トレンドマイクロは、2009年上半期、6月度のインターネット脅威マンスリーレポートを発表した。2009年上半期の日本国内における不正プログラム感染被害報告数は28,628件と、昨年の上半期の14,878件と比較すると約92%の増加。USBメモリを介した感染を行う不正プログラムとして、もっとも猛威を振るった期間となった。

2009年上半期の脅威傾向

2009年上半期の日本国内における不正プログラム感染被害報告数は28,628件と、昨年の上半期の14,878件と比較すると約92%の増加となった。ランキング(表1)では、「MAL_OTORUN(オートラン)」と「WORM_DOWNAD(ダウンアド)」の2つが上位を占めたが、この1年で常にランキングの上位を占めた不正プログラムといってもよい。「MAL_OTORUN(オートラン)」の報告数は、2008年8月以来、11カ月連続で月例の報告数で1位となった。USBメモリを介した感染を行う不正プログラムとして、もっとも猛威を振るったものといえるだろう。

2位の「WORM_DOWNAD(ダウンアド)」もまた、特徴的な不正プログラムといえる。当初は、Windowsの脆弱性を狙い、自身の感染を拡大させていた。その一方で「MAL_OTORUN」の感染手段が有効となると、その感染手段を採用した亜種が登場する。「WORM_DOWNAD」は、有効と思われる手口があれば、すばやくその手口を使った亜種が登場する点が特徴的であった。辞書攻撃を使ったパスワードクラック、偽セキュリティソフトのダウンロード、セキュリティ関連サイトへのアクセスブロックなど、非常に多くの亜種が出現し、今後もさらに続くと予想される。それ以外の不正プログラムについて、見てみよう。

2009年上半期は、4月から5月にかけて日本国内の正規Webサイトの改ざんが発生した。感染報告ランキング3位の「BKDR_AGENT(エージェント)」の亜種「JS_AGENT」を正規サイトに埋め込む手口がとられており、最終的には感染PCのFTPアカウントを盗む「TROJ_SEEKWEL(シークウェル)」がダウンロードさせられる。さらに、今回の不正プログラムが置かれた不正なWebサイトには、ラトビアや中国のサーバが悪用された。トップレベルドメイン別の取得検体数ランキング(表2)でも中国のドメイン「cn」が2位にランクインしており、中国のサーバを悪用した不正プログラムの配布が顕著であったことがうかがえる。

表1 不正プログラム感染被害報告数ランキング[2009年上半期]

順位 検出名 通称 種別 件数 前年同期順位
1位 MAL_OTORUN その他 2484件 1位 data
2位 WORM_DOWNAD ダウンアド ワーム 993件 NEW
3位 BKDR_AGENT エージェント バックドア 482件 2位
4位 TROJ_VUNDO ヴァンドー トロイの木馬型 330件 4位
5位 TSPY_ONLINEG オンラインゲーム トロイの木馬型 321件 6位
6位 TROJ_SEEKWEL シークウェル トロイの木馬型 300件 NEW
7位 JS_IFRAME アイフレーム Java Script 261件 3位
8位 MAL_HIFRM ハイフレーム その他 256件 9位
9位 BKDR_TDSS ティディエスエス バックドア 149件 NEW
10位 TROJ_DLOADER ディーローダー トロイの木馬型 136件 圏外

スレットモニタリングセンター収集データ:2009年上半期の傾向

図1と表2は、日本のリージョナルトレンドラボ、スレットモニタリングセンターで分析した不正な通信および不正ドメインの状況である。まずは、不審な通信プロトコルにつては、図1のようになった。

図1 企業ユーザの不審な通信プロトコル別割合[2009年上半期]

図1は、企業ユーザ向けネットワーク監視製品で2009年上半期に検出した不審な通信のうち、通信のプロトコル別の割合を示したものである。メールの送信時に使用されるSMTPとWebサイトにアクセスする際に使用されるHTTPで82%以上となり、ほとんどを占める。不正プログラムはHTTPを使用して別の不正プログラムをダウンロードする他に、自身のメール送信機能を使ってSMTPで情報を漏えいさせる活動を行うものもある。このような理由により、メール・Web関係の通信が大部分を占めたと推察される。次は、不正ドメインの状況である。

表2 トップレベルドメイン別の取得検体数ランキング[2009年上半期：上位10ドメイン]

順位 トップレベルドメイン名 のべ(既知および新規)
1位 com(商用サイト) 72298
2位 cn(中国) 28653
3位 net(ネットワーク) 8315
4位 pl(ポーランド) 4742
5位 org(教育機関) 4256
6位 kr(韓国) 2419
7位 ar(アルゼンチン) 2408
8位 info(情報提供) 2281
9位 fr(フランス) 1156
10位 uk(イギリス) 799

表2で注目すべきは、中国のドメイン「cn」が、「com」に次いで2009年上半期2位となったことである。これまでは取得がしやすいことから、「net」が2位であったが、数的にも大きく凌駕する結果になった。事実、4月以降確認された国内正規サイト改ざんでも、不正プログラムが置かれたリダイレクト先のサイトに中国のサーバが悪用されていたことが確認されている。

2009年6月の脅威傾向

6月の不正プログラム感染被害の総報告数は4,781件で、5月の4,496件から増加がみられる。上位に関しては、順位変動はあるものの、大きな変化は見られない。6月は、Microsoft Outlookの再設定の案内に偽装したスパムメールが確認された。本文に、「Outlookにメールを受信しているがメールを閲覧するためにはOutlookの再設定が必要である」といった内容が含まれており、添付された不正プログラムをユーザに実行させるものと、本文中の不正なURLにアクセスさせるものがある。

感染するとさらに別の不正プログラムをダウンロードし、オンラインバンキングのIDやパスワードを盗み取ろうとする。たとえ、Microsoftのような信頼性の高い組織からのメールでも、不審な点があれば不用意に添付ファイルやURLをクリックしないことである。メーカからの正式なお知らせであれば、公式のホームページなどでも紹介があるはずだ。うかつに信用しないことである。

表3 不正プログラム感染被害報告数ランキング[2009年6月]

順位 検出名 通称 種別 件数 先月
1位 MAL_OTORUN オートラン その他 412件 1位
2位 TROJ_SEEKWEL シークウェル トロイの木馬型 114件 2位
3位 BKDR_AGENT エージェント バックドア 106件 4位
4位 WORM_DOWNAD ダウンアド ワーム 102件 3位
5位 TSPY_ONLINEG オンラインゲーム トロイの木馬型 48件 5位
6位 TROJ_DLOADER ディーローダー トロイの木馬型 30件 10位
6位 WORM_AUTORUN オートラン ワーム 30件 圏外
8位 JS_IFARME アイフレーム Java Script 28件 7位
9位 MAL_HIFRM ハイフレーム その他 26件 8位
10位 MAL_OLGM オーエルジーエム その他 25件 圏外