マルウェアとボットネットの現状--現在はEmotetが圧倒的なシェア

　「Emotet」は、2019年以降に電子メールで送信された悪質なペイロードの約3分の2を占めており、依然として世界中の企業や個人ユーザーをむしばんでいることが明らかになった。

　Emotetはもともとバンキング型トロイの木馬として生まれたが、その後犯罪グループが運用するボットネットとして進化を遂げ、ほかのサイバー攻撃者に対して、二次的なペイロードとして別のマルウェアを配信するサービスを提供する存在になっている。

　Emotetの影響力は強く、セキュリティ企業Proofpointの分析によれば、2019年1月～3月の間に電子メール経由で配信されペイロードの中で、ボットネットに分類されたもののほとんどがEmotetだった。この期間にフィッシングメール経由で送信された悪質なペイロードのうち、ボットネットは全体の61％を占めていた。

　今回からEmotetの分類がバンキング型トロイの木馬からボットネットに変更されたことで、ボットネットは電子メールを介した攻撃で配信された脅威の中で、もっとも多いマルウェアのタイプになった。ボットネットとは、秘密裏に乗っ取られたマシンの大規模なネットワークで、乗っ取られたマシンの所有者が知らないうちに、さまざまな悪質なタスクを実行する能力を持っている。

　2018年にはフィッシングメールで配信されるマルウェアの半数以上をバンキング型トロイが占めていたが、分類変更の影響で、今回のレポートでは5分の1以下になった。ただし、ボットネットによる攻撃の第2段階では多くのバンキング型トロイの木馬が配信されており、この種のマルウェアによる危険は依然として大きい。

　電子メールで配信される脅威には、バンキング型のトロイの木馬とボットネット以外に、認証情報収集マルウェア、リモートアクセス型トロイの木馬、ランサムウェア、キーロガーなどがある。

　Emotetは今や、電子メールを介して配信されるものの中でもっとも多いマルウェアになったが、ステルス性と柔軟性が高いこともあり、ほかの攻撃キャンペーンに相乗りさせることもできる。

　Proofpointの脅威インテリジェンス責任者Chris Dawson氏は、「Emotetはモジュール型で柔軟性があり、ネットワーク経由での拡散に対応している上、現在では定期的に大規模な攻撃キャンペーンを実施する能力を持ったかなり大規模なボットネットを構成しており、電子メール経由でさらに広がっている」と述べている。

　同氏はまた、「Emotetの背後にいるグループはローカライゼーションに長けており、さまざまな地域と言語に向けて頻繁に大規模な拡散キャンペーンを実施し、世界的に影響領域を広げている」と付け加えた。

　Emotetの拡散は、フィッシングメールの中に埋め込まれたURL経由で進んでいる。研究者らの分析によれば、URL経由で広まった脅威の数は、添付ファイル経由で広まったものの5倍に達するという。

　Dawson氏は、マルウェアの拡散にURLが使われることが増えたのは、サイバー犯罪者が、ユーザーがクラウドやウェブベースのサービスを信頼するようになったことを利用しているためかもしれないと考えている。

　「ユーザーは長年の間、知らない送信者から受け取った添付ファイルを開かないように教育されてきている。その一方で、ファイル共有サービスやウェブベースのアプリケーションの利用が増えているため、疑わずにリンクをクリックしてしまうことが多い」と同氏は言う。

　「この種のリンクでは、ユーザーが見慣れている正規のファイル共有サービスが使われていたり、似たドメインが使われていたり、URLがテキストで隠されていたりして、悪質なコンテンツの可能性があることが認識しにくくなっている」（Dawson氏）

　Proofpointは、企業のセキュリティ部門に対して、ソーシャルエンジニアリングによって拡散されるEmotetやその他の危険なペイロードの脅威に対抗するには、ユーザーがリンクをクリックすることを前提とし、そこから防御のためのポリシーを立案することを推奨している。電子メールが受信箱に届くこと自体を防ぐことで、ダメージが発生する可能性を大きく縮小できるという。