9月の概況

2024年9月（9月1日～9月30日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
(2024年4月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application: 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2024年9月の国内マルウェア検出数は、2024年8月と比較して減少しました。検出されたマルウェアの内訳は以下のとおりです。

国内マルウェア検出数^*2上位（2024年9月）

*2 本表にはPUAを含めていません。

9月に国内で最も多く検出されたマルウェアは、JS/Adware.TerraClicksでした。
JS/Adware.TerraClicksは、悪意のある広告を表示させるアドウェアの検出名です。Webサイト閲覧時に実行されます。

情報窃取型マルウェアの増加

前章で紹介したように9月の検出数TOP10には、Win32/FormbookやMSIL/Spy.AgentTeslaといった検出名が入りました。これらは、有名な情報窃取型マルウェアファミリーであるFormbookとAgentTeslaの検出名です。
2024年9月の情報窃取型マルウェアの検出数は2024年8月と比較して2倍近くに増加しており、2024年で最も多くなりました。
そこで、今月のレポートでは対策の重要度が増した情報窃取型マルウェアについて紹介します。

情報窃取型マルウェアの検出数月別推移（国内、2024年）
（2024年1月の検出数を100％として比較）

情報窃取型マルウェア

概要

情報窃取型マルウェアは、感染端末から機密情報をはじめとしたさまざまな情報を窃取することを目的としたマルウェアです。有名な情報窃取型マルウェアとして、FormbookやAgentTesla、RedLine、Stealcが挙げられます。
情報窃取型マルウェアの主な感染経路と感染した場合の想定被害をまとめたものが、表1です。

表1　主に窃取される情報と主な感染経路

情報窃取型マルウェアの特徴

ここでは、情報窃取型マルウェアの主な特徴を3つ紹介します。

特徴①：感染に気付きにくい
情報窃取型マルウェアは、長期的に多くの情報を収集できるようにセキュリティ製品による検知を回避する機能が実装されています。具体的には、ProcessHollowingと呼ばれる手法を用いるAgentTeslaが挙げられます。この手法は、正規プロセスに悪意のある動作を実行させることで、セキュリティ製品からの検知を回避しようとする狙いがあります。そのため、一度感染すると感染に気付かず、長期的に情報窃取被害に遭う恐れがあります。

特徴②：窃取された情報による二次被害
情報窃取型マルウェアによって窃取された情報が、攻撃の実行犯以外の攻撃者にも広がる可能性があります。具体的には、RedLineなどの情報窃取型マルウェアによって窃取された情報がダークウェブ上の専用フォーラムやTelegramチャンネルで販売されていることが挙げられます。こういったプラットフォームで販売された情報には、FTPクライアントやVPNなどの認証情報が含まれていたことが確認されています。窃取された認証情報を購入した攻撃者が、組織内ネットワークに対して不正アクセスやランサムウェア感染といった二次被害に繋がる攻撃を実施する恐れがあります。

特徴③：MaaS（Malware as a Service）形式での販売
情報窃取型マルウェアの中には、MaaS形式でダークウェブ上のフォーラムを介して販売されているものがあります。有名なファミリーとして概要で紹介した4つのファミリーもダークウェブ上で購入可能です。これは、マルウェア開発などの特別な技術を持っていない攻撃者にも情報窃取型マルウェアによる攻撃を試せるようにしています。さまざまな攻撃者が参入可能なため、ユーザーが被害に遭遇する機会が多くなると考えられます。

情報窃取型マルウェアへの対策

情報窃取型マルウェアへの感染を未然に防ぐ対策と感染による被害を軽減する対策を紹介します。

対策①：情報窃取型マルウェアの感染経路への対策

主な感染経路である電子メールの添付ファイルに対しては、添付ファイルを不用意に開かないことが重要です。また、Webサイトへアクセスする時には、セキュリティ製品のセキュアブラウザー機能を利用してください。ほかにも、ハッシュ値が公開されているソフトウェアのインストーラーをダウンロードする場合、ダウンロードしたファイルのハッシュ値と突き合わせて、ファイルが改ざんされていないかを確認してください。

対策②：万が一情報窃取型マルウェアに感染した場合に備える対策

感染端末内の情報窃取型マルウェアの不審な挙動の早期発見には、EDRといった端末を監視できるツールが効果的です。EDRは端末内から収集した情報を常時監視し、情報の窃取やファイルの暗号化といった不審な挙動や端末内の異常を検知します。EDRは脅威を事前に防ぐことよりも、感染後の被害を最小限に抑えることに重きを置いたツールです。未然に防ぐための対策と合わせることで、より大きな効果を得られます。

まとめ

2024年9月マルウェアレポートでは、情報窃取型マルウェアについて紹介しました。
情報窃取型マルウェアの2024年9月の検出数は、先月と比較して2倍近くに増加していました。情報窃取型マルウェアによる被害に遭わない／被害を最小限に抑えるためにも、今回紹介した対策の実施や組織内への情報共有を行ってください。併せて、IPA・JPCERT/CCといった機関やセキュリティベンダーから公表される注意喚起を収集してください。