TrickBotマルウェア

サイバーセキュリティ・インフラストラクチャ＆セキュリティ・エージェンシー（CISA）によると、ほぼすべてのハッキングトリックを駆使するマルウェアとして、TrickBotはその名にふさわしく、最重要の脅威となっている。TrickBotは、Windowsベースのシステムを標的とするC++で書かれた高度なバンキング型トロイの木馬として2016年に出現した。その台頭は、ロシア政府との関係が疑われるWizardSpiderとして知られるロシアのサイバー犯罪行為者の悪名高いグループに起因している。

TrickBot は、初期アクセス型トロイの木馬、ステイラー/スパイウェア、リモート アクセス型トロイの木馬 (RAT)、ランサムウェアなど、複数のカテゴリに分類される攻撃が可能なモジュール型マルウェア アーキテクチャに進化しています。TrickBot には、ネットワーク侵入のための堅牢なセカンドステージのポストインフェクション機能が搭載されており、強固に防御された企業ネットワークでさえも横方向にステルス的に移動することができます。

TrickBotは、その広範な機能により、大企業、政府機関、医療施設に対するサイバー攻撃において、スイス軍のナイフのような武器として機能し、RyukやContiランサムウェアを展開する際に選択されるコマンド＆コントロール（C2）マルウェアとなっています。しかし、TrickBotは、一般消費者の家庭用ルーターを侵害するためにも使用されており、脅威行為者グループがグローバルなボットネットを構築することを可能にしています。TrickBotの多様で洗練された機能は、他のマルウェアの追随を許しません。

TrickBotは通常、スピアフィッシングやドライブバイダウンロードなどのソーシャルエンジニアリングの手口を用いたファーストステージのダウンローダ型マルウェアによって配信され、被害者に一般的なソフトウェアの海賊版をダウンロードさせることで、システムへの初期アクセスを試みます。TrickBotの第一段階のマルウェアは、難読化されたJavaScriptファイルを実行することが多く、攻撃者が管理するC2サーバーに接続し、TrickBotのプライマリペイロードをダウンロードして実行することで、感染を完了させます。 

TrickBot はインターネットブラウザに感染し、ユーザーの活動を受動的に監視し、セッション Cookie、ユーザー名、パスワード、閲覧履歴を盗み出します。また、TrickBot には、ネットワークの列挙やホストの発見、特権の昇格、認証の総当たり、中間者偵察、プロキシ、データの改ざん、横方向の移動、永続化、ランサムウェアの展開などのツールも組み込まれています。操作中、TrickBotは戦略的にC2サーバーを交換し、1つのサーバーがダウンしたりブロックリストに登録されたりした場合に備えて、アクティブなC2 IPアドレスのキャッシュを保持します。 

TrickBotのステルス戦術には、SSL/TLS経由でHTTP暗号化接続を使用し、C2活動を通常のWebトラフィックとして隠蔽することや、ファイルレスマルウェアの手法を採用し、セキュリティ製品に発見されないようにメモリ内（memexec）のみで動作することなどがあります。セキュリティ研究者がソースコードを容易に解析できないようにするため、TrickBot は多段階の暗号化ベースの難読化を使用しています。

TrickBot によるサイバー攻撃を効果的に防止するには、組織のサイバーセキュリティのあらゆる側面をカバーするポリシー、管理、手順、およびユーザー意識トレーニングの全範囲を含む、完全な企業サイバーセキュリティプログラムが必要です。以下は、TrickBot による侵害の可能性を低減するための防御策の簡単なリストです。 

• 最新のアイデンティティ・アクセス管理（IAM）ツールの導入
• すべてのエンドポイントに高度なエンドポイントセキュリティ製品をインストールおよび設定し、侵害の指標（IOC）を検出し、TrickBot ペイロードの実行をブロックする防御措置を講じる。
• デジタル署名された正規ソフトウェアのみがすべてのエンドポイントにインストールされるようにする。
• すべてのネットワーク・インフラストラクチャの脆弱性スキャンと侵入テストを定期的に実施し、発見された脆弱性を早急に修正する。
• コンテンツ・プロキシを使ってインターネット利用を監視し、ユーザーが不審なサイトや危険なサイトにアクセスするのを制限する。
• すべての重要なサービスに多要素認証を導入する
• フィッシング・テクニックについて担当者を教育するためのユーザー意識向上トレーニングを検討し、不審な電子メールや文書を取り扱うための標準作業手順書（SOP）を作成する。
• 社外から送信された電子メールをユーザーに通知するよう、電子メールクライアントを設定する。
• Officeアプリケーションが以下のように設定されていることを確認します。 通知なしですべてのマクロを無効にする または デジタル署名されたマクロ以外を無効にする 設定
• 電子メールクライアントやOfficeアプリケーションで、マルウェアのスキャンが行われていないファイルやVBAマクロを含むファイルなど、不審なコンテキストを警告する警告通知に特に注意してください。