9月の概況

2023年9月（9月1日～9月30日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
(2023年4月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2023年9月の国内マルウェア検出数は、2023年8月と比較して微減しました。検出されたマルウェアの内訳は以下のとおりです。

国内マルウェア検出数^*2上位（2023年9月）

*2 本表にはPUAを含めていません。

9月に国内で最も多く検出されたマルウェアは、DOC/Fraudでした。
DOC/Fraudは、詐欺サイトへのリンクまたは詐欺を目的とした文章が書かれているWordファイルです。主にメールの添付ファイルとして確認されており、2023年ではセクストーション（性的脅迫）を目的としたものが確認されています。

Qakbotボットネットのテイクダウン

2023年8月29日、アメリカ連邦捜査局（FBI）と司法省（DOJ）はフランス、ドイツ、オランダ、ルーマニア、ラトビアと協力し、マルウェアQakbot（クアックボット）のボットネットを解体する多国籍作戦（Operation Duck Hunt）を実施したと公表しました。この作戦は、多数の被害を出しているQakbotボットネットのインフラを解体することを目的とした作戦です。この作戦によって、70万台以上の感染が疑われる端末が特定され、Qakbotのアンインストールが行われました。加えて、Qakbotのアクターから約900万ドル（約13億4,770万円相当）の暗号資産（仮想通貨）を押収しています。ほかにも、Qakbotアクターによって侵害されたアカウント資格情報が特定され、無償のデータ漏えいチェックサイトであるHave I Been Pwnedへ提供されています。
Qakbotをアンインストールするために、FBIはボットネットの通信をFBI管理のサーバーへリダイレクトするように変更し、法執行機関が作成したアンインストーラーを感染端末にダウンロードしました。このアンインストーラーは、感染端末をボットネットから切り離し、Qakbotを介した更なるマルウェアのダウンロードを防ぐように設計されています。アメリカのCISA（Cybersecurity and Infrastructure Security Agency）から今回の作戦に関連したQakbotの詳細情報やIoCが提供されています。
この作戦によってテイクダウンされたQakbotは、どのような脅威だったのかを解説します。

Qakbot（クアックボット）について

Qakbot（別名：Qbot、Pinkslipbot）は、2008年頃から確認されているモジュール型のマルウェアです。モジュールによってさまざまな機能を有することができ、ESET製品ではWin32/QbotやWin64/Qbotとして検出します。Qakbotに感染すると、機密情報の窃取やほかのマルウェアをダウンロードされる被害に遭う可能性があります。実際に、REvilやBlack Basta、Royalといったランサムウェアグループに利用されていました。また、非営利団体のThe Shadowserver Foundationから公開された2019年7月から2023年8月までにQakbotへ感染した端末に関するレポートによると、日本では約40,000台の端末が確認されていました。
主な感染経路としては、メールに添付されたファイルや本文に書かれたURLが確認されています。ダウンローダーの中には、2022年5月に確認されたWindowsサポート診断ツール（Microsoft Support Diagnostic Tool：MSDT）の脆弱性CVE-2022-30190（Follina）を悪用したものやOneNote形式のファイル、ISOファイルを悪用したものがありました。

Qakbotの検出状況について

ESET製品によって検出されるQakbot の検出状況の変化をまとめました。以下のグラフは、全世界におけるWin32/QbotとWin64/Qbotの検出数の月別推移です。

Win32/QbotとWin64/Qbotの検出数月別推移（2023年 全世界）
※2023年1月の検出数を100％として比較

検出数が多かった上半期と比較して、下半期は検出数が減少しています。そして、テイクダウン後の9月は、8月と比較して微減しています。大きな変化が見られない理由として、テイクダウン時に端末がオフラインだったなどの理由によって、アンインストールされずに端末に残ってしまったものが検出された可能性があります。また、ほかのマルウェア経由でQakbotがダウンロードされてしまった可能性も考えられます。現在、Qakbot への感染を狙った大きな活動は確認されていませんが、Qakbot の関係者・関連アクターが活動を継続しているという報告も出ています。今後も検出状況を注視していきます。

テイクダウンされた脅威の復活について

今回の作戦によってQakbotボットネットは解体されましたが、Qakbot の関係者や関連アクターが活動継続している報告もあります。今後、Qakbotボットネットの活動が再開する恐れがあります。実際に、テイクダウンされた脅威の活動が再開した事例もあります。有名なものとして、RamnitやEmotetが挙げられます。報道でも話題になったEmotetは、2021年1月にテイクダウンされ、2021年11月に活動が再開しています。Ramnitは2015年にテイクダウンされたマルウェアですが、現在も活動が確認されています。実際にESET製品による国内の検出状況は、今月の検出数が2023年を通して最も多くなっていました。検出数全体は多くありませんが、依然として注意が必要です。

まとめ

Qakbotボットネットが8月にテイクダウンされました。この作戦によって大きな脅威の1つが解体され、ランサムウェアといったほかのマルウェアをダウンロードされるといった被害が減ることが考えられます。一方、注意すべき点もあり、「Qakbot ボットネットを再形成するためにばらまきメールやフィッシングメールの配布といった活動」が起きる可能性があります。脅威動向を収集し、組織内へ情報共有・注意喚起を行ってください。
特に、感染経路がメールの添付ファイルである脅威は、活動再開時に新たなダウンローダーを使用するといった変化が見られることがあります。セキュリティ製品をはじめとしたシステム面の対策に加えて、ユーザーが添付ファイルを実行しないように手法を伝えていく必要があります。そのためにも、IPAやJPCERTをはじめとした機関やセキュリティベンダーから出される注意喚起を確認してください。