PR
図1 今回の標的型攻撃で使われたメール(IPAの情報から引用)。添付されている「3月30日放射線量の状況.doc」が攻撃用のウイルス
図1 今回の標的型攻撃で使われたメール(IPAの情報から引用)。添付されている「3月30日放射線量の状況.doc」が攻撃用のウイルス
[画像のクリックで拡大表示]
図2 添付ファイル実行後の画面遷移例(IPAの情報から引用)。ファイルを実行すると、文書のないWordの画面が表示される(上図)がすぐに消え、ウイルスが動き出す。その直後、ダミーのWord文書ファイルが開かれる(下図)
図2 添付ファイル実行後の画面遷移例(IPAの情報から引用)。ファイルを実行すると、文書のないWordの画面が表示される(上図)がすぐに消え、ウイルスが動き出す。その直後、ダミーのWord文書ファイルが開かれる(下図)
[画像のクリックで拡大表示]

 情報処理推進機構(IPA)は2011年9月29日、同年3月末に出現した標的型攻撃を解析し、その内容を報告した。攻撃では、Officeの脆弱性を突くウイルスが、東日本大震災に関連した情報に見せかけたメールに添付されて送られてきたという。

 特定の企業や団体を狙った標的型攻撃が相次いでいる。標的型攻撃の多くでは、ウイルス添付メールが使われる。攻撃者は、標的とした企業の社員にウイルス添付メールを送信し、“言葉巧み”にウイルスを実行させる。

 具体的には、メールの送信者や件名などを偽装するとともに、添付したウイルスを有用なファイルに見せかける。このように、ユーザーをだます攻撃手法は「ソーシャルエンジニアリング攻撃」と呼ばれる。

 ウイルスを実行したパソコンは乗っ取られ、遠隔から操作されるようになる。攻撃者はそのパソコンを踏み台にして企業ネットワークに侵入し、機密情報を盗むなどの悪事を行う。

 今回IPAでは、標的型攻撃の対策を促進するために、IPAが分析した具体例の一つを報告した。報告された攻撃では、メールおよび添付したウイルスを、東日本大震災に関連した情報に見せかけて、ユーザーをだまそうとした(図1)。

 攻撃に使われたメールの件名は「3月30日放射線量の状況」で、本文は空白。添付ファイルの名前は「3月30日放射線量の状況.doc」。拡張子から分かるように、Wordの文書ファイルである。

 このファイルには、Officeの脆弱性を悪用する仕掛けが施されている。このため、その脆弱性が存在するWordで開くと、仕込まれたウイルスが動き出して感染する。感染後、ウイルスは無害の文書ファイルをWordに開かせて、ユーザーの目をあざむく(図2)。

 悪用された脆弱性を修正するパッチは、4月13日に公開された。一方、攻撃メールの送信日時は3月31日。つまり、攻撃メールが出回った時点では、修正パッチは未公開。未修正の脆弱性(ゼロデイ脆弱性)を悪用する、いわゆるゼロデイ攻撃であり、修正パッチをきちんと適用しているユーザーでも被害に遭う恐れがあった。

 感染したウイルスはパソコンを乗っ取り、攻撃者の支配下にあるサーバーに接続。攻撃者からの命令を受けて、7月12日にウイルス自身を“アップデート”したという。このケースでは確認されなかったが、一般には、感染パソコンから重要な情報が盗まれることも多い。感染パソコンを踏み台にして、ネットワークに侵入される危険性もある。

 IPAでは、今回のような攻撃による被害を防ぐには、パソコンへの感染を防ぐ「入口対策」に加え、攻撃者のサーバーとの通信を遮断する「出口対策」が重要だとしている。