「国内標的型サイバー攻撃分析レポート 2018年版」を公開

～「正規」を隠れ蓑にする攻撃の隠ぺいが巧妙化～

2018年6月25日

トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長兼 CEO：エバ・チェン　東証一部：4704、以下、トレンドマイクロ）は、2017年（1～12月）の国内における標的型サイバー攻撃を分析したレポート「国内標的型サイバー攻撃分析レポート 2018年版：「正規」を隠れ蓑にする攻撃者」を、本日公開することをお知らせします。

国内標的型サイバー攻撃分析レポート 2018年版全文はこちら

「国内標的型サイバー攻撃分析レポート 2018年版」概要

1.　標的型サイバー攻撃の94.0％が隠蔽工作に「正規」ツール・サービスを悪用

正規ツールやサービスを悪用した攻撃の隠ぺいが標的型サイバー攻撃の94.0％で見られるなど、2017年は「正規」を隠れ蓑にするサイバー犯罪者の活動が特に顕著でした。標的型サイバー攻撃では、遠隔操作ツール（Remote Access Tool：RAT）や遠隔操作サーバ（C&Cサーバ）を使って、標的組織内の端末制御から情報窃取に至るまで様々な内部活動が行われます。2017年に当社が確認した標的型サイバー攻撃の大半において、ソフトウェアからインターネットサービスに至るまで様々な正規ツールやサービスが内部活動で悪用されていました。

標的組織内の端末を遠隔で制御し続ける上で使われるC&Cサーバは、当社が確認したもののうち83.3%がクラウドサービスやホスティングサービスなどの正規サービス上に設置されていることを確認しました。国内の正規Webサイトが改ざんされた上でC&Cサーバとして悪用されているケースが確認された2015年と比較しても、2017年はその傾向が大きく異なっていることがわかります。

標的組織内での内部活動においては、不正コードを正規プロセスの一部として実行することで遠隔操作ツールの存在と活動を隠ぺいする「DLLインジェクション」や「DLLプリロード」などの手法が使われていました。また、標的組織のネットワーク内部で使用されている認証情報を窃取する上で、オープンソースツールやフリーツールなどが利用されていました。これらの正規ツールやサービスの利用は、セキュリティ製品・サービスによる検出を回避し、システム管理者による攻撃の特定を難しくする意図が伺えます。

2．ネットワーク監視対象法人組織の26.0%で標的型サイバー攻撃による侵入を確認

トレンドマイクロが2017年一年間に行った法人顧客のネットワーク監視活動の中では、監視対象法人組織全体の71.0%で、標的型サイバー攻撃の兆候である内部活動の疑いを確認しました。特に、標的型サイバー攻撃が実際に行われていることを示唆する、遠隔操作ツールによる活動は全体の26.0%で確認されており、およそ4法人組織に1組織で実際に標的型サイバー攻撃によるネットワーク内部への侵入が発生していたことがわかります。

図：2017年ネットワーク監視対象組織における標的型サイバー攻撃の検出割合

また、当社監視サービスにおいて生成されるアラートは、1組織当たり月平均35万6,514件に上る中で、C＆Cサーバとの通信や内部活動といった標的型サイバー攻撃の可能性を示唆するアラートは、1組織あたり月平均778件と、アラート全体のわずか0.2%にしか過ぎません。このことから、大量のログやアラートの中から、いかに早期に標的型サイバー攻撃の痕跡を可視化できるかが、被害を防止するために重要といえます。

※ 特別記載なき数値はすべてトレンドマイクロ調べ。2018年6月時点。
※ TREND MICROは、トレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。