたマルウェアの内訳は以下のとおりです。

国内マルウェア検出数^*2上位（2023年6月）

*2 本表にはPUAを含めていません。

6月に国内で最も多く検出されたマルウェアは、JS/Adware.Agentでした。
JS/Adware.Agentは、悪意のある広告を表示させるアドウェアの汎用検出名です。Webサイト閲覧時に実行されます。

検出数の最も多いJS形式マルウェア

JS形式マルウェアはJavaScriptで記述されたマルウェアであり、ESET製品においては「JS/」というプレフィックスから始まる検出名が該当します。
6月の概況で示したとおり、国内マルウェア検出数上位10件のうち、JS形式マルウェアが4件と最も多く確認されました。6月の検出数全体で見てもJS形式マルウェアはおよそ60%を占めており、マルウェアとして最も多いファイル形式であることがわかります。

2023年6月の国内におけるファイル形式別のマルウェア検出数の割合

サイバーセキュリティラボが毎年公開している「サイバーセキュリティレポート^*3,4」の中で上半期および年間におけるファイル形式別の割合を掲載していますが、国内に限定すると2018年以降はJS形式が最も割合の高いマルウェアとして推移し続けています。
2023年におけるJS形式マルウェアの傾向を見てみると、2022年以前と同様に検出数は最上位を維持し続けています。加えて、検出数の多いファイル形式上位5種^*5のうち、JS形式は検出数が増加傾向にあるマルウェアの1つであることがわかります。

*3 2020年以前は「マルウェアレポート」の名称で公開しています。

*4 「定期レポート」に関する記事一覧 | サイバーセキュリティ情報局

*5 2023年1月～6月における検出数の平均値で算出しました。1位から順にJS形式、HTML形式、DOC形式、Win32形式、MSIL形式の5種が該当します。

2023年の国内におけるファイル形式別の検出数推移
（1月のJS形式を100%として比較）
（図中の直線は各ファイル形式の線形近似直線を表す）

このように、JS形式マルウェアは国内において長らく脅威が続いているマルウェアであり、2023年以降は徐々に脅威が拡大しているため警戒が必要です。

JS形式マルウェアの攻撃対象は広範囲

JS形式マルウェアの検出数が多い要因として、攻撃者にとって多くのユーザーを標的にできることが考えられます。今回は３つの例を紹介します。

1.悪意のあるインターネット広告

Webブラウジングは、多くのユーザーにとって仕事やプライベートに関係なくインターネットに触れる代表的な手段の１つです。現在はWebブラウジング中にインターネット広告を見かけることが一般的となっていますが、この広告に悪意のあるコンテンツを含めることによって不特定多数のユーザーを標的にすることが可能です。6月の国内マルウェア検出数上位に該当する４つのJS形式マルウェアのうち３つがアドウェアであることからも、国内の多くのユーザーにとって脅威となっている様子がわかります。

2.実行環境に応じたマルウェアの配布

JavaScriptはECMAScriptとして標準化^*6されており、互換性が高くさまざまなWebブラウザー上で実行することができます。すなわち、さまざまなOSにおいてWebブラウザー上でJavaScriptを実行できることに他なりません。
JavaScriptにおいて、WebブラウザーやOSなどの実行環境に関する情報を取得する方法の１つに、Navigatorオブジェクト^*7が挙げられます。このオブジェクトを利用することで、実行環境に適したマルウェアペイロードをダウンロードして実行させることができる可能性があります。

*6 TC39 | Ecma International

*7 Navigator - Web API | Mozilla Foundation

実行環境に応じたマルウェア感染のイメージ

3.JavaScriptをマルチプラットフォームで動作させる実行環境の存在

例えばNW.jsは、Node.js^*8にWebKit^*9の機能を追加した実行環境であり、複数のOS上で動作するマルチプラットフォームの実行環境でもあります。Ransom32と呼ばれるJavaScriptベースのランサムウェア^*10は、このNW.js上で動作するように設計されているため、NW.jsがインストールされた環境であればOSに関係なく動作します。このように条件が整っている場合、JS形式マルウェアは複数のOSで動作し得るため標的の範囲が広いマルウェアであると言えます。

*8 クライアントサイドであるブラウザー上で動作するJavaScriptを、サーバーサイドで実行できるようにする実行環境です。

*9 Webページを整形して表示するためのHTMLレンダリングエンジンです。

*10 Die erste Ransomware in JavaScript: Ransom32 | Emsisoft

まとめ

今回はJS形式マルウェアについて紹介しました。国内においては最も検出数の多いマルウェアであるため対策は必須です。JS形式はWebブラウザー以外の環境でも実行できる場合があります。よってWebブラウザーを最新の状態に保つこと以外にも、OSのバージョンアップやセキュリティ製品の導入なども実施して、組織の端末を保護するようにしてください。