こんにちは。
皆さんは、取引先との情報共有にファイル転送サービスを利用したことはありますか？サイズの大きいファイルをやり取りする場合などに利用する機会もあるかもしれません。

今回ご紹介するのは、利用者が大手ファイル転送サービスの広告をクリックしたことをきっかけに、認証情報窃取型マルウェアに感染してしまった事例です。

■ 3つのポイント

① 有名サービスであっても安心できない

今回の事例は、取引先から送られてきた大手のファイル転送サービスの広告をクリックしたことがきっかけでした。正規サービスの広告として悪意のあるページが表示される場合、利用者自身が正規・不正を見分けることは容易ではありません。

② デバイス侵害は時間との勝負

ユーザーが広告をクリックしてから、認証情報が窃取されるまで、わずか 1 分足らずしか要していませんでした。今回はデバイスのリスクレベルが上昇したため自動的に隔離され、被害の拡大を抑えることができました。また、パスワード変更、認証トークンのリフレッシュ、端末初期化といった対処も迅速に実施できました。

③ ログやアラート監視は重要
今回の事例で最も重要だったのは、利用者からの申告ではなく、NRAS の監視によって異常な挙動を早期に発見できたことです。
ユーザーは「クレジットカード情報を入力していないから問題ない」と認識していましたが、実際にはバックグラウンドで認証情報窃取を目的とした不正プログラムが実行されていました。

■ 何がおこったか

今回の事例は、ユーザーがファイル転送サービスへアクセスした際に、誤って広告リンクをクリックしてしまい、ブラウザ経由で「Setup.exe」がダウンロード・実行されたことがきっかけで発生しました。

クリックした先ではクレジットカード情報の入力を求める画面が表示され、違和感を覚えたユーザーはすぐに画面を閉じましたが、その裏では既に不正プログラムが起動していました。

ログを確認したところ、「Setup.exe」は不審なドメイン（cdn.pcappstore[.]com）からダウンロードされたものであり、実行後は「addF708.tmp.exe」を経由して「DSR.exe」が展開・起動されるという、複数階層にわたるプロセス連鎖が確認されました。ファイル転送サービスとは無関係なドメインから展開されたこの一連のプロセス連鎖から、正規アプリケーションではなく攻撃チェーンの一部として投下されたファイルであることがうかがえます。

さらに調査を進めたところ、「DSR.exe」はブラウザに保存された認証情報を標的とした挙動を行っていることが判明しました。具体的には、Microsoft Edge や Google Chrome の保存データへアクセスし、プロセスへの DLL Injection によってブラウザ内部の復号処理を悪用しながら、認証情報の取得・復号を試みる動作が確認されました。これらの挙動は、Setup.exe の実行からわずか 1 分足らずのうちに確認されており、一度実行されると短時間で被害が進行しうる危険性がうかがえます。

加えて、「Setup.exe」はキーボード入力の監視を開始していたほか、レジストリの Run キーへ設定を追加し、PC 起動後に自動的に動作するよう設定を変更していました。このことから、不正プログラムが継続的に端末上で動作するための準備を進めていたことが確認できます。また、デバイスの通信履歴を確認したところ、幾度にもわたりダウンロード元 URL へ外部通信を行っていることが確認できました。

その後、当該端末のリスクレベルが上昇したことを NRAS が検知し、端末を自動隔離した上でお客様へ通知を実施しました。最終的に、端末初期化およびパスワード変更、認証トークンのリフレッシュを実施いただき、被害拡大を食い止めることができました。

■ NRAS でできること

今回の事例は、「怪しい広告リンクをクリックしてしまった」という単純な話ではありません。 ユーザーは正規のファイル転送サービスを利用するつもりでアクセスしており、クレジットカード情報を入力しなかったことから「問題ない」と認識していました。

しかし実際には、その裏で認証情報窃取型マルウェアが実行され、ブラウザに保存された認証情報を狙った活動がすでに始まっていました。

NRAS では、こうした利用者自身では気付きにくい端末上の不審な挙動を継続的に監視しています。今回も認証情報窃取の兆候を早期に検知し、お客様へ迅速に通知することで、パスワード変更や端末初期化といった対策に素早くつなげることができました。

攻撃者の手口が巧妙化する中、利用者の注意だけで全ての脅威を防ぐことは困難です。NRAS は、利用者の気付きに頼らず不審な挙動そのものを検知し、被害拡大前の対処につなげる役割を担っています。

：

日々巧妙化するフィッシングサイトや広告型マルウェアに対して、「利用者任せにしない防御」を考えてみませんか？
NRAS の導入について、お問い合せをお待ちしております。

【サービス詳細】
NR Automate Security（ NRAS）
https://nextread.co.jp/service-nras/

【関連記事】
「すごいぞ NRAS！対応事例のご紹介」シリーズ
・その「請求書」信用できますか？ファイル展開をきっかけに端末侵害が起こった事例
https://nextread.co.jp/column-casestudy/nr-automate-security08/