セキュリティ研究者らは最近、WhatsApp DesktopおよびWhatsApp Webを通じてVBS（Visual Basic Script）ファイルを配布する攻撃キャンペーンを突き止めました。これらのファイルは、「Financial Reports.vbs」や「Account Statement.vbs」といったファイル名で、通常のビジネス文書に見せかけられており、受信者に添付ファイルをダウンロードして開かせるよう仕向けるように仕組まれています。この攻撃キャンペーンは、すでに世界中の複数の国で被害者を出しています。
ダウンロード型マルウェア攻撃はどのように実行されたのか
攻撃者はWhatsAppアカウントに不正アクセスし、そのアカウントを利用して、知人からのメッセージに対する信頼感を利用し、偽装されたファイルをアカウントの連絡先に送信しました。 ファイルが開かれると、スクリプトは「WScript.exe」を介して実行され、リモートサーバーから追加のペイロードを取得します。1つはUAC（Windowsユーザーアカウント制御）の動作を無効化し、もう1つは、攻撃者にデバイスへの永続的なリモートアクセス権を付与する正規のIT管理ツールである「ManageEngine RMM（Remote Monitoring and Management）Central」をダウンロードしてインストールします。
動作はプラットフォームによって異なります。WhatsApp Webでは、ダウンロードフォルダから手動でファイルを開く必要があります。WhatsApp Desktopでは、クライアント独自のバックグラウンドプロセス「WhatsApp.Root.exe」が、「WScript.exe」を直接起動していることが確認されました。
セキュリティ関連のダウンロードが重要な理由
このキャンペーンは、特定のスクリプトやRMMツールに限定されたものではありません。これは、エンタープライズシステムが攻撃にさらされる可能性のある、しばしば見過ごされがちな侵入経路を浮き彫りにするものです。従業員は、ベンダーや顧客、同僚、あるいはエンタープライズセキュリティを考慮して設計されていないメッセージングアプリから、絶えずファイルをダウンロードしています。そうしたダウンロードのたびに、セキュリティ上の判断が求められる局面が生じます。
一度開かれると、その中身はユーザーのシステム権限で実行されます。従来の防御策は、このようなパターンを想定して構築されたものではありませんでした。ネットワークセキュリティは、トラフィックが検査可能な境界線を越えてくることを前提としています。また、ウイルス対策ツールは、悪意のあるソフトウェアがどのようなものかを事前に把握していることに大きく依存しています。しかし、信頼できる相手から送られてきたファイルが、日常的な文書を装い、悪意のないソフトウェアをインストールする場合、これらの前提はいずれも十分に機能しません。
セキュリティおよびIT部門の責任者が考慮すべき点
ここで重要な点は、WhatsAppに限った話ではありません。これは、組織がファイルのダウンロード元として想定していなかったあらゆるチャネルに関する警告です。インスタントメッセージングアプリ、クラウドストレージのリンク、コラボレーションツール、そして業務用端末からアクセスされる個人のメールも、同様の脅威をもたらします。
どのファイルも、ダウンロードの時点では、ネットワークに流入した時点と同様に厳重に検査されるべきです。ファイルがすでに実行された後に異常な動作を示すのを待ったり、従業員が偽装されたスクリプトをダブルクリックする前に見抜いてくれることを期待したりするのは、結果を運任せにすることになります。実行を許可する対象を管理し、ファイルがデバイスに到達した直後にすべてを評価することで、そのリスクを排除できます。
MetaDefender （Endpoint ）がファイルのダウンロードをどのように保護しているか
これはまさに、OPSWAT （MetaDefender Endpoint ）の機能である「ダウンロード保護」が対処するために設計された障害モードです。ダウンロード保護は、管理対象のエンドポイントにファイルがダウンロードされた際、そのファイルが開けるようになる前に検査を行います。MetaDefender （Endpoint ）は、OPSWAT Predictive Alin AIを含む30以上のマルウェア対策エンジンを搭載したMetascan™（Multiscanning ）テクノロジーを用いて、各ファイルをスキャンします。 また、Deep CDR™テクノロジーを用いてファイルをクリーンアップします。このテクノロジーは、ファイルベースの脅威を先制的に無力化し、ミリ秒単位でクリーンで利用可能なファイルを再生成することで、200種類以上のファイル形式に埋め込まれたスクリプト、マクロ、および未知のマルウェアを無力化します。
MetaDefender Endpoint 組織がこうしたダウンロード攻撃から重要なシステムを保護するために、以下の方法で支援することができます：
- WhatsApp Web経由で送信されてきた偽装されたVBSファイルは、ユーザーがそれをダブルクリックする前に、ダウンロード中にスキャンされます。
- ユーザーの同意を得ない「ドライブバイダウンロード」であっても、MetaDefender Endpoint によって積極的かつ徹底的にスキャンされ、安全でクリーンなファイルのみがアクセス可能となるよう保証されています。
- ブロックされたファイルは、監視なしでの2回目の試行に備えて残されるのではなく、自動的に削除されます。
- RMMインストーラー自体は正規のソフトウェアであるため、MetaDefender （Endpoint ）のアプリケーション制御機能により、管理者は管理対象デバイス上で実行されているアプリケーションを管理し、不要なアプリケーションをブロックすることができます。
今後の悪意のあるダウンロードキャンペーンを防ぐ方法
こうしたキャンペーンは、ネットワークではなくダウンロードを標的とし、一見正当に見えるファイルや信頼できる送信者を利用しているため、見過ごされがちです。MetaDefender （Endpoint ）でダウンロードしたファイルをスキャンすることで、組織はスクリプトが実行される前に、このような攻撃を阻止することができます。これにより、従業員がメッセージングアプリなど、普段頼りにしているツールを使い続けられる一方で、その利便性が組織への新たな侵入経路となることを防ぐことができます。セキュリティは、すべてのユーザーがすべてのファイルについて、毎回正しい判断を下すことに依存しなくなるのです。
「ダウンロード保護」が、悪意のあるダウンロードペイロードキャンペーンにどのように対処するかについて、今すぐ専門家にご相談ください。
