TrickBotマルウェアとは?感染経路と予防策、完全駆除の手順を徹底解説

ハッカーたちは、より強力で危険かつ効果的なマルウェアを作り出すために、日々創意工夫を凝らしています。パスワードを盗むだけ、あるいはキーボード入力を記録するだけといったマルウェアは、もはや初歩的な存在になりつつあります。競争の激しいサイバー犯罪の世界で目立つには、ランサムウェアやクリプトマイナー(仮想通貨マイニング型マルウェア)並みの能力が求められるのです。

こうした傾向により、マルウェアは時間とともにますます攻撃的で複雑になっています。その好例が「TrickBot」マルウェアです。TrickBotはメールを標的に設計されたマルウェアで、長期間にわたり活動を続けており、これまでに2億5000万件ものメールアカウントを侵害してきました。

TrickBotは2016年頃から確認されているマルウェアですが、勢いが衰えるどころか、むしろ強さを保ちながら長年にわたって進化を続けています。現在では、企業を標的とする主要な脅威の一つとされており、近年では新機能が次々と追加され、以前よりもはるかに恐ろしい存在へと変貌を遂げています。

TrickBotマルウェアにできること

TrickBotは、Emotetと同様のバンキングトロイの木馬として生まれました。感染したコンピュータから銀行口座などの金融情報を盗み出すことを目的としています。主な感染経路は、組織や企業の従業員に送りつけられる「スピアフィッシングメール」です。例えば、応募者を装って人事担当者に送る偽の履歴書や、経理部門宛ての偽請求書などに変装します。TrickBotは、メールに添付されたMicrosoft WordやExcelファイルの中に潜んでいるのです。

一度侵入に成功すると、さまざまな手段で組織内へ拡散していきます。最も簡単な方法は、企業で広く使われるファイル共有プロトコル「SMB(Server Message Block)」の脆弱性を悪用することです。SMBは同じネットワーク上のWindowsユーザー同士がファイルを簡単に共有・アクセスできるようにする仕組みで、ここが格好の標的となるのです。

セキュリティ企業DeepInstinctの専門家によると、TrickBotは「堅牢で精巧かつ高度な脅威であり、多様な悪意ある活動に対応するマルチパーパスなツール」へと進化したといいます。同社は「TrickBooster」と呼ばれる亜種を発見しました。これはメールベースの配信モジュールで、感染したコンピュータのアドレス帳やメールアカウントからメールアドレスと連絡先情報を収集します。さらに、ユーザーのメールアカウントからスパムメールを送信した後、送信済みメッセージを削除することで検知を回避します。これにより、マルウェアは急速に拡散し、収益化のためのメールアドレスを大量に収集できるのです。

まとめると、TrickBotマルウェアは以下の4段階で動作します。

• 被害者のコンピュータがTrickBotに感染し、TrickBot制御サーバーからの指示を受けてTrickBoosterをダウンロードする。
• ダウンロードされたTrickBoosterが制御サーバーに報告し、感染コンピュータから収集したメールアドレスとログイン認証情報のリストを送信する。
• TrickBooster制御サーバーがマルウェアボットに指示を出し、被害者のメールアカウントから悪意あるメールを送信させる。
• TrickBoosterボットがスパムメールを送り、マルウェアをさらに拡散させる。

DeepInstinctの調査によると、TrickBotマルウェアのデータベースには、最近収集された約2億5000万件のメールアドレスが含まれていました。内訳は、Gmailが2500万件、Yahoo!が2100万件、Hotmailが1100万件、AOLとMSNが1000万件で、残りは企業や政府機関が所有するメールドメインのものでした。中には米司法省、国土安全保障省、IRS(内国歳入庁)、NASA、ATF(アルコール・タバコ・火器及び爆発物取締局)から収集されたメールアドレスまで含まれていました。

TrickBotからコンピュータを守る方法

「治療より予防」という言葉は、TrickBotマルウェアにも完璧に当てはまります。このマルウェアは非常に狡猾で、検知がきわめて困難だからです。送信済みメッセージをすべて削除してしまうため、スパムメールを受け取った側から連絡でもない限り、異常に気づくことすらできません。このような厄介なマルウェアに対しては、何よりも警戒心こそが最大の防御策となります。

以下に、TrickBotの感染を防ぎ、データを守るためのポイントを紹介します。

• 利用可能なWindowsアップデートをすべて適用する: MicrosoftはWindows Updateを通じて最新のセキュリティパッチを配信しています。「設定」>「更新とセキュリティ」>「Windows Update」から手動で確認し、「更新プログラムのチェック」ボタンをクリックして未適用の更新がないか確認しましょう。
• アンチウイルスソフトを最新の状態に保つ: 同じネットワークに接続されている他のコンピュータのアンチウイルスソフトも忘れずに更新してください。
• メールを開く際は特に注意する: 添付ファイル付きのメールには要注意です。フィッシングメールはTrickBotの最大の感染経路なので、不審なメールには細心の注意を払いましょう。社外のドメインから仕事関連の内容のメールが届いた場合は、まずドメインを調査して正当性を確認してください。マルウェアは実在の企業を装うことが多いため、メールの真偽を見極めるのは容易ではありません。
• ログイン認証情報を渡さない: 一部のTrickBot攻撃者はPayPalユーザーを標的にし、ログイン情報を入力させようとします。リンクをクリックしてサインインを求められた場合、それがPayPalでもメールサービスでもその他のアカウントでも、すぐにブラウザを閉じましょう。

TrickBotマルウェアの駆除方法

前述の通り、TrickBotは非常に厄介な相手です。現在最大級のサイバー脅威の一つであり、駆除には多くの手間と注意が必要です。このタイプのトロイの木馬は隠れるのが得意なため、駆除作業は徹底的に行う必要があります。通常、悪意のあるファイルをシステムの深いところに隠すため、検出や削除が難しくなっています。

TrickBotに感染している疑いがある場合は、以下の手順に従って手動で削除し、再発を防ぎましょう。

ステップ1:セーフモードで起動する

セーフモードで起動すると、不要なサードパーティ製プロセスが無効になるため、コンピュータ上で動作している不審なプロセスを見分けやすくなります。セーフモードで起動するには、以下の手順に従ってください。

1. 「スタート」をクリックし、メニュー左下の電源ボタンアイコンをクリックします。電源オプションのメニューが表示されます。
2. キーボードの「Shift」キーを押しながら、「再起動」をクリックします。
3. コンピュータが再起動し、セーフモードで起動します。

ステップ2:不審なプログラムをアンインストールする

多くのマルウェアは、他の悪意あるソフトウェアもコンピュータにインストールします。TrickBotの場合、感染したコンピュータからメールアドレスや連絡先情報を収集するためにTrickBoosterをダウンロード・インストールします。どのプログラムが正規のもので、どれが不審なのかを確認する必要があります。

不審なアプリをアンインストールするには、以下の手順を実行します。

1. 「Windows + R」キーを同時に押して「ファイル名を指定して実行」を開きます。
2. ダイアログボックスに「appwiz.cpl」と入力し、「OK」をクリックします。コントロールパネルが開きます。
3. 自分でインストールしていないプログラムを探し、アンインストールします。

ステップ3:不審なスタートアップ項目を無効にする

TrickBotは他のマルウェアと同様、システム起動時に自動的に実行されるよう設計されています。スタートアップ項目を確認し、起動時に読み込まれる見慣れないプロセスがないかチェックしましょう。

手順は以下の通りです。

1. 「Windows + R」キーを同時に押して「ファイル名を指定して実行」を開きます。
2. ダイアログボックスに「msconfig」と入力し、「Enter」キーを押します。システム構成画面が開きます。
3. 「スタートアップ」タブをクリックします。
4. 「製造元」欄が「不明」となっている項目を探し、チェックを外します。

ステップ4:不審なプロセスを終了させる

不審なスタートアップ項目の無効化や偽プログラムのアンインストールに加えて、コンピュータ上で動作しているプロセスの中にマルウェアがないかを確認することも重要です。見つけたらすぐにプロセスを終了させ、ファイルが隠されているディレクトリを削除しましょう。

手順は以下の通りです。

1. 「Ctrl + Shift + Esc」キーを押してタスクマネージャーを開きます。
2. 「プロセス」タブをクリックします。
3. 各プロセスを検索エンジンで調べ、マルウェアかどうかを判別します。
4. 不審なプロセスを右クリックし、「ファイルの場所を開く」を選択します。プロセスのファイルが格納されているフォルダが開きます。
5. タスクマネージャーに戻り、不審なプロセスを再度右クリックして「タスクの終了」をクリックします。
6. 開いていたフォルダに戻り、すべてのファイルを削除します。

ステップ5:アンチマルウェアでスキャンする

TrickBotを完全に駆除するには、最新版に更新したアンチマルウェアソフトを使ってコンピュータとそのディレクトリ全体をスキャンすることをおすすめします。検出されたら、指示に従ってTrickBotマルウェアを完全に除去してください。

ステップ6:残存ファイルを削除する

TrickBotの駆除が難しい理由の一つは、ファイルを巧妙に隠すことにあります。再発を防ぐには、マルウェアに関連するファイルがすべて削除されていることを確認する必要があります。これらのファイルは通常、ランダムな名前のディレクトリに隠されています。以下のフォルダを検索して、TrickBotの残存ファイルが潜んでいないか確認しましょう。

• C:\
• C:\Windows
• C:\Windows\System32
• C:\Windows\Syswow64
• C:\Windows\ProgramData
• %AppData% フォルダ(特にRoamingフォルダ)

まとめ

TrickBotマルウェアは、単純なマルウェアであっても新しい技術に適応し、攻撃手法を進化させ得ることを示しています。TrickBotのような執拗で検知しづらいマルウェアに対しては、警戒心と知識こそが最大の防御策となります。システムが感染していると思われる場合は、本記事の手順に従って、TrickBotマルウェアをコンピュータから完全に除去してください。