日本でオンライン銀行詐欺ツールの被害が増加。2万台以上が感染（トレンドマイクロ）

トレンドマイクロは、同社の脅威調査機関である「Forward-looking Threat Research（FTR）」が日本での被害が96％以上を占めるオンライン銀行詐欺ツールの攻撃キャンペーンを確認したと同社ブログで発表した。

脆弱性と脅威脅威動向

2013.7.24 Wed 17:44

今回の攻撃で確認されている 9カ所の C&Cサーバに対する日本からのアクセス数推移全 1 枚拡大写真

トレンドマイクロ株式会社は7月23日、同社の脅威調査機関である「Forward-looking Threat Research（FTR）」が日本での被害が96％以上を占めるオンライン銀行詐欺ツールの攻撃キャンペーンを確認したと同社ブログで発表した。オンライン銀行詐欺ツールとは、オンライン銀行口座の不正操作による金銭窃取を最終的な目的とする不正プログラムの総称。現在では、正規オンライン銀行Webページ上で各種認証情報の入力を促す偽のポップアップを表示し、情報を詐取する手口が中心的になっている。

今回確認された攻撃は、継続して日本を狙う攻撃が拡大傾向にあることを示すものと言えます。この攻撃で利用されたオンライン詐欺ツールは「Citadel」ファミリ（「TSPY_ZBOT」などとして検出）。これらのツールが詐取情報をやりとりする遠隔操作用のC＆Cサーバは、現時点で少なくとも9つのIPアドレスを特定しており、地理的にはヨーロッパ、アメリカなどに分散していた。これらのC＆Cサーバについてアクセス状況を監視したところ、アクセス元の96％以上が日本からのものと確認された。これはすでにユーザ環境に感染したオンライン銀行詐欺ツールの存在を示すものであり、感染被害のほとんどが日本国内で発生していることを意味する。

また、これらのC＆Cサーバへアクセスするオンライン銀行詐欺ツール検体とその設定ファイルの解析から、「情報詐取対象の6つの金融機関はすべて日本国内のものであり、アクセス元の情報と併せて日本のみを狙った攻撃であることは明らかと言えること」「金融機関以外にも、Gmail、Yahooメール、Windows live（Hotmail）など、有名Webメールも情報詐取対象となっていること」が確認できたという。攻撃を確認した16日以降21日までの間に日本からC＆CサーバへアクセスしたユニークなIPアドレスは2万件を越えており、多くのPCが感染されているものと推測できる。また、全体的なアクセス数は21日に至っても高い数値を示しており、今回のオンライン銀行詐欺ツールによる被害はまだ継続している状況であるとしている。

《吉澤亨史（ Kouji Yoshizawa ）》