ソフォスの佐々木 潤世氏

　従来のランサムウェア攻撃は、数百万件のメールを自動配信するなど不特定多数を狙う手法を取っていた。自動化された手法は予測可能であり、防衛されやすい。ランサムウェア攻撃を仕掛ける攻撃者はそのような事情を受け、特定の企業や団体を標的とし、臨機応変に攻撃を実施する標的型攻撃を採用し始めたと佐々木氏は説明する。標的を絞ったランサムウェアによる攻撃で標的の弱みを握り、身代金を要求する手口だ。

　例えば2018年3月に、米アトランタ市政府がランサムウェア「SamSam」によるとみられる攻撃を受けたことが明らかになり、同政府は財政データなどのバックアップを「人質」に身代金を要求された。2016年1月～2018年11月のSamSamを用いたサイバー攻撃による身代金の被害総額は670万ドルに上り、1回当たりの被害額平均はおよそ4万ドルだったと、Sophosの研究機関SophosLabは推計する。標的の数を減らす代わりに、1回当たりの被害額を大きくする――ランサムウェア攻撃を仕掛ける攻撃者が、標的型攻撃を採用する狙いはここにある。

組み込みツールで実行する「環境寄生型攻撃」

写真1：攻撃スクリプトを複数に分け、セキュリティシステムの検知から逃れやすくする（出典：ソフォス）

　近年になり攻撃手段を「現地調達」するケースも増加していると佐々木氏は述べる。コマンドラインインタフェース「Windows PowerShell」など、攻撃対象のシステムに備わっている基本ツールを利用してスクリプトを実行する手法が、環境寄生型攻撃だ。こうしたツールをシステム管理者が無効にすることは非現実的であり、環境寄生型攻撃を防ぐことは難しい。

　攻撃者は、環境寄生型攻撃そのものを検出させにくくするための手法も開発している。佐々木氏は「攻撃スクリプトを単一のマルウェアだけに実行させる方法は古くから存在する。近年の攻撃者は段階的な攻撃方法を用い、脅威検出プログラムの目をごまかす」と解説する（写真1）。例えば攻撃スクリプトを細切れにして順次実行したり、ネットワーク経由でマルウェアを取得するような指示を与えたりするという。

モバイルとIoTデバイスへの攻撃

　モバイルデバイスは広く普及し、企業導入も進んでいるが、同時にそれらへの攻撃機会も増えると佐々木氏は予想する。同氏が取り上げた「フィッシング・イン・ザ・アプリ」と呼ばれる手法では、攻撃者はアプリケーションにWebブラウザ機能だけを持たせ、接続先としてフィッシングサイトを表示させる。アプリ本体はマルウェアとしての悪質な機能を持たないため、AndroidやiOSの公式アプリストアの審査をすり抜けてしまう。「モバイルジャッキング」では、違法なマイニングを実行する断片的なプログラムをアプリに仕込む。そうすることで、モバイルデバイスのユーザーは知らない間に違法行為に加担させられるだけでなく、余計なバッテリーや通信量を消費させられる。

　IoT化の進行により、さまざまなデバイスがネットワークへ参加するようになることも、攻撃機会の増加につながる。「攻撃者がIoT機器を侵害し、botネット（感染した端末で構成されるネットワーク）に加える目的で攻撃を仕掛けてくる機会も増えるだろう」と佐々木氏は語る。