サイバー犯罪者や脅威アクターにとって、最先端のデジタル領域は標的や攻撃機会にあふれた無法地帯です。政府機関や法執行機関、監視グループの取り組みも虚しく、現代のサイバー脅威はかつてないほど機敏で、検知を巧妙に回避します。

こういった背景から、SonicWall Capture Labsの脅威研究者たちは、グローバルなサイバー軍拡競争に先手を打つべく、実用的な脅威インテリジェンスで組織やエンタープライズ、政府、企業の防御力を強化しようと絶え間なく取り組んでいます。

この取り組みの一環として、2020年SonicWallサイバー脅威レポートでは、サイバー犯罪者の思考を探り、次なる攻撃に備えするうえで役立つ脅威インテリジェンスを提供しています。

世界的なマルウェアの蔓延は減少するが、標的がより明確に

過去5年間、サイバー犯罪者は膨大な数の攻撃を組織に仕掛けてきました。しかし、サイバー防衛の進化に伴い、攻撃数が増加してもダメージを抑えることが可能となりました。

そこで2018年、サイバー犯罪者は「より脆弱な」標的に対し、さらに回避的で的を絞った攻撃を開始しました。2019年には全世界のマルウェア件数は減少しましたが、医療業界や地方自治体など、そのターゲットがより明確となり、成功率も上昇しています。

SonicWall Capture Labsは2019年、前年比で6%減少となる99億件のマルウェア攻撃*を記録しました。

地方自治体を狙ったランサムウェア

「運任せで攻撃」する手法はもう通用しません。サイバー攻撃者は、所有している機密データや資金（またはその両方）を奪い、その引き換えに金銭を支払う可能性がある被害者を巧妙に狙うランサムウェアという手法を使用します。今は「大物狩り」が主流なのです。

本レポートでは、2019年に発生した最も悪質なランサムウェア攻撃の概要に加え、Cerber、GandCrab、HiddenTearなどのランサムウェアファミリーやシグネチャの進化の実態についても解説しています。

第3四半期にはファイルレスマルウェアが急増

ファイルレスマルウェアは、メモリベースのアーティファクト（RAMなど）にのみ存在する悪意のあるソフトウェアの一種で、コンピュータのハードドライブにアクティビティを書き込まないため、既存のコンピュータのフォレンジック分析がうまく働きません。

2019年、盛衰の傾向を見せたファイルレスマルウェアですが、SonicWall独自のデータでは、このスマートな手口が中期に大幅に急増することを示しています。

着実に高まる暗号化された脅威

来年も増加の兆しを示しているのが、暗号化された脅威です。より多くの組織がプロアクティブに、責任をもってTLS/SSLトラフィックを検査する体制ができるまで、この攻撃ベクトルは拡大の一途を辿ると考えられます。

IoTマルウェア件数の増加

玄関先カメラのハッキングやベビーモニタの不正侵入など、2019年にはIoTデバイスのセキュリティとプライバシーに深刻な脅威が及びました。今後も、IoTベースの攻撃が増える兆しがトレンドデータから示されています。

クリプトジャックの崩壊

2019年上旬、ビットコインや補完的な暗号通貨の価格により、正当なCoinhiveのマイニングサービスを悪用した、Coinhiveベースのクリプトジャックマルウェアが横行しました。Coinhiveのマイニングサービスが終了したことで、2019年、最も話題を呼んだこのマルウェアは消滅しました。

次なる攻撃に備えて

2020年SonicWallサイバー脅威レポートをダウンロードして、サイバー犯罪者の思考を探り、次なる攻撃に備えするうえで重要な脅威インテリジェンスを入手してください。

今すぐ読む

ビットコインをはじめとする仮想通貨の価格は変動しているにもかかわらず、各業界のビジネスや中小企業、一般消費者がクリプトジャッキングという深刻かつ（多くの場合は）隠れた脅威に晒されている状況に変わりはありません。

こうした脅威が最も潜みやすい場所はブラウザを介したクリプトマイニングです。一般的な形式のマルウェアが、使用されているデバイスを「クリプトジャッカー」と呼ばれるフルタイム稼働の仮想通貨マイニングドットへ改変しようと試みます。

この傾向についてクリエイティブにご理解いただくため、少し誇張した表現を使って説明します。押し寄せるクリプトジャッキングの波は黙示であり、エンドポイントまたはビジネスに対する脅威は『ヨハネの黙示録』になぞらえ「四騎士」に例えられます。

• 白の騎士：消費または浪費電力
• 赤の騎士：リソースが限られることで喪失する生産性
• 黒の騎士：システムに及ぼしかねない損害
• 青の騎士：脆弱性が生まれることによるセキュリティへの影響

（支払いを要求するために）検出されるランサムウェアとは異なり、クリプトジャッカーは、コンピュータのバックグラウンドで密かに活動します（この際、デバイスのCPU使用率のグラフや冷却ファンは何らかの異常を示す可能性はあります）。

ランサムウェアは、一度VirusTotalなどの検査サイトにひっかかってしまうと、その有効性や投資利益率が低減してしまうという理由から、過去2年の間にランサムウェアの作成者らはクリプトジャッキングへと焦点をシフトしています。

収益性の高い事業を運営するのと同じように、サイバー犯罪者は財政面の目標を達成するため、常に新しい方法を生み出すことを考えています。サイバージャッキングは、そうした課題を克服するために使用されています。

2018年4月、SonicWallは、Coinhiveをマルウェアで使用し、クリプトジャッキングの傾向を追跡し始めました。そしてその1年の間に、クリプトジャッキングには盛衰があることを発見しました。当時、SonicWallでは約6,000万件のクリプトジャッキングを記録しましたが、2018年9月にはその数は1,310万件に上っています。公開されている2019 SonicWallサイバー脅威レポートでも触れたとおり、クリプトジャッキングの攻撃件数は2018年の最終四半期には低減しました。

国際的なクリプトジャッキング攻撃件数 | 2018年4月～9月

クリプトマイニングをおびき寄せるもの

昨今クリプトマイニングの実行件数はますます増えており、今や世界の消費電力のほぼ半分を消費するまでに至ります。価格が大幅に変動するにもかかわらず、ビットコインの合法的なマイニング費用のうちおよそ60%は電気代が占めています。実際に、この記事を書いている時点では、ビットコインの価格は合法的にマイニングを行う費用よりも価値が低い状態です。

機器の購入・維持コストの負担、そしてゼロリスクという観点から、サイバー犯罪者には他人のリソースを利用して仮想通貨を生成する大きな動機が存在するのです。10台の機械にクリプトマイナーを感染させると最大で1日あたり100ドルの利益を得られます。これにあたり、クリプトジャッカーは以下の3段階におよぶ課題を乗り越える必要があります。

1. 標的を探す。つまり、学校や大学などの同一ネットワーク内に多くの機器を持つ組織を見つけます。
2. できるだけ多くの機器を感染させる。
3. できるだけ長い時間隠れ続ける（ランサムウェアや類似した従来型マルウェアとは異なる点）。

クリプトジャッカーはマルウェアと類似した技術（ファイルダウンロード、フィッシングキャンペーン、ブラウザ内の脆弱性、ブラウザのプラグインなど）を利用し、エンドポイントに侵入します。また、当然ながら、ソーシャルエンジニアリングの手口で、最も脆弱な「人」という隙を利用します。

クリプトマイナーに感染しているかどうかの判断

クリプトマイナーは、あなたのデバイスの処理能力に関心があり、クリプトジャッカーは収益を犠牲にしてでも隠れ続ける選択肢を選びます。CPUリソースをどれだけ使用されるかは彼らの目的によって異なります。

それほど電力が使用されていない場合、疑いを持っていないユーザーがその行為に気づくのは難しいと言えます。盗用される電力が多ければ多いほど彼らの収益も多くなります。どちらの場合でも、デバイスの性能に影響を及ぼしますが、閾値が十分に低い場合にはクリプトマイナーと合法なソフトウェアの識別が難しい場合があります。

企業の管理者は、環境内にある未知の処理を探すこと、またWindowsを利用するエンドユーザーは、実行されている処理を検知するSysinternals Process Explorerをインストールすることをお勧めします。同様に、LinuxおよびmacOSユーザーは、それぞれSystem MonitorおよびActivity Monitorを使用してください。

クリプトマイナーから身を守る方法

クリプトマイナーから身を守る第一の方法は、既知のファイルベース脅威を止める最善の方法であるファイヤーウォール、電子メールセキュリティ（境界セキュリティ）のいずれかを通じてこのタイプのマルウェアを瀬戸際で防止することです。

ユーザーは旧型コードを再利用することを好むため、Coinhiveのようなクリプトジャッカーを検知することも第一の対処法でした。しかし2019年2月、Coinhiveは3月8日にサービスを終了するとし発表し、同社は「もはや経済的にサービスを提供可能な状態」ではなく、「価値暴落」によりビジネスが著しく影響を受けたと述べました。

またこのニュースとは関係なく、SonicWallは、同サービスに取って代わる新しいクリプトジャッキングの種類や技術が今後も増えると予想しています。その隠蔽性から、クリプトジャッキングは今後も悪意のある犯罪者に好まれる手法であり続ける可能性があります。被害者への損害が少なく間接的であるため、その行為が露呈する可能性が少なく攻撃が成功する、価値ある期間も長いためです。

マルウェアが未知（新規または更新されたもの）である場合、セキュリティの静的フィルタはそれを通過してしまいます。未知のファイルが検出された場合は、サンドボックスに移され、ファイルの性質の点検が行われます。

マルチエンジンのSonicWall Capture Advanced Threat Protection（ATP）サンドボックス環境は、単一のエンジンを回避しても複数のエンジンは避けられ合い侵襲性マルウェアを特定・停止するよう設計されています。

こうした通常の設定ではないエンドポイントをお使いの場合（空港またはホテルでのローミングなどでの使用）は、行動検知を含むエンドポイントセキュリティ製品を導入する必要があります。

クリプトマイナーは、ブラウザ上で稼働したり、ファイルレス攻撃により提供されるため、無料で入手できる旧型ソリューションでは太刀打ちできません。

SonicWall Capture Client など、行動ベースのアンチウイルスは、システムがコインを掘り起こそうとしている行動を検知し、その稼働を停止させます。 これにより管理者は、マルウェアを容易に隔離・削除し、万一システムファイルに損害があれば、マルウェアが実行される前の既知の健全な状態にシステムを復元することができます。

境界防御と行動分析を組み合わせることで、組織は、新型マルウェアのどのようなトレンドや目的にも対抗することができます。