ZIPファイルの連結手法がマルウェアの検出回避に使われるように

ZIPファイルの連結手法がマルウェアの検出回避に使われるように

BleepingComputer – November 10, 2024

有害なペイロードをセキュリティソリューションに検知されることなくターゲットのWindowsマシンへ送り込む手段として、複数のZIPファイルを連結する手法が用いられるようになっているという。実際のフィッシング攻撃の中でトロイの木馬を仕込んだ連結ZIPアーカイブが使われているのを発見したPerception Point社が、詳細を報告した。

この手法は、2つかそれ以上の別のZIPファイルを用意し、そのうちの1つに有害なペイロードを隠したのち、これらを繋ぎ合わせて1つのファイルへと結合するというもの。このようなファイルを扱う際、使用するZIPパーサーによっては無害なコンテンツしか表示しないため、有害なペイロードの存在を認識できない恐れがあるという。

Perception Pointは以下3つのパーサーでテストしたところ、次のような結果になったと伝えている。なお同社は2つのファイルを用意して結合してサンプルファイルを作成。1つ目は無害なテキストファイルを含むものとの想定で、2つ目のファイルは有害なテキストファイルを含むとの想定でテストを実施している。

• 7zip：1つ目の無害なファイルのみを表示。その他のデータも含まれることを警告するメッセージが生成される場合もあるが、こうしたメッセージは見過ごされる恐れがある。
• WinRAR：有害なテキストファイルを含む2つ目のファイルを表示。
• Windows File Explorer：「ファイルを開くことができない」旨を伝えるエラーが表示された。あるいは、ZIPファイルをRARファイルのように見せかける目的でファイル名の末尾が「.zip」から「.rar」に変更されている場合は、2つ目の有害なファイルのコンテンツが表示されることになる。

脅威アクターは各パーサーの挙動に応じてマルウェアをどのファイルに隠すか変更するなど、微調整を行う恐れがあるという。連結させたZIPアーカイブを用いたこの種の攻撃への防御策としては、再帰的解凍に対応したセキュリティソリューションを使用することが推奨されている。

ランサムウェアレポート＆インテリジェンス要件定義ガイド、無料配布中！

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価