6月の概況

2024年6月（6月1日～6月30日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
(2024年1月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application: 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2024年6月の国内マルウェア検出数は、2024年5月と比較して減少しました。検出されたマルウェアの内訳は以下のとおりです。

国内マルウェア検出数^*2上位（2024年6月）

*2 本表にはPUAを含めていません。

6月に国内で最も多く検出されたマルウェアは、JS/Adware.TerraClicksでした。
JS/Adware.TerraClicksは、Webサイト閲覧時に実行されるアドウェアです。感染すると、アドウェアサイトへのリダイレクト、アドウェアコンテンツの配布やブラウザー拡張機能としてアドウェアをインストールするなどの被害を生じさせる可能性があります。

Backdoorマルウェアの増加とMSIL/AsyncRATの急増

2024年1月以降、国内ではBackdoorに分類されるマルウェアの検出数が増加傾向にあることを確認しています。また各月のBackdoorマルウェアの検出内訳を見ると、基本的にはPHP/WebshellとWin32/Rescomsの検出数が多いですが、6月はMSIL/AsyncRATの検出数が急増してBackdoorマルウェアの中で2番目に多かったことが判明しました。

Backdoorマルウェアの国内検出数推移とその内訳
（検出数推移は2024年1月の値を100%として比較）

このMSIL/AsyncRATについて、6月における全世界の検出割合を確認すると、日本が世界で最も多い35%を占めていました。これは2番目に多かったコロンビアの7%と比較すると5倍も検出数が多く、日本を標的にした攻撃が展開されたことが推測されます。また6月に日本で観測されたMSIL/AsyncRATの亜種の内訳を見ると、MSIL/AsyncRAT.Aが大半を占めていました。このMSIL/AsyncRAT.Aはオープンソースで公開されているオリジナルのAsyncRATに対する検出名であり、MSIL/AsyncRAT.BとMSIL/AsyncRAT.Cはそれから派生した亜種に対する検出名です。よって従来から存在するオリジナルのAsyncRATを使った攻撃が、6月に国内で活発に行われたことが分かります。

2024年6月のMSIL/AsyncRATの国別検出割合と国内における亜種の割合

AsyncRATの概要

AsyncRATはほかのPCを遠隔から監視または制御するRAT（Remote Access Tool）型のマルウェアです。2019年にオープンソースのツールとして公開されましたが、その機能を悪用して攻撃キャンペーンで使用されたこともあり、多くのセキュリティ製品ではマルウェアとして検知します。
AsyncRATは感染までの手法を変化させながら多様な攻撃に使用されています。その様子が分かる事例として、AsyncRATが使用された過去の脅威活動を3つ紹介します。

1つ目はESET社が報告した事例で、2020年にコロンビアの組織をターゲットとしたオペレーションSpalaxと呼ばれる攻撃です。この事例では悪意のあるPDFファイルを添付したメールから組織への侵入が行われました。このメールは運転の違反を通知する内容や銀行口座の差し止めを通知する内容など、特定の組織を狙った文面ではなく汎用的なばらまき型の文面であり、被害者に感染させるマルウェアとしてAsyncRATを含む3つのRATが使用されました。

2つ目はFortinet社が報告した事例で、2021年に世界各国の航空会社を標的としたスピアフィッシング攻撃です。この事例は1つ目の事例と同様に悪意のあるPDFファイルを添付したメールから初期侵入が行われました。1つ目の事例と異なり、航空会社を標的に絞った文面で従業員を騙すことでAsyncRATへの感染を引き起こしました。

3つ目はSplunk社が2023年に報告したスピアフィッシング攻撃の事例です。この事例では、上記2つの事例と同様にメールの添付ファイルから初期侵入が試みられましたが、その添付ファイルとしてMicrosoft OneNoteが使用されました。

OneNoteを悪用した攻撃が使われた背景の1つとして、インターネットから入手したMicrosoft OfficeファイルのVBAマクロがデフォルトで実行されないようになるアップデートをMicrosoft社が配信したことが考えられます。セキュリティ対策の進歩に応じて攻撃者も悪用手法を変化させており、Splunk社の事例はAsyncRATも例外ではないことを表しています。

以上から、AsyncRATは不特定多数をターゲットにした攻撃の事例から標的型攻撃の事例まで幅広く観測されていること、最新のセキュリティ対策を回避するために攻撃手法を変化させながら現在も攻撃者によって使用されていることが分かります。

容易に使用可能なAsyncRAT

AsyncRATが攻撃者に人気である理由として、オープンソースツールであり入手が容易であることに加え、ターゲットに感染させるプログラムの設定が単純明快で分かりやすいことが考えられます。
AsyncRATを含むRATの基本構成は、攻撃者の端末で操作するサーバープログラムと、ターゲットに感染させて接続を待ち受けるクライアントプログラムの2つです。クライアントプログラムはサーバープログラム上で作成することができ、その際に細かく機能を設定することが可能です。

RATマルウェアが攻撃者端末とセッションを確立するまでの流れ

AsyncRATはQuasarRATと呼ばれるマルウェアから派生したものであり、QuasarRATのソースコードを一部流用して作成されたと考えられています。ここからはAsyncRATとQuasarRATを比較しながら、AsyncRATのクライアントプログラム作成がどのくらいシンプルであるかを確認してみます。
以下の画像では、AsyncRATとQuasarRATのクライアントプログラム作成時における、被害端末へのインストールに関する設定画面を比較しています。QuasarRATでは永続化（PCの再起動時に自動でマルウェアを実行する機能）の有無やプログラムのコピー先について細かく設定することができます。一方で、AsyncRATはプログラムのコピー先を簡易的に設定することしかできません。しかしAsyncRATのクライアントプログラムを実行すると、設定項目に無かった永続化をRUNレジストリキーによって行う挙動が確認できます。このようにAsyncRATには機能を大きく削らず設定項目を簡略化する工夫が見られ、誰もが容易に扱うことができるため、現在も攻撃者に利用されていることが推測されます。

AsyncRAT（左）とQuasarRAT（右）のクライアントプログラム作成画面の比較

AsyncRATによる被害を防ぐための対策

上述したとおり、6月は国内におけるAsyncRATの検出数が増加しており、今後も活動が本格化する恐れがあります。これらの脅威から組織を守るためには、感染を防ぐ対策に加えて、感染してしまった場合の影響を最小限に抑える体制を用意することが重要です。前者についてはOSやセキュリティ製品を最新の状態に保つこと、不審なメールに警戒するよう従業員に教育することなどが有効です。後者については不要なポートを閉じておくこと、SOC（Security Operation Center）のサービスを利用して組織の通信を監視すること、EDR製品を活用して組織内の不審なアクティビティを監視すること、機密データをセキュリティが強固な場所に分離して容易にアクセスされないようにすることなどが有効です。