マルウェア（メールベクター）

マルウェアとは

マルウェアとは、コンピューターシステムやデータに侵入し、損害を与え、あるいは不正にアクセスすることを目的として作られた悪意のあるソフトウェアです。メールの文脈では、攻撃者はマルウェアを添付ファイル、感染したウェブサイトへのリンク、埋め込まれたスクリプトを通じて配送されるペイロードとして使うことがよくあります。メールは今なおマルウェアの最も一般的な配布経路の1つです。多くの標的に素早く到達でき、有害なコンテンツを実行するよう受信者を心理的に誘導できるためです。

メールで配送されるマルウェアは、比較的単純な迷惑行為から、きわめて破壊的なツールまで多岐にわたります。例としては、ファイルを暗号化して支払いを要求するランサムウェア、認証情報を盗む銀行系トロイの木馬、利用者の活動を記録するスパイウェア、侵害したホストを攻撃者に制御させるリモートアクセス型トロイの木馬などがあります。攻撃者は、受信者が添付ファイルを開いたりリンクをクリックしたりする可能性を高めるため、マルウェアとフィッシングの手法を組み合わせることが多くあります。

メール経由のマルウェアの仕組み

メールを利用したマルウェアのキャンペーンは通常、偵察、配送、実行という流れをたどります。攻撃者はなりすました送信者、類似したドメイン、侵害されたアカウントを使って正当に見えるメッセージを作り込み、悪意のあるファイル（マクロ付きの Officeドキュメント、ZIPアーカイブ、実行ファイル）を添付したり、武器化されたウェブサイトへのリンクを含めたりします。利用者が添付ファイルを開くかリンクをたどり、埋め込まれたコンテンツを有効にすると、マルウェアがインストールされ、ペイロードの活動を開始します。

• 添付ファイル型のペイロード：開くとコードを実行するドキュメントや実行ファイル
• リンク型のペイロード：ドライブバイダウンロードや認証情報を狙うフィッシングフォームをホストするサイトへのURL
• マクロ有効化ファイル：悪意のあるスクリプトを実行するためにマクロの有効化を求める Officeドキュメント
• 悪意のあるアーカイブ：ゲートウェイのスキャナーを回避しようとする圧縮ファイル

検出と防止の戦略

メール由来のマルウェアを防ぐには、技術的な対策、ポリシー、利用者の意識向上を組み合わせる必要があります。単一の対策だけでは不十分なため、多層的な防御が業界のベストプラクティスです。

• SPF、DKIM、DMARC を公開し適用して、なりすまし送信者の成功を減らす
• ゲートウェイのアンチウイルス、サンドボックス、URLスキャンを使って、悪意のある添付ファイルやリンクを検出する
• 疑わしいファイル形式をブロックまたは隔離し、添付ファイルには CDR（コンテンツの無害化・再構築）を義務づける
• 多要素認証を有効にして、認証情報の窃取による被害を抑える
• エンドポイントとサーバーにパッチを適用し続け、EDR（エンドポイント検知と対応）ツールを使う
• 定期的なフィッシングのシミュレーションと利用者トレーニングを実施し、危険な行動を減らす
• マクロの実行を制限し、マクロの有効化を求めるメッセージをブロックまたは隔離する

悪意のあるドメインやURLに対する迅速なインシデント対応と自動的なテイクダウンのプロセスは、攻撃対象領域を縮小し、キャンペーンの継続期間を短くします。バウンスや苦情の急増、通常とは異なる送信パターンといったテレメトリを監視することで、稼働中のマルウェアキャンペーンを早期に警告できます。

マルウェアとDMARCeye

DMARCeyeは、認証失敗、送信元IP、メッセージのパターンをメールボックスプロバイダー横断で関連づけることで、組織がマルウェア関連の脅威を見つけるのを助けます。DMARC や関連プロトコルはマルウェアそのものを検出するわけではありませんが、攻撃者が受信者にマルウェアを実行させるために使うなりすましの手法の効果を弱めます。

DMARCeye は DMARC の集約データとフォレンジックデータを分析し、マルウェアの配布によく使われる疑わしい送信者、類似したドメイン、侵害されたアカウントを明らかにします。また、このプラットフォームは異常な量、通常とは異なる添付ファイルの種類、繰り返し悪用する相手を浮き彫りにし、より迅速な調査と是正を可能にします。

DMARCeyeの無料トライアルに登録して、メールドメインを保護しましょう。

DMARCおよび関連用語について詳しくは、DMARCeye用語集をご覧ください。