トレンドマイクロ、２０１２年上半期国内の持続的標的型攻撃（ＡＰＴ）に関する傾向を公開

−２０１２年上半期国内における持続的標的型攻撃（ＡＰＴ）の傾向を公開−
国内で最も多く利用された遠隔操作ツールによる攻撃の関連性を分析
抽出したサンプルの約半数に共通する攻撃インフラを確認


　トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長　兼　ＣＥＯ：エバ・チェン　東証一部：４７０４、以下、トレンドマイクロ）は、２０１２年上半期（１月〜６月）国内における持続的標的型攻撃（ＡＰＴ：Ａｄｖａｎｃｅｄ　Ｐｅｒｓｉｓｔｅｎｔ　Ｔｈｒｅａｔ）に関する傾向レポートを本日公開したことをお知らせします。


　　○２０１２年上半期国内における持続的標的型攻撃の傾向：
　　　https://inet.trendmicro.co.jp/doc_dl/select.asp?type=1&cid=81

　本レポートは、当社の調査・研究組織であるリージョナルトレンドラボ、フォワードルッキングスレットリサーチが国内における持続的標的型攻撃の傾向を分析した報告書です。

　２０１２年上半期に国内で確認した標的型攻撃に使用されたバックドア（情報漏えい）型の不正プログラムとして、ＢＫＤＲ＿ＰＯＩＳＯＮまたはＢＫＤＲ＿ＤＡＲＫＭＯＯＮが約４割（３８％）を占めました。これらの不正プログラムは、Ｗｅｂで無償公開されている遠隔操作ツール「ＰｏｉｓｏｎＩｖｙ」で作成され、ファイルやプロセスの操作、リモートシェルの実行、スクリーンやカメラのキャプチャ取得、マウスやキーボードの操作等が可能であり、悪意のあるユーザがプログラムの通信先（指令サーバ）や操作を実行するためのパスワード等を独自に設定し、情報の不正な窃取に利用します。

　２０１２年上半期に確認された「ＰｏｉｓｏｎＩｖｙ」のサンプル群から５０個を任意に抽出し調査した結果、約半数のサンプル間に一連の攻撃としての関連性が認められ、３台の指令サーバ（Ｃ＆ＣサーバのＩＰアドレス）を含む攻撃インフラの存在が確認できました。

　また、この攻撃インフラを過去に遡り調査した結果、もうひとつの指令サーバが確認され、これらのＩＰアドレスのレンジから、さらに３台の指令サーバが存在することがわかりました。この攻撃インフラは少なくとも２００９年から使用されており、そのうち７台の指令サーバの存在が明らかになりました。これらの調査結果に基づき、当社では特定の不正プログラム群に共通した挙動に着目したファイルや通信の検出や、指令サーバ群の特定による攻撃元のブロックにより、早期の対策を提供してまいります。



＜２０１２年上半期国内における持続的標的型攻撃の傾向レポートのサマリ＞

■２０１２年上半期の傾向
○侵入・感染：　受信者が疑いにくい電子メールの添付ファイルとして侵入

　・メール添付ファイルの形式：　６７％が文書・画像ファイル（※１）
　
　　※１：標的型攻撃に使用されたメールの添付ファイル１００個を調査

　・メールの偽装：　組織内の会議情報など実在のメールの転用、メール不達時の自動応答メール、標的組織の取扱品の注文依頼、標的組織への履歴書送付の問い合わせに偽装した例を確認


○情報の収集・窃取：　通常のＷｅｂ通信に見せかけた隠ぺい工作
　・不正プログラム：３８％が「ＢＫＤＲ＿ＰＯＩＳＯＮ」「ＢＫＤＲ＿ＤＡＲＫＭＯＯＮ」（ＰｏｉｓｏｎＩｖｙ）（※２）
　・通信ポート：６０％がポート８０、３２％がポート４４３（※２）

　　※２　標的型攻撃に使用された不正プログラム５０個を調査


■ＰｏｉｓｏｎＩｖｙによる標的型攻撃の分析
　・２０１２年上半期に収集・抽出した５０サンプルのうち、約半数が同一の攻撃インフラを利用、また、少なくとも２００９年からこのインフラが攻撃に利用されていたことを確認
　・巧妙化の一例として、標的組織のプロキシサーバ情報をハードコードしたサンプルを確認


※ＴＲＥＮＤＭＩＣＲＯはトレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。

　Ｃｏｐｙｒｉｇｈｔ　（ｃ）　２０１２　Ｔｒｅｎｄ　Ｍｉｃｒｏ　Ｉｎｃｏｒｐｏｒａｔｅｄ．　Ａｌｌ　Ｒｉｇｈｔｓ　Ｒｅｓｅｒｖｅｄ．


＜読者様からのお問い合わせ先＞
　トレンドマイクロ株式会社　営業
　ＴＥＬ：０３−５３３４−３６０１
　ＵＲＬ：http://www.trendmicro.co.jp