トレンドマイクロ、２０１３年上半期の持続的標的型攻撃に関する分析レポートを発表

２０１３年上半期国内における持続的標的型攻撃（APT）を分析－
全ての攻撃（※１）で侵入後に正規ツールを利用し攻撃を「隠蔽」
組織内で利用する正規ツールとその使用者や実行元の再確認を

　トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長　兼　CEO：エバ・チェン　東証一部：４７０４、以下、トレンドマイクロ）は、２０１３年上半期（１～６月）国内における持続的標的型攻撃（APT：Advanced　Persistent　Threat）に関する分析レポートを本日公開したことをお知らせします。

○２０１３年上半期　国内における持続的標的型攻撃の分析レポート：
　　https://inet.trendmicro.co.jp/doc_dl/select.asp?type=1&cid=81

＜２０１３年上半期　国内における持続的標的型攻撃の分析レポートのサマリ＞

　２０１３年上半期の国内における持続的標的型攻撃では、侵入時の攻撃が成功した後、内部のネットワーク探索や目的の情報を窃取するための活動において、調査対象２０社全ての攻撃（※１）で主にシステム管理者が用いる正規ツール（遠隔管理ツール「PSEXEC」、ファイル消去ツール「SDelete」など）を利用し攻撃を「隠蔽」する傾向がみられました。ユーザは、組織内で利用する正規ツールとその使用者や実行元を再確認し、正規ツールを利用する攻撃を特定することで、被害を防止できます。また、感染したバックドアと外部のC＆C（コマンドアンドコントロール）サーバとの通信において、独自プロトコルを利用した通信が前年同期比約１．８倍の４７％（※２）に増加しました。社内サービスで利用するポート・プロトコルの組み合わせから、非標準的な通信を遮断する対策を講じることをお勧めします。さらに、侵入時においては、２０１３年上半期に見つかった一太郎の脆弱性を狙うゼロデイ攻撃や、日本語のファイル名（貴社の製品故障について、取材依頼書、打ち合わせ議事録、緊急地震速報訓練の協力についてなど）を用いて標的を騙す攻撃を確認しています。修正プログラムの適用やメールの内容から不正か否かを判断し侵入を防ぐことが難しいため、攻撃の侵入を防ぐ入口対策だけではなく、万が一の侵入に備えた出口対策を講じることをお勧めします。

　※１　２０１３年上半期に持続的標的型攻撃を受けた組織から２０社を無作為に抽出し調査
　※２　持続的標的型攻撃に使用されたバックドア（２０１２年上半期５０個、２０１３年上半期１００個）を調査

■侵入後：調査対象２０社全ての攻撃（※１）で正規ツールを利用し攻撃を「隠蔽」
　・侵入後の不正活動で用いられる正規ツールの例
　　遠隔管理ツール「PSEXEC」：他のPC／サーバへコピーした不正プログラムを実行するために使用
　　ファイル消去ツール「SDelete」：活動痕跡を消去する目的でファイルを復旧出来ないよう削除
　・ウェルノウンポート（※３）を利用するバックドア：２０１２年上半期９２％⇒２０１３年上半期８８％（※２）
　・独自プロトコルを利用するバックドア：２０１２年上半期２６％⇒２０１３年上半期４７％（※２）
　・ウェルノウンポートかつ独自プロトコルを利用するバックドア：２０１２年上半期２０％⇒２０１３年上半期３７％（※２）

　※３　TCP／IPの主要なプロトコルで使用されるポート番号（０～１０２３）。通常httpは８０番、httpsは４４３番、SMTPは２５番が使用される。

■侵入時：一太郎の脆弱性を狙うゼロデイ攻撃や日本語のファイル名を用いて標的を騙す攻撃を確認
　・一太郎の脆弱性を狙うゼロデイ攻撃：２０１３年上半期３％（※４）
　・日本語のファイル名を用いて標的を騙す攻撃：２０１３年上半期６０％（※４）

　※４　持続的標的型攻撃に使用されたメールの添付ファイル（２０１３年上半期１００個）を調査

　※TRENDMICROはトレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。
　Copyright（c）１９８９－２０１３　Trend　Micro　Incorporated．All　rights　reserved．

＜読者様からのお問い合わせ先＞
　トレンドマイクロ株式会社　営業
　TEL：０３－５３３４－３６０１
　URL：http://www.trendmicro.co.jp

リリースコンテナ第3倉庫

[PR]

トレンドマイクロ、２０１３年上半期の持続的標的型攻撃に関する分析レポートを発表

Comment0 Comment

Comment Form