マイクロソフトが警告!ファイルレス型マルウェア「アスタロト」の脅威と対策を徹底解説

近年、Windowsがマルウェアの攻撃を受け、マイクロソフトが警戒を強めています。今回の脅威となったのは、「アスタロト(Astaroth)」と呼ばれるファイルレス型マルウェアの一種です。ファイルレス型マルウェアとは、コンピュータのファイルシステムではなくRAM(メモリ)上に潜伏するため、従来の手法では検出が非常に困難なマルウェアのことを指します。

本記事では、マイクロソフトがアスタロトを警戒する理由と、ユーザーが取るべき具体的な対策について詳しく解説します。

アスタロトはどのように感染を広げるのか?

アスタロトは「.LNK」ファイル(ショートカットファイル)を利用して拡散します。このファイルがウェブサイトにアップロードされ、そのサイトへのリンクがメールで送り届けられる仕組みです。

ユーザーがリンクをクリックすると、.LNKファイルがWindows上で実行され、Windows Management Instrumentation Command-line(WMIC)ツールへ命令を送信します。WMICはWindowsに標準搭載されている正規のプログラムであるため、実行中はアンチウイルスソフトの検知を巧みに回避できます。

その後、アスタロトはWMICを装い、攻撃に必要なプログラムを次々とダウンロード・実行させます。マルウェアの構築が完了すると、本格的な攻撃が開始されるのです。

アスタロトはツールをダウンロードしますが、それらはすべてWindowsが本来使用している正規のシステムツールです。そのため、攻撃はWindowsの重要なプロセスを悪用する形となり、アンチウイルスソフトによる検出が極めて困難になります。外部の不正ファイルをダウンロード・保存しないことから、この攻撃は「ファイルレス」攻撃と呼ばれています。

なお、この攻撃手法はより大きなカテゴリである「Living-off-the-Land(LOTL)攻撃」に分類されます。これは、ウイルスがシステムに新たな不正プログラムを導入するのではなく、すでに存在する正規ツールを利用してペイロードをダウンロード・実行するためです。

アスタロトは何をするのか?

アスタロトの主な目的は、可能な限り多くの情報を収集することです。複数の攻撃手法を駆使して情報を窃取します。キーロガーがユーザーの入力内容をすべて記録し、クリップボードも機密情報が含まれていないかスキャンされます。さらに、アプリケーション自身の情報をダンプ(抽出)させることもあります。

これは現在のマルウェアに共通する傾向です。ウイルスやマルウェアは、単にシステムを破壊する活動から、データを収集したり開発者に利益をもたらしたりする行動へとシフトしています。アスタロトは、そのファイルレスな感染手法と多様な検出回避テクニックにより、特に深刻な脅威となっているのです。

この攻撃を防ぐには?

幸いなことに、この手法はアンチウイルスソフトによる検出を困難にしますが、初期の感染経路は人間の目で簡単に見分けることができます。メール内のリンクをクリックする際は常に注意を払い、特に見知らぬ差出人からのメールには十分に警戒しましょう。

ステルス性の高い脅威、ファイルレスマルウェア

ファイルレス型マルウェアのステルス性は、アンチウイルスソフトを導入していても深刻な脅威となり得ます。最新のアスタロトの感染拡大は、ファイルレス型マルウェアがどれほど壊滅的な被害をもたらしうるかを如実に示しています。本記事を通じて、その仕組み、脅威の実態、そして感染防止策をご理解いただけたかと思います。

ファイルレス型マルウェアについて、どのようにお考えですか?ぜひコメントでお聞かせください。