TrickBotマルウェアがActiveXコントロールを悪用――さらに危険度を増した脅威の実態

近年のサイバー犯罪者はかつてないほど巧妙化しており、一見すると正当なものに見えながら、実際には極めて攻撃的なウイルスやマルウェアを作り出しています。

その典型的な例の一つが、地味でありながら危険な脅威として知られる「TrickBot」マルウェアです。

TrickBotマルウェアとは?

TrickBotマルウェアはかなり前から存在し続けており、数百万件もの個人メールアカウントを侵害し、企業ネットワークへの攻撃も繰り返してきました。

初めて記録されたTrickBotの攻撃は2016年のことです。すでに3年以上が経過していますが、その勢いは衰えるどころか、より強力な機能を備えた悪質な存在へと進化を遂げています。多くの企業がこれを最重要クラスの脅威とみなしているほどです。

TrickBotマルウェアとActiveXコントロール

最近では、ハッカーグループがフィッシングキャンペーンにおいてTrickBotマルウェアを利用しているという報告があります。彼らはMicrosoft Word 2007ドキュメントのリモートActiveXコントロール機能を悪用し、悪意のあるマクロを実行させています。一度起動されると、ActiveXコントロールはOstapと呼ばれるマルウェアダウンローダーを自動的に起動し、即座に攻撃者側のサーバーと通信を開始します。注目すべきは、この一連の流れすべてがフィッシングメールによって引き起こされるという点です。

サイバー犯罪者は被害者に対して「支払い漏れがある」と通知する偽メールを送りつけます。メールには偽の請求書が添付されていますが、その正体は罠が仕掛けられたWordドキュメントなのです。

このフィッシングキャンペーンを分析した専門家によると、マルウェアダウンローダーのJavaScriptコンポーネントは、Word文書の本文内に白文字(白色テキスト)として隠されており、一見しただけではまったく気づかないようになっています。

Wordドキュメントが開かれると、悪意あるマクロの一部が実行されます。そしてドキュメントを閉じた瞬間に、残りのすべてのマクロが実行される仕組みです。この攻撃は、動作解析(ビヘイビア分析)を妨害するよう巧みに設計されていることがわかります。

TrickBotマルウェアによるその他の影響

TrickBotはもともとバンキングトロイの木馬として開発されたもので、警戒心のない被害者のコンピュータから金融・銀行情報を盗み出すことを目的としています。組織や企業のネットワーク全体にフィッシングメールを送信することで拡散します。

場合によっては、人事部門から全社員に送られる偽の社内ニュースレターになりすますこともあります。また、求職者から人事部宛てに送られた偽の履歴書を装うケースも少なくありません。

マルウェアが組織のネットワークに侵入すると、あらゆる手段で深刻な被害をもたらします。その一つが、多くの企業で利用されているファイル共有プロトコル「SMB(Server Message Block)」を悪用する手法です。このプロトコルはネットワーク内のユーザーが手軽にファイルへアクセス・共有できるようにするものですが、同時に組織の脆弱性を突く入口にもなり得るのです。

このマルウェアはさまざまな姿に変化しますが、一点だけ明確なことがあります。それは、フィッシングメールに添付されたMicrosoft Wordファイルの中に潜み、身を隠す術を確実に心得ているということです。

TrickBotマルウェアの動作をまとめると、以下の4つのフェーズに分けられます。

• フェーズ1:被害者のコンピュータがマルウェアに感染し、マルウェアのサーバーからダウンローダーをダウンロードする指示を受け取る。
• フェーズ2:ダウンローダーが自身のサーバーへ報告し、被害者のPCから収集した情報のリストを送信する。
• フェーズ3:サーバーがマルウェアに対し、被害者のメールアカウントを使って偽メールを送信するよう指示する。
• フェーズ4:マルウェアが詐欺メールやスパムメールを大量送信し、感染をさらに拡大させる。

TrickBotマルウェアからPCを守るために

このマルウェアは極めて狡猾な性質を持つため、検出が難しいのが実情です。しかし、適切な対策を講じれば、自分自身を守ることは十分可能です。

TrickBotによる感染とデータ収集を防ぐための予防策をいくつか紹介します。

• 利用可能なアプリやWindowsのアップデートを必ずインストールしましょう。これらの更新プログラムやパッチはデバイスのセキュリティ強化のために提供されています。入手次第すぐに適用することが大切です。
• アンチマルウェアソフトを常に最新の状態に保ちましょう。
• クリックする前に立ち止まって考えましょう。信頼できる既知の送信元からのメールのみを開くようにし、不審な添付ファイルは絶対にクリックしないことです。ご存じのとおり、フィッシングメールはTrickBotマルウェアの最大の感染経路です。
• 信頼できるPC修復ツールを使って、ジャンクファイルや不要ファイルを定期的に削除しましょう。マルウェアがキャッシュやログファイルに紛れて潜んでいることもあるためです。

まとめ

TrickBotマルウェアに騙されてはいけません。一見無害に見えても、悪意ある活動を開始すれば、個人情報や機密情報の多くが侵害される恐れがあります。結局のところ、自分とコンピュータを感染から守る鍵となるのは、「意識」と「予防」の2つです。

もしTrickBotマルウェアがシステムに侵入してしまった疑いがある場合でも心配はいりません。TrickBotマルウェアを駆除する方法は複数存在します。

あなたはActiveXコントロールを追加した、この新しく進化したTrickBotマルウェアに遭遇したことはありますか?ぜひコメント欄で体験談を共有してください!