あなたの企業は大丈夫でしょうか？

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、冒頭のVPNの認証情報が流出した件、このようなことが起きていてはVPN接続をしている意味がなくなってしまいます。

しかし、この問題はごく単純なものでもあるようです。

VPNの認証情報などが流出した理由

『COVID-19（新型コロナウイルス感染症）』の影響で、社外から組織内部へのアクセスにはVPNが使われています。

しかし、今回は結構な大手企業の情報も流出していると報道されています。

この原因は、脆弱性を修正したパッチを当てていなかったことと報道されています。

メーカーやセキュリティ機関では繰り返し注意喚起を行ってきたようですが、残念ながら修正パッチを当てていなかった企業が狙われてしまったということです。

このように、セキュリティ上の脆弱性は常に最新の修正パッチを適用しておく必要性がありますが、今回のようなことが大手企業でも起こるということは人的リソースに余裕がないのでしょうか？

いずれにしても今後も在宅勤務などのテレワークは続きます。

今一度見直しをされることが必要となりそうです。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

さて、今日は実在の人物や組織になりすましたメールを送り付け、添付ファイルを開くことでウイルスに感染する『Emotet（エモテット）』に関する注意喚起です。

なりすましメールでの感染に注意

JPCERTコーディネーションセンターによると、このマルウエア『Emotet（エモテット）』は主にメールに添付された『Word形式のファイル』を実行し、コンテンツの有効化を実行することで感染に繋がることが分かっているそうで、実際に感染に繋がる可能性のあるメールの例は以下のようになっているとされています。

・メールアカウント名＜実際の送信元アドレス＞

・RE：実際に送受信したメールの件名

・メールの受信者名

・Word形式の添付ファイル

・メール本文

・感染したメールアドレス

・実際に受信したメール本文

・実際に受信したメールに含まれる履歴

このような感じになっているようですが、確かに実際にやりとりしたメール履歴からの返信メールを装われていると表面的には疑わないかと思います。

これは、マルウエア『Emotet（エモテット）』が窃取した情報などを元に独自に作成されているものに加え、実際の組織間のメールのやりとりの内容を転用することで、感染元から送信先への返信を装うものがあるとされているため、注意が必要です。

そして、添付ファイルにはコンテンツの有効化を促す内容が記載されているようで、有効化してしまうと『Emotet（エモテット）』がダウンロードされてしまいます。

※　Wordの設定によっては有効化の警告が表示されずに『Emotet（エモテット）』がダウンロードされる場合もあります。

この『Emotet（エモテット）』に感染した場合、次のような影響が発生する可能性があるとされています。

・端末やブラウザに保存されたパスワード等の認証情報が窃取される

・窃取されたパスワードを悪用され SMB によりネットワーク内に感染が広がる

・メールアカウントとパスワードが窃取される

・メール本文とアドレス帳の情報が窃取される

・窃取されたメールアカウントや本文などが悪用され、Emotet の感染を広げるメールが送信される

また、『Emotet（エモテット）』の感染予防対策などとしては、次のようなことを検討します。

・組織内への注意喚起の実施

・Word マクロの自動実行の無効化 ※

・メールセキュリティ製品の導入によるマルウエア付きメールの検知

・メールの監査ログの有効化

・OS に定期的にパッチを適用 (SMBの脆弱性をついた感染拡大に対する対策)

・定期的なオフラインバックアップの取得（標的型ランサムウエア攻撃に対する対策）

※ Microsoft Office Word のセキュリティセンターのマクロの設定で、「警告を表示してすべてのマクロを無効にする」を選択する。

もし感染してしまった場合、

・感染した端末のネットワークからの隔離

・感染した端末が利用していたメールアカウントのパスワード変更

・ 組織内の全端末のウイルス対策ソフトによるフルスキャン

・感染した端末を利用していたアカウントのパスワード変更

・ネットワークトラフィックログの監視

・調査後の感染した端末の初期化

これらの対応も必要になってきます。

ご注意ください。

New VPNFilter malware targets at least 500K networking devices worldwide.
（新しいVPNFilterマルウェアは、世界中で少なくとも500,000台のネットワークデバイスをターゲットとしている。）

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

2016年から確認され、今年の5月から感染拡大している『VPNFilter』と呼ばれるマルウェアに対し、FBIもこう呼びかけています。

一般ユーザーや小企業向けのルータの全所有者に再起動を求めている。

感染が拡大するVPNFilterに注意

ネットワーク機器をターゲットとするマルウェア『VPNFilter』は、少なくとも54カ国50万台のデバイスに感染したと推定され、QNAP、Linksys、MikroTik、NETGEAR、TP-Linkの製品が対象となっているとCisco Talosは公表しています。

感染した場合、次のような段階を経て情報窃取やシステム破壊を行うことが確認されているようです。

１．攻撃に必要なモジュールをC2サーバから継続的にダウンロードするための環境設定

２．ファイル収集、デバイス管理などの情報窃取、システム破壊などを実現するモジュールのダウンロード

３．通信内容の情報窃取やC2サーバとの通信の秘匿化などの機能拡張

※　C2サーバとは、不正に乗っ取ったコンピュータのコントロール役を担うサーバ

感染原因はまだ判明していないものの、ネットワーク機器の脆弱性やデフォルトの認証情報を悪用している可能性があるとされています。

また、該当のネットワーク機器を使用している場合、次の対策の実施が推奨されています。

１．対象デバイスを工場出荷時の初期状態にリセットし、再起動する

２．ファームウェア、ソフトウェアのバージョンを最新にする

３．感染が疑われた場合、機器の製造元へ相談する

参考：Cisco Talos『New VPNFilter malware targets at least 500K networking devices worldwide』

以上、ご注意ください。

皆さん、こんにちは。

業務改善を行うIT・業務コンサルタント、高橋です。

日本においては銀行やクレジットカードの情報が主に狙われているとされるマルウェアが、昨年から横行するようになったようですが、それが先月から今月あたりにかけて再び活発化しているようです。

銀行情報を狙うマルウェア『Ursnif』

この『Ursnif』と呼ばれるマルウェアですが、攻撃手法としてはスパムメール、不正プログラムによるリモートサイトからダウンロード、リムーバブルドライブやネットワーク共有を介しての拡散などが確認されています。

スパムメールの場合、メールの件名としては『公共料金請求書データ送付の件』、『商品発送のお知らせ』といった件名でメールが送りつけられ、添付ファイルや本文中のリンクをクリックさせて感染させようとするものです。

日本においては、銀行やクレジットカードの情報が狙われているほか、Webメール、クラウドストレージ、仮想通貨プラットフォーム、電子商取引サイトのユーザー認証情報などを盗もうとする亜種も出回っているとの情報もあります。

これらの悪質なメールや不正プログラムなどがゼロになることはありません。

従って、自己防衛する以外にはないと考えなければいけません。

そのためには、セキュリティ（ウイルス）対策ソフトは当然必須ですし、メールが届いてしまった場合においては自身で注意を払い、怪しいサイトへのアクセスも絶対に行わないなど、普段からの注意と心掛けが必要です。