Introducing OPSWAT Threat Intelligence Similarity Search Learn More

ステガノグラフィと回避に対するデータ無害化

November 07, 2018 | published by Taeil Goh

私たちは、以前のブログでステガノグラフィの危険性を警告していました。ステガノグラフィとは、ファイルやメッセージ内にメッセージ、画像、ビデオ、マルウェアを隠す方法です。私たちは実際の攻撃*でステガノグラフィを目にしています。

先週、Crowdstrikeは日本語の電子メールにおけるCutwail Spam Campaignに関する調査結果を公開しましたが、ハッカーが使った戦術の一つがステガノグラフィでした。本ブログでは、この攻撃例を用いて、ステガノグラフィと回避策に対するOPSWATのデータ無害化の効果を説明します。

このスパムキャンペーンは以下の4つのステージに分けることができます。（データ無害化をステージ1、2、3に適用します。）

ステージ1：Microsoft Excelを添付したフィッシングメール

ステージ2：Microsoft Excel内の難読化されたVBAスクリプト

ステージ3：難読化されたPowerShellスクリプトを含むステガノグラフィ画像

ステージ4：最終的なペイロード

ステージ1と2:　「難読化されたVBAスクリプトを含むMicrosoft Excelを添付したフィッシングメール」への対策

電子メールは、標的となる組織のネットワークに最初にアクセスするための最も一般的な方法です。OPSWAT MetaDefenderは、ファイルの拡張子だけでなく、ファイルの内容に基づいてファイルの種類を検出できます。例えば、普及しているMicrosoft Excelは、ビジネス業務に必須のファイル形式のため、セキュリティポリシーとして、社内への取り込みを許可しているとしましょう。その場合でも、OPSWATのデータ無害化は、マクロを取り除いて新しいMicrosoft Excelを再構築できます。OPSWATの無害化は、VBスクリプトが悪質であるかどうかを検出しないため、難読化ではこの対策を回避することはできません。

このスパムキャンペーンに使われたExcelの無害化前と後をご確認ください。

無害化前