憲明0スパムメールのホットスポットはどこにあるのでしょうか。トレンドマイクロでは、スパムメールに関し詳細な調査を実施しています。その研究成果の一つが「スパムマップ」です。スパムメールの配信元となっている国や地域をホームページで情報公開しています。2008年9月よりスパムマップをリニューアルいたしました。新しいURLは「http://itw.trendmicro.com/malware_spam_map.php」になります。↑7月度は、上位5カ国からのスパムメールの発信量が全流通量の約36.25%を占めています。上記の5カ国に、6位にアルゼンチン(先月8【位】)、7位にイタリア(先月4【位】)、8位にコロンビア(先月7【位】)、9位に中国(先月9【位】)、10位にスペイン(先月12【位】)が続いています。amount」は「52,620,069」。前月度の「60,981,030」に対して減少傾向です。5月度から引き続いているロシアの脅威ですが、7月度は顕著な傾向が見られます。毎週月曜日にロシアからの配信量が低くなる傾向です。株式市場では、このように特定曜日に一定の増減傾向が現れる現象を「曜日効果」と呼んでいます。スパムメールは広告の大量配信に端を発するいわば、商活動です。株式市場が市場を形成する人の影響を受けるように、スパムメールもまた配信側、受信側さまざまな思惑が交錯しています。リージョナルトレンドラボでは引き続き、長期的な展望に立って、変則的事実を見いだし、より効果的な予防策の検討を行っていきます。2008年7月度におけるワースト5配信国なお、10位以下の場合、スパム配信率のデータプロットは行われていません。目次ここでは、2008年7月にTrendLabsにて確認したスパムメールの事例をご紹介します。Storeからのメールを装ったスパムメールでした。確認されたスパムメールはその本文に「決済を処理できなかったので、決済情報を更新してください」とURLとともに記載されています。Storeに似せた偽サイト。偽サイトでは、クレジットカード番号をはじめとする個人情報の不正取得が計画されていることが読み取れます。Storeを装ったフィッシングサイトiPhoneが攻撃者の標的となったのは、なにも今回が初めてではありません。2007年にもGSM方式の初代iPhoneリリース時に広告ポップアップを表示させ、フィッシングサイトへ誘導する攻撃が報告されています。2008年4月末に確認された人気ゲーム愛好者を標的としたスパムメールも対象こそ違うものの、今回と同様の効果を狙った攻撃であったといえます。世界記録の人気ゲーム愛好者を標的としたスパムメール」スパム送信者(スパマー)は日々、受信者にとって最も魅力的に映るコンテンツが何なのか分析を行っています。一時の誘惑に惑わされた行動が時として、取り返しのつかないデータ破壊につながる可能性があります。今後もいかなるメール記載のURLについて安易にクリックすべきではありません。ニュースを報じるスパムメール再び2008年7月9日に報告されたのが、米国とイランの政治的緊張に便乗したスパムメールでした。確認されたスパムメールの件名は以下のとおり複数確認されており、リージョナルトレンドラボでは、一部日本国内にも流通していることを特定しています。murdered)米軍とイランの交渉決裂。ABCにて同名のインタビュー記事有り。Tegeran)*注:テヘランは正しくは「Tehran」。Engineによってスパムメール判定されたメールの件名には、「Spam:」文字が追加されています。本文に記載されたリンクをクリックすると不正サイトへ接続されます。始まりを写した動画」としてクリックを促しています。動画のリンクをクリックすると「iran_occupation.exe」というファイルが、バナー広告をクリックすると「form.exe」というファイルがそれぞれ実行されます。いずれもトロイの木馬「TROJ_NUWAR.AB」です。新聞やTVといった既存メディアよりも、インターネットを主要なニュースソースとして、チェックしているユーザが増えているとの調査結果が発表されています。トレンドマイクロでは、新しいメディアを安全に楽しんでいただけるよう、「Webレピュテーション」をはじめとする技術を投入しています。した防衛技術を利用するとともに、今一度、「そのクリックは安全ですか」を肝に銘じて、新しいメディアとのつきあい方を検討していく必要があるといえそうです。目次に戻る■「2012年、インターネットは終了する」怪情報を散らすウイルス添付スパムメール2008年7月10日に報告されたのが、「2012年、インターネットは終了する」とする怪情報が記載されたウイルス添付スパムメールでした。確認されたスパムメールはその本文に「インターネットは2012年に終了する」といった情報が途中まで記載されています。詳細については添付のPDFファイル「doc.pdf」を開封するように誘導しています。「doc.pdf」はPDFウイルス「TROJ_PIDIEF.JT」。AcrobatのJavaScriptメソッドに入力値を適切に処理できない脆弱性(CVE-2008-2641)」の悪用を特定しています。PDFファイルを開くことでFTPサイトへの接続が行われ、ファイルのダウンロードを試みます。「2012年、インターネットは終了する」とするスパムメール市場調査会社の米IDCは2008年6月25日、2012年にはインターネット利用者は19億人(世界人口の30%相当)を超える見込みだという見通しを発表しています。限りない成長見通しが発表される一方で、見えぬ不安を感じている人が多いことが、このようなスパムメール流通の理由ではないでしょうか。目次に戻る■北京オリンピックに便乗したスパムメール2008年8月8日、中国北京にてオリンピックが開催されました。開催ムードが高まるにつれて、「北京オリンピック便乗スパムメール」の流量増加も見られています。今回は2つの事例を紹介します。Worm(ストームワーム)」ウイルスに感染させようとするスパムメールでした。同スパムメールでは、その本文に「中国主席死去により、北京オリンピック中止」と記載され、URLリンクが用意されています。同URLのクリックによりダウンロードされるのはトロイの木馬。次のウイルスがダウンロードされるケースが確認されています。北京オリンピック中止の偽情報が記載されたスパムメールメールの本文、件名はオリンピックのみならず、一般利用者にとっての関心事が採用されています。いずれのケースでも、スパムメール記載のURL先が「r.html」であること。アダルトビデオ共有サイト「PornTube」へ誘導されるという共通点も見られます。7月15日に確認されたのが、北京オリンピック懸賞詐欺スパムメールです。NOTIFICATION.」と記載され、その本文には、抽選によって北京オリンピックプロモーションのためのロトくじに当選したとの内容が記載されています。個人情報が要求されています。このことから、スパマーの目的は個人情報搾取であったと推測されます。北京オリンピック懸賞詐欺スパムメールオリンピックの開催により、スパムメールの内容は獲得メダル数などの題材に遷移することが予測されます。引き続き警戒が必要であると言えそうです。オリンピックに限らず国際的なイベントは常に攻撃者の標的になっていることも心得ておく必要があるのではないでしょうか。Inc)からの通知と偽ったウイルス添付スパムメールでした。N1475291596)。その本文には「住所が正しくないため、荷物が届けられない。添付の請求書を印刷するように」と添付ファイル(UPS_INVOICE_{ランダムな数字}.zip。拡張子はZIPとなっているものの、実際の圧縮形式はRAR形式。展開すると実行ファイルが含まれています。)の開封を促しています。添付ファイルは実はウイルス(「TSPY_ZBOT.NM」、「TROJ_DLOADR.GG」、「TSPY_ZBOT.PF」)。スパマーの狙いは、侵入させたウイルスによるオンラインバンキング利用者の個人情報搾取です。ウイルスには設定ファイルを外部サイトから取り込み、搾取対象とするオンラインバンク情報を更新する機能が備わっていることを特定しています。スパマーの巧みなソーシャルエンジニアリング戦術はこれだけに留まりません。ヨーロッパ圏においては、ドイツ語で同様の内容が記載されたスパムメールが確認されています。現在の所、日本語のメールは確認されていませんが、英語で記載されたメールの流通は報告されています。宅配便会社からの通知を偽ったウイルス添付スパムメール(英語版とドイツ語版)日本国内においては奇しくも、UPS社と提携関係にあるヤマト運輸株式会社より、ヤマト運輸(クロネコ)を騙るスパムメールについて注意喚起が行われたばかりでした。ヤマト運輸株式会社:「ヤマト運輸(クロネコ)を名乗る迷惑メールについて」(2008年5月8日付け)スパマーは巧みに利用者の心理のスキを狙います。今後もいかなるメールにおいても、記載のURL、添付ファイルについて安易にクリックすべきではないといえるのではないでしょうか。目次に戻る■画像をテーブルアートに置き換えたスパムメール2008年7月13日に報告されたのが、画像スパムメールの進化形、テーブルアートスパムメールです。テーブルアートとは、いわば点描画ともいえる技法です。HTMLのTABLEタグ(表組を作成するためのタグ)を細かく組み合わせ、各テーブルの背景色を利用することで描いた画像です。以下の画像は、我々が入手したテーブルアートスパムメールです。いずれのケースも、その見栄えは従来から知られている画像スパムメールと同様です。これらスパムメールには画像ファイルは一切添付されていません。TABLEタグだけで構成されているテーブルアートスパムメールのサンプルそのからくりはHTMLソースコードを確認することで理解できます。TABLEタグにより非常に細かなセルを作り出し、それらセルを画像のドットに見立て、色づけを行っています。これにより、TABLEタグだけで見た目は画像ファイルと何ら変わりない表示を実現しています。テーブルアートスパムメールのソースコードこのような細工は、スパマーがスパムメール対策製品からのすり抜けを狙い実施された技法と推測されます。トレンドマイクロのスパムメール対策製品では、このような技法に対してもその検出に対応しています。テーブルアートスパムメールに限らず、スパマーは常に検出回避技法の開発に力をいれています。リージョナルトレンドラボでは、引き続きスパマーが新たに投入する検出回避技法の分析を進めていきます。目次に戻る■不正サイトへの誘導を行わないフィッシングスパムメール2008年7月19日に報告されたのが、不正サイトへの誘導を行わないフィッシングスパムメールです。従来のフィッシング詐欺といえば、「口座の更新期限が迫っています」といった文面でメールを送りつけ、不正サイトへ誘導を行い、個人情報の搾取を行っています。今回確認されたスパムメールでは、URLの記載がありません。米Earthlinkと騙るそのスパムメールでは、フィッシング詐欺の常套手段である不正サイトへの誘導が行われていません。代わりに用意されたのが、「Reply-To:」フィールドを使った細工です。利用者が受信したメールに対して「返信(リプライ)」という操作を行うと、通常はこの送信者アドレス(「From:」フィールド)に向けてメールが送り返されます。「Reply-To:」フィールドが定義されている場合、そのメールに対する応答は「Reply-To:」フィールドに指定されたアドレスを優先して送信が行われます。今回、スパマーはこの仕組みを悪用しています。<upgradeyouraccount_2004@earthlink.net>」と正規のアドレスを設定する一方で、「Reply-To:」フィールドにはスパマーのアドレスを設定しています。これにより、正規のアドレスからの要求であると信用した受信者はスパマーに対し、自身の個人情報を返信することとなります。米Earthlinkと騙るスパムメールとそのヘッダ情報(「From:」は正規、「Reply-To:」はスパマーのアドレス)このような細工は、URLフィルタリング製品をかいくぐるには最良の手法であるといえます(サイトへの接続を一切発生させずにフィッシング詐欺を行ったという点でも革新的といえます)。トレンドマイクロの推奨するマルチレイヤー(多層防御)でのセキュリティ対策を施しておくことで、それは脅威となりえません。トレンドマイクロのスパムメール対策製品では、この種のフィッシングスパムメールの検出に対応済みです。多層防御はこれからもセキュリティ対策の基本といえる戦略であるといえるのではないでしょうか。目次に戻る■トレンドマイクロのツールと騙りウイルス拡散を狙うスパムメール2008年7月24日、28日と相次いで報告されたのが、トレンドマイクロのツールと騙りウイルス拡散を狙うスパムメールでした。24日、確認されたスパムメールはその本文は中国語で記載され、HTML形式メールを使い弊社のログや画像などを埋め込むことで視覚効果による信頼性を高める工夫が施されています。台湾が実際に配布しているウイルス駆除ツール「iClean」を紹介するそのメールでは、「iClean20.rar」という圧縮ファイルが添付され、その利用を推奨しています。偽「iClean」の利用を推奨するスパムメール「iClean20.rar」の展開により得られるのが実行ファイル「iClean20.exe」(「TROJ_FAKECLEAN.A」)。ウイルス作成者が巧みだった点が、「iClean20.exe」の実行により、バックドア型ウイルス「BKDR_POISON.GO」が実行されるとともに、本物の「iClean」も実行されるという点です。これは、次のような効果を狙った戦略であると推測されます。「BKDR_POISON.GO」がトレンドマイクロ製品で検出されないことを確認する。本物のウイルス駆除ツールを動作させることで利用者を信頼させる。「BKDR_POISON.GO」以外のウイルスを駆除しバックドアの実行環境を整える。台湾配布ツールを装ったスパムメールは続きます。Add-On」の利用を推奨しています。Add-On」の利用を推奨するスパムメール前回とは異なり、添付ファイルはありません。CVE-2008-2463」の脆弱性を悪用することで、バックドア型ウイルス「BKDR_AGENT.AVAJ」をインストール、実行します。このような攻撃に対する対策としては、まず正規サイトからツールを直接入手することが挙げられます。今後、模倣犯が出現する可能性も考慮し、例えセキュリティアプリケーションであっても、ダウンロードし利用することは常に用心する必要があると言えます。目次に戻る■日本語スパムメールはクエリーストリングで利用者追跡リージョナルトレンドラボでは、日本国内のスパムメール事情についても観測、分析を実施しています。国内で多く見られるのが、出会い系サイトに誘導するスパムメール。今回紹介するのはその一例です。クエリーストリングで利用者追跡を行うスパムメール文面にいくつかのパターンが見られるものの、いずれも同一のアダルトサイトへ誘導するものです。同スパムメールが巧みな点が、クエリーストリング(または、URLパラメータ)と呼ばれる技術を使っている点です。この技術により、スパマーはメールのリンクをクリックした利用者の追跡を行っています。メールに記載されているURLはつぎのように構成されています。スパムメールに記載されたURLの例この中の「?」記号よりも後ろの部分、「bc=gt&me=LH8kH3H{BLOCKED}H82」がクエリーストリングと呼ばれる箇所です。スパマーはスパムメール送信時に送信先と「me={ランダムな文字列}」が対となったデータベースを作成しておきます。これにより、誘導サイトのアクセスログ分析を行うことで、どの送信先においてURLクリックが行われたのかを追跡することが可能になります。スパマーは追跡機能を利用し、URLクリック実績のある送信先に対し、後日不正請求メールを配信します。スパマーはこのように利用者の焦りと罪悪感につけ込んで詐欺を成功させようと計画しています。夏休み中はお子さんのインターネットを利用する機会が増える時期となります。インターネット閲覧中に有害サイトを興味本位で見てしまったとの被害報告も寄せられています。安心してインターネットを利用するために、フィルタリング製品の導入を検討することも有効です。「URLフィルタ」機能を有効/無効にするにはURLフィルタリング目次に戻るスパムメールはウイルス感染のリスクやフィッシング被害に遭うリスクを高めるだけでなく、正当なメールとの仕分け作業によりユーザへ負担を与えたり、組織のネットワーク資源の圧迫、さらには不要なメールによりディスク容量が占有されるなど、大きな問題となっているのはご承知の通りです。トレンドマイクロでは、クライアント環境での「スパム対策エンジン」(コンテンツフィルタリング)によるスパム対策のみならず、ゲートウェイでの4階層によるスパム対策を推奨しています。Attack)が確認されると、送信元サーバからの通信をブロックし、メールアドレスの流出を阻止する。IPレピュテーション:メールサーバの入口で送信元IPアドレスの信頼性を判断、スパムメールと認識したものは自動的にブロックする。Profiler:特定の企業や組織を狙うスピア型攻撃が確認されると、送信元サーバからの接続を自動的にブロックする。スパム検索エンジン:ヒューリスティックとパターンマッチングの技術を組み合わせて検出・隔離するトレンドマイクロでは、引き続きスパムメール対策のソリューションを提供してまいります。●メッセージングソリューション企業のメールやグループウェアを保護します。外部からの侵入や内部からの漏えいをインターネットの入り口で防ぐソリューションです。