マルウェアとは?

マルウェアは巧妙な手口を使用して、デバイスの通常使用を妨害します。サイバー犯罪者は、フィッシング メール、感染ファイル、システムまたはソフトウェアの脆弱性、感染した USB フラッシュ ドライブ、悪意のある Web サイトなど、1 つ以上の異なる手法でデバイスにアクセスできるようになると、追加攻撃の開始、アカウント認証情報の取得、売却する個人情報の収集、コンピューティング リソースへのアクセス権の売却、被害者からの支払いの強要などを行うことで、その状況を利用します。

誰もがマルウェア攻撃の被害を被るおそれがあります。攻撃者がマルウェアで被害者を狙ういくつかの方法の見分け方を知っているかもしれませんが、サイバー犯罪者は巧妙で、テクノロジやセキュリティの改善に合わせて常に手法を進化させています。また、マルウェア攻撃は、マルウェアの種類によって見た目も動作も異なります。たとえば、ルートキット攻撃の被害者は、攻撃されたことに気づかない可能性があります。この種のマルウェアは目立たず、できるだけ長い間気づかれないように設計されているからです。

世の中には多くの種類のマルウェアがあります。ここでは最も一般的なものをいくつか紹介します。


アドウェア

アドウェアは、所有者の同意なしにデバイスに自身をインストールし、広告を表示またはダウンロードするために、多くの場合、ポップアップ形式でクリックから利益を得ます。これらの広告は、多くの場合、デバイスのパフォーマンスを低下させます。さらに危険な種類のアドウェアでは、追加のソフトウェアのインストールやブラウザー設定の変更が行われることもあり、デバイスが脆弱なままになるため、さらにマルウェア攻撃を受けるおそれがあります。


ボットネット

ボットネットは、攻撃者によってリモートで制御される感染したデバイスのネットワークです。これらのネットワークは、多くの場合、分散型サービス拒否（DDoS）攻撃、スパム、またはデータの窃取などの大規模な攻撃に使用されます。


クリプトジャッキング

暗号通貨の大衆化が進んだことで、仮想通貨のマイニングは利益が期待できる行為となりました。クリプトジャッキングは、所有者の知らないうちに暗号通貨をマイニングするためにデバイスの計算能力をハイジャックし、感染したシステムを著しく低速化します。この種のマルウェアの感染は多くの場合、メール添付ファイルを用いてマルウェアのインストールを試みるか、Web サイトで Web ブラウザーの脆弱性を利用するか、あるいはコンピューターの処理能力を利用してマルウェアをデバイスに追加するといった方法で行われます。

悪意のあるクリプトジャッキングの攻撃者は、複雑な数学的計算を使用してブロックチェーン台帳、または分散型デジタル記録保持システムを維持し、新しい仮想通過を作成するできるように計算リソースを窃取します。ただし、仮想通貨マイニングは、比較的少量の暗号通貨を盗むために大量のコンピューター処理能力を消費します。このような理由から、サイバー犯罪者は多くの場合、チームで活動して利益を最大化し、利益を分け合います。

ただし、すべての仮想通貨マイナーが犯罪というわけではなく、個人や組織がハードウェアや電力を購入して正当な仮想通貨マイニングを行うこともあります。サイバー犯罪者が企業のネットワークに無断で侵入し、その計算能力をマイニングに利用することで、この行為は犯罪になります。


悪用および悪用キット

悪用は、ソフトウェアの脆弱性を利用してコンピュータのセキュリティ セーフガードを回避し、マルウェアをインストールします。悪意のあるハッカーは、重大な脆弱性が含まれている古いシステムをスキャンし、マルウェアを展開することで、その脆弱性を悪用します。悪用にシェルコードを組み込むことで、サイバー犯罪者はさらにマルウェアをダウンロードしてデバイスを感染させ、組織に侵入できるようになります。

悪用キットは、サイバー犯罪者が既知のソフトウェアの脆弱性を見つけて悪用するために使用する自動化ツールであり、それらによって迅速かつ効率的に攻撃を開始することができます。感染するおそれのあるソフトウェアとして、Adobe Flash Player、Adobe Reader、Web ブラウザー、Oracle Java、Sun Java などが挙げられます。一般的な悪用キットの種類には、Angler/Axpergle、Neutrino、Nuclear などがあります。

悪用と悪用キットでは通常、ネットワークやデバイスを侵害する手段として悪意のある Web サイトまたはメール添付ファイルが使用されますが、時には正当な Web サイト上の広告に隠れていることもあります。


ファイルレス マルウェア

このサイバー攻撃の種類は、ネットワークを侵害する手段としてファイル (感染したメール添付ファイルなど) を使用しないマルウェア全般が該当します。たとえば、悪意のあるネットワーク パケット、またはコンピュータ ネットワークを介して転送される大きなデータセットの小さなセグメントを介して到着し、脆弱性を悪用してマルウェアをインストールし、カーネルメモリ内にのみ存在することがあります。ファイルレスの脅威は特に検出と除去が困難ですが、その理由は、ほとんどのウイルス対策プログラムはファームウェアをスキャンするようには作られていないからです。


ランサムウェア

ランサムウェアはマルウェアの一種であり、身代金を支払わなければ、重要なデータを破壊する、あるいはアクセスできなくすると、被害者を脅迫するものです。人間が操作するランサムウェア攻撃は組織を標的とするものであり、システムとセキュリティの一般的な構成の誤りを通して組織に侵入し、そのエンタープライズ ネットワークの中を移動して、その環境と弱点に順応します。ランサムウェアを送り込むために組織のネットワークへのアクセスを獲得する一般的な方法の 1 つは、資格情報を盗むことです。つまり、実在の従業員の資格情報を盗み、その従業員になりすまして、そのアカウントへのアクセスを獲得します。

人間が操作するランサムウェアを用いる攻撃者は、大規模な組織を標的としますが、その理由は平均的な個人と比較して高額の身代金支払いが可能であるからであり、その金額は数百万ドルに及ぶこともよくあります。この規模の侵害に伴う高いリスクのため、多くの組織は機密データが漏洩したり、さらなる攻撃のリスクを負ったりするよりも、身代金を支払うことを選択します。ただし、支払いによって、どちらの結果も防止できると保証されるわけではありません。

人間が操作するランサムウェア攻撃が増えるにつれて、この攻撃の背後にいる犯罪者の組織化が進んでいます。実際に、多くのランサムウェア活動で "サービスとしてのランサムウェア" モデルが使用されるようになっています。つまり、犯罪者の開発者グループがランサムウェア自体を作成し、別のサイバー犯罪者グループを雇って組織のネットワークをハッキングしてランサムウェアをインストールし、その両者が合意した割合で利益を分配します。


ルートキット

ルートキットを使用するサイバー犯罪者は、マルウェアを特定のデバイス上に可能な限り長期間潜ませます。時にはこれが数年に及ぶこともあり、その間に情報とリソースを継続的に盗みます。標準のオペレーティング システムのプロセスを横取りして変更することで、ツールキットは、デバイスが自己報告する情報を変更することが可能になります。たとえば、ルートキットに感染したデバイスは、実行中のプログラムの正確なリストを示さないことがあります。ルートキットを利用すると、サイバー犯罪者は管理者特権や昇格されたデバイス特権も得られるので、特定のデバイスを完全に支配して、データの窃取、被害者の行動の監視、追加のマルウェアのインストールなどを実行できるようになります。


スパイウェア

スパイウェアは、ユーザーの知らないうちに個人情報や機密情報を収集し、多くの場合、ブラウズ習慣、ログイン認証情報、または金融情報を追跡します。これらは、なりすましに使用されたり、第三者に販売されたりする可能性があります。


サプライ チェーン攻撃

この種のマルウェアは、ソフトウェアの開発者とプロバイダーを標的とするものであり、正当なアプリのソース コード、ビルド プロセス、または更新メカニズムへのアクセスを試みます。サイバー犯罪者は、セキュアでないネットワーク プロトコル、保護されていないサーバー インフラストラクチャ、または安全でないコーディング手法を見つけると、侵入してソース コードを変更し、ビルドと更新のプロセスにマルウェアを隠します。侵害されたソフトウェアが顧客に送信されると、顧客のシステムも感染します。


テクニカル サポート詐欺

業界全体の問題であるテクニカル サポート詐欺では、恐怖をあおる戦術が用いられます。つまり、デバイス、プラットフォーム、またはソフトウェアについて、実際には存在しない問題を修復できるとうたう不必要なテクニカル サポート サービスの料金を、ユーザーをだまして支払わせるというものです。このタイプのマルウェアでは、サイバー犯罪者が誰かに直接電話をかけ、ソフトウェア会社の従業員を装ったり、システム警告に見えるように設計されたクリック可能な広告を作成したりします。相手の信頼が得られると、攻撃者は多くの場合、アプリケーションをインストールさせようとするか、その人のデバイスへのリモート アクセスを許可するよう求めます。


トロイの木馬

トロイの木馬は、正当なソフトウェアを装って人々を騙し、ダウンロードさせます。ダウンロードされると、次のようなことを行います。
 

• 別のマルウェア (ウイルスやワームなど) をダウンロードしてインストールします。
• 感染したデバイスをクリック詐欺に利用し、ボタン、広告、またはリンクのクリックを人工的に増加させます。
• キーストロークとユーザーがアクセスした Web サイトを記録します。
• 感染したデバイスに関する情報 (パスワード、ログイン詳細、閲覧履歴など) を、悪意のあるハッカーに送信します。
• 感染したデバイスをサイバー犯罪者に支配させます。
   

ワーム

ほとんどの場合、ワームはメール添付ファイル、テキスト メッセージ、ファイル共有プログラム、ソーシャル ネットワーキング サイト、およびリムーバブル ドライブで検出され、セキュリティの脆弱性を悪用して自身をコピーすることでネットワークを通じて拡散します。ワームの種類によっては、機密情報を盗む、セキュリティ設定を変更する、あるいはユーザーがファイルにアクセスできないようにすることもあります。ウイルスとは異なり、ワームは拡散するために人間の操作を必要とせず、単独で自身を複製します。


ウイルス

ウイルスは、感染したデバイス上のデータを妨害または破壊するように設計された最も古い形式のマルウェアの 1 つです。通常、悪意のあるファイルやメールの添付ファイルを開くと、システムに感染し、複製します。

マルウェアは企業に重大な損害を引き起こす可能性があり、その影響は初期の攻撃を超えて広がります。
 

• 財務上の損失。身代金、回復費用、ダウンタイム中の収益損失を含む財務上のコストは、マルウェア攻撃の一般的な結果です。
• データ侵害とプライバシーの問題。マルウェアはデータの盗難を引き起こし、顧客データや知的財産などの機密情報が侵害される恐れがあります。
• 運用の中断。攻撃は、従業員が重要なシステムやデータにアクセスできなくして、ビジネスの運営を停止させることがあります。
• 風評被害。攻撃が公知されると、信頼を失い、顧客関係や長期的なビジネスの見通しを損なう可能性があります。

マルウェアの早期検出は、システムへの損害を最小限に抑えるために重要です。マルウェアは、パフォーマンスの低下、頻繁なクラッシュ、予期しないポップアップやプログラムなど、微妙な兆候を示すことがよくあり、これが侵害の兆候である可能性があります。

企業は、ウイルス対策ソフトウェアやファイアウォール、エンドポイントでの検出と対応 (EDR) システム、管理された検出と応答 (MDR) サービス、拡張検出と応答 (XDR) ソリューション、およびサイバー脅威の追求プロセスを含むさまざまなツールを使用してマルウェアを検出します。EDR がエンドポイントレベルでの脅威の検出と対応に重点を置いている一方、XDR はエンドポイントを超えて、メール、ID、クラウドアプリなどの複数のドメインにわたって兆候を相関させ、脅威の包括的なビューを提供します。MDR は、これらのツールをエキスパート主導の監視および応答サービスと組み合わせ、企業が脅威を管理するための追加のサポートを提供します。

異常なアクティビティが検出された場合、フルシステムスキャンを実行し、ログを確認すると、マルウェアの存在を確定するのに役立ちます。EDR は、このプロセスにおいて重要な役割を果たし、侵害されたエンドポイントを特定して隔離します。一方、XDR は組織全体にわたって検出を拡張し、攻撃のエンドツーエンドの可視性を提供します。MDR サービスは、継続的な監視とエキスパートによる分析でこのプロセスをさらに強化し、より迅速で効果的な応答を可能にします。これらのツールとサービスは、マルウェアの脅威を検出し、軽減するための統一されたアプローチを提供し、企業が損害をある程度の範囲内に収め、セキュリティを維持するのに役立ちます。

マルウェアを防ぐには、セキュリティに対するプロアクティブなアプローチが必要であり、効果的に除去できるかどうかは、早期に検出し、迅速に処理できるかどうかにかかっています。組織は、脅威をすばやく特定し軽減する包括的な方法を提供する脅威検出と応答のための高度なソリューションとアンチウイルスプログラムの組み合わせを使用して、マルウェア攻撃をブロックまたは検出できます。

マルウェア攻撃を防ぐためのいくつかの方法を次に示します。


ウイルス対策プログラムをインストールする

最善の保護の形は、防止です。組織は、Microsoft Defender for Endpoint などのマルウェア対策を含む信頼できるセキュリティ ソリューションを使用することで、多くのマルウェア攻撃をブロックまたは検出できます。このようなプログラムを使用すると、開こうとしたファイルまたはリンクをすべて、事前にデバイスがスキャンし、安全であることを確認します。ファイルまたは Web サイトが悪意のあるものの場合、プログラムは警告を表示し、開かないように提案します。これらのプログラムでは、既に感染しているデバイスからマルウェアを除去することもできます。


メールとエンドポイントの保護を実装する

Microsoft Defender for XDR などの XDR ソリューションは、マルウェア攻撃を防ぐのに役立ちます。これらの統合されたセキュリティ インシデント ソリューションは、高度なサイバー攻撃を防ぎ、対応するための総合的で効率の良い方法を提供します。エキスパート主導の監視と高度な検出ツールを組み合わせた MDR の基盤の上に構築された XDR は、エンドポイント、メール、ID、クラウド アプリケーションにわたって兆候を統合することで、セキュリティを次のレベルに引き上げます。この拡張された可視性により、組織は巧妙な攻撃をより迅速かつ正確に特定し、阻止することができます。

また、Microsoft Defender XDR の一部である Microsoft Defender for Endpoint では、エンドポイント動作センサー、クラウド セキュリティ分析、脅威インテリジェンスを使用して、組織が高度な脅威を防止、検出、調査、および対応するのに役立ちます。


定期的なトレーニングを開催する

従業員にフィッシングやその他のサイバー攻撃の兆候を見分ける方法について情報を提供し、攻撃者の戦術の新しい展開をカバーするために定期的に更新されるトレーニング セッションを実施してください。仕事の安全な進め方だけでなく、個人のデバイスを使用する際の安全対策も教えることができます。シミュレーションとトレーニングツールは、環境内で実際の脅威をシミュレートし、結果に基づいてエンドユーザーにトレーニングを割り当てるのに役立ちます。


クラウド バックアップを活用する

データをクラウドベースのサービスに移行すると、データを簡単にバックアップして、安全に保管できるようになります。データがマルウェアに侵害された場合は、これらのサービスにより、復旧が即時かつ包括的に行われることが保証されます。


ゼロ トラスト モデルを導入する

ゼロ トラスト モデルでは、すべてのデバイスとユーザーの評価を行い、リスクを調べてからアプリケーション、ファイル、データベース、およびその他のデバイスへのアクセスを許可します。これで、悪意のある人物またはデバイスがリソースにアクセスしてマルウェアをインストールする可能性は低下します。たとえば、ゼロ トラスト モデルの 1 つのコンポーネントである多要素認証を実装すると、ID 攻撃の有効性が 99% 以上低減されることが示されています。組織のゼロ トラスト成熟度ステージを評価するには、ゼロ トラスト成熟度評価を実施します。


情報共有グループに参加する

情報共有グループは、通常は、業界または地理的な場所別に編成され、同じような構造の組織がサイバーセキュリティ ソリューションに向けて協力することを奨励しています。このようなグループは、組織のためのさまざまなメリットも提供しています。たとえば、インシデント応答とデジタル フォレンジクスのサービスや、最新の脅威に関するニュース、パブリック IP 範囲やドメインの監視などです。


オフライン バックアップを維持する

マルウェアの中には、あなたがオンライン バックアップを所有しているかどうかを見つけ出して削除しようとするものもあることから、機密データの最新のオフライン バックアップを保管しておくことと、そのバックアップを定期的にテストして、万が一マルウェア攻撃を受けた場合でも復元可能かどうかを確認することをおすすめします。


ソフトウェアを最新の状態に保つ

ウイルス対策ソリューションを最新の状態に保つことに加えて (これをシンプルにするために自動更新の選択を検討してください)、他のシステム更新プログラムやソフトウェア パッチも必ず、公開と同時にダウンロードしてインストールしてください。このことは、サイバー犯罪者があなたのネットワークやデバイスへのアクセス獲得のために悪用するおそれのあるセキュリティの脆弱性を最小限に抑えるのに役立ちます。


インシデント応答計画を作成する

インシデント応答計画では、できるだけ早く正常かつ安全な運用に戻ることができるように、さまざまな攻撃シナリオで実行できる手順が提供されます。

マルウェアは簡単に検出できるとは限らず、特にファイルレス マルウェアは困難です。組織も個人も、ポップアップ広告の増加や Web ブラウザーのリダイレクト、ソーシャル メディア アカウントへの不審な投稿、アカウントやデバイスのセキュリティ侵害に関するメッセージなどに注意を払うことをおすすめします。デバイスのパフォーマンスの変化、たとえば、実行が非常に遅くなることは、マルウェア感染の兆候である可能性があります。

ウイルス対策プログラムでは検出やブロックできないような、組織に対する巧妙な攻撃については、セキュリティ情報イベント管理 (SIEM) ツールおよび拡張検出と応答 (XDR) ツールにより、エンドポイント デバイスに対する攻撃の検出と対応に役立つ、クラウドを利用したエンドポイント セキュリティ方法をセキュリティ担当者に提供しています。この種の攻撃は多面的であり、サイバー犯罪者の標的はデバイスの支配に留まらないため、SIEM と XDR を利用すると、その攻撃の全体像をすべての領域にわたって、つまりデバイス、メール、アプリケーションなどにわたって把握することができます。

SIEM および XDR ツールを使用すると、Microsoft Sentinel、Microsoft Defender XDR、および Microsoft Defender for Cloud が、ウイルス対策機能を提供します。セキュリティ担当者は、マルウェアの脅威を防ぐために、最新の推奨事項に一致するようにデバイス設定が常に更新されるようにする必要があります。 マルウェア攻撃に備えるために最も重要なステップの 1 つは、インシデントレスポンス計画を策定することです。これは、組織がサイバー攻撃、特にマルウェア感染の影響を管理し、軽減するために使用する詳細で構造化されたアプローチです。これは、脅威を特定、封じ込め、根絶するとともに、発生した損害から回復するための具体的な手順を概説しています。明確に定義されたインシデント応答計画を持つことで、企業は、サイバー危機の際にすべてのチーム メンバーが役割と責任を理解できるようにすることで、ダウンタイムを最小限に抑え、財務的損失を減らし、機密データを保護できます。このプロアクティブな準備は、ビジネスの継続性を維持するための鍵です。

マルウェア攻撃の被害者になったのではと心配になった場合でも、幸いなことに、検出と除去を行うオプションが用意されています。取るべき即時の手順は次のとおりです。
 

• ウイルス対策製品を実行すること、Windows でネイティブに提供されているもののように、悪意のあるプログラムやコードをスキャンします。プログラムがマルウェアを検出すると、その種類が一覧表示され、除去のための提案が提示されます。除去後は常にソフトウェアを更新して実行し、今後の攻撃を防ぎます。
• 影響を受けたシステムを隔離すること。影響を受けたシステムの電源を切るか、システムのネットワーク接続を無効にして、マルウェアの拡散を防ぎます。悪意のある攻撃者が攻撃が検出された証拠を探して組織の通信を監視している可能性があるため、次の手順を話し合うために、電話や対面の会議などの非定型的なデバイスと方法を使用してください。
• 利害関係者への通知。インシデント応答計画の通知ガイダンスに従って、封じ込め、緩和、回復の手順を開始します。また、インシデントをサイバーセキュリティおよびインフラストラクチャ セキュリティ庁、地元の連邦捜査局 (FBI) 事務所、FBIインターネット犯罪苦情センター、または地元の米国シークレット サービス事務所に報告する必要があります。データ侵害法および業界規制に準拠して、さらなる責任を回避します。

テクノロジが進化するにつれて、マルウェアも適応し続け、より巧妙になり、検出がより困難になっています。将来の傾向を理解することで、企業は脅威に先んじることができます。

新たに出現するマルウェアの種類はますます巧妙化しており、多くの場合、難読化の手法を通じて、従来のセキュリティ対策を回避するように設計されています。これらの手法には、感染ごとにコード構造が変わるポリモーフィック型のマルウェアが含まれ、検出がより困難になります。別の例として、正当なプロセスに隠れたり、悪意のあるペイロードを隠すために暗号化を使用するマルウェアがあります。ファイルレス マルウェアは、メモリ内で直接動作し、足跡を残さず、従来のウイルス対策プログラムによる検出を回避します。これらの進化する脅威に対抗するために、組織にはサイバーセキュリティのための AI 搭載ツールのような高度なソリューションが必要です。これにより、検出と防止の取り組みが強化されるだけでなく、自動的な攻撃の中断も可能になります。これらのツールは、感染したデバイスを隔離し、リアルタイムで侵害されたアカウントを一時停止することで、進行中の脅威を停止し、損害をある程度の範囲に収めることができます。

これらのツールは、従来の方法が検出する前であっても、攻撃を示している可能性がある異常や普通でない動作を検出することで、検出率を向上させます。AI モデルは、以前の攻撃から学ぶことで潜在的な脅威を予測し、先制的な対策を可能にします。さらに、機械学習アルゴリズムは、検出能力を継続的に改善し、セキュリティ チームが進化する脅威に常に先んじて攻撃を予測し、防止するのに役立ちます。

現在および将来のマルウェア脅威を防ぐために、組織は Microsoft から提供されている AI 搭載の統合 SecOps プラットフォームに頼ることができます。このソリューションは、新たに出現するマルウェアの種類に対抗するために、高度な AI 支援の脅威検出と自動応答を統合しています。さらに、エンドポイント検出、脅威インテリジェンス、およびクラウド セキュリティを統合し、リアルタイムでマルウェア攻撃を検出、対応、防止するための統合プラットフォームを提供します。ネットワーク全体にわたり包括的な可視性と自動保護を提供することにより、このプラットフォームは企業が進化する脅威に対する防御を強化するのに役立ちます。