PR

 情報処理推進機構(IPA)は2014年5月30日、2013年度における「サイバー情報共有イニシアティブ(J-CSIP)」活動レポートを公開し、「やり取り型」標的型攻撃の事例を紹介した。攻撃者は攻撃を通じて“学習”し、手口を巧妙化させていくという。

 J-CSIPとは、重要インフラ関連企業などで組織される、標的型攻撃に対する防御などに向けた情報共有の枠組み(関連記事)。IPAが情報の集約や分析を行い、参加組織間で情報を共有する。

 今回公開されたのは、2013年度(2013年4月~2014年3月)におけるJ-CSIPの活動レポート。共有された情報の概要や、特徴的な攻撃の一部を解説し、一般企業の標的型攻撃対策に役立ててもらうことが狙い。

 今回のレポートでは、やり取り型の標的型攻撃(やり取り型攻撃)について、特に詳細に解説した。ここでの「やり取り型」とは、無害のメールのやり取りをした後に、ウイルス(マルウエア)を添付した攻撃メールを送信する手口のこと(関連記事:本物のメールがサンプルに)。やり取り型は2012年に確認され、以降、相次いでいるという(関連記事:「メールをやり取りして信用させる」――巧妙化する標的型攻撃

 今回解説された攻撃事例からは、攻撃者が攻撃を通じて“学習”していることが判明した。送ったウイルスが相手の環境で開けないことが分かると“修正”し、以降は、別の企業に対しても、修正済みのウイルスを送るようになったという。具体的な流れは以下の通り()。

図●今回報告された、「やり取り型」標的型攻撃の流れ(IPAの発表資料から引用)
[画像のクリックで拡大表示]

 攻撃者はまず、標的とした企業の製品に対する問い合わせのメールを、その企業の問い合わせ窓口に送信した(図中の番号#4-1に該当)。このメールにはウイルスを添付していない。偵察目的なので、IPAでは「偵察メール」としている。

 その企業の窓口では、攻撃者に対して返信(#4-2)。その返信メールから6日後に、攻撃者はウイルス添付メールを送信した(#4-3)。ウイルスにはWordの脆弱性を悪用する仕掛けが施されていたため、脆弱性のあるWordで開くと感染する恐れがあった。