Netskope Threat Labs レポートでは、毎月異なるセグメントに焦点を当てています。 このレポート シリーズの目的は、各セグメントのユーザーに対するアクティブな脅威に関する戦略的かつ実用的な情報を提供することです。 このレポートで強調されているセグメントは、ヨーロッパ地域で活動しているユーザーです。 このレポートでは、Remcos、AgentTesla、Guloader などの高リスクのマルウェアを使用して、クラウド アプリを悪用してヨーロッパのユーザーを標的とする攻撃者について取り上げています。
クラウド アプリの導入: ヨーロッパのユーザーは、世界中のユーザーとほぼ同じ頻度でクラウドアプリにファイルをアップロードおよびダウンロードしていますが、平均してクラウドアプリを操作する頻度は少ない傾向があります。 また、ヨーロッパではMicrosoftアプリが強く支持されており、Microsoft OneDrive、SharePoint、Teamsがこの地域で最も使用されているアプリの上位3つとなっています。
クラウド アプリの悪用:ヨーロッパでは、Microsoft OneDrive と SharePoint がマルウェアのダウンロード数が最も多く、次いで GitHub が 3 位でした。
マルウェアとランサムウェア:ヨーロッパの被害者を狙うマルウェアファミリーの中で最も蔓延しているのは、リモートアクセス型トロイの木馬 Remcos、ダウンローダー Guloader、情報窃盗型マルウェア AgentTesla です。
ヨーロッパの平均的なユーザーは月に 20 のクラウド アプリとやり取りしていますが、上位 1% のユーザーは月に 78 のアプリとやり取りしています。 ヨーロッパのユーザーは、他の地域のユーザーよりも平均してアプリの使用回数が少ないですが、それ以外は季節的な使用状況に関しては同様に追跡しています。
ヨーロッパのユーザーは他の地域と同程度の割合でクラウド アプリからデータをダウンロードしており、ヨーロッパでは 93% のユーザーがクラウド アプリからデータをダウンロードしているのに対し、他の地域では 95% のユーザーがダウンロードしています。 データのアップロードに関しては、ヨーロッパのユーザーの 60% がクラウド アプリにデータをアップロードしているのに対し、他の地域のユーザーは 70% です。
ヨーロッパで最も人気のあるクラウド アプリのトップ 10 はすべて Microsoft アプリであり、上位 3 つは他のリージョンを反映しており、Microsoft OneDrive は他のリージョンとほぼ同じ割合で他のすべてのアプリをリードしています。
予想通り、Microsoft OneDrive はデータのアップロードに最もよく使用されるアプリでもあり、ヨーロッパのユーザーの 21% が毎日 OneDrive にデータをアップロードしています。 一般的に、ヨーロッパのユーザーのアップロードに関するアプリの好みは、世界の他の地域のアプリ設定と一致しています。
同様に、Microsoft OneDriveはヨーロッパで最も人気のあるダウンロードアプリであり、ユーザーの23%がそこからダウンロードしています。 ヨーロッパのユーザーのアップロードに関するアプリの好みは、世界の他の地域とほぼ一致しています。 ただし、SharePointの方がわずかに人気があり、他の地域では15%であるのに対し、19%のユーザーがファイルをダウンロードしています。
過去 1 年間で、クラウド アプリからのマルウェア ダウンロードの割合は世界中で徐々に減少しています。 ヨーロッパでは、マルウェアのダウンロードの割合が世界的な傾向に沿って減少し、2023 年後半に底を打ち、2024 年初頭に再び増加し始めました。 クラウド アプリを悪用すると、マルウェアがレーダーの下を潜り抜け、ドメイン ブロック リストなどのツールに依存したり、クラウド トラフィックを検査しなかったりして、通常のセキュリティ制御を回避できるようになります。
すべての地域でクラウド由来のマルウェアの割合が非常に似通っていますが、ヨーロッパがわずかな差でトップを占めています。
マルウェアのダウンロード数では、Microsoft OneDrive がトップの座を獲得しました。 一般に、敵対者はMicrosoft OneDriveを悪用しますが、これは最も人気のあるクラウドストレージアプリであるためです。 一方、Microsoft OneDrive を定期的に使用しているユーザーは、そのプラットフォーム上で共有されたファイルをダウンロードするためのリンクをクリックする可能性が高くなります。 したがって、Netskope が Microsoft OneDrive から検出してブロックするマルウェアのダウンロード数は、攻撃者の戦術 (OneDrive を悪用してマルウェアを配布する) と被害者の行動 (リンクをクリックしてマルウェアをダウンロードする可能性) を反映しています。
2 位の SharePoint は、全体的な人気は世界の他地域と同様であるにもかかわらず、マルウェアのダウンロードではヨーロッパでより人気があります。 SharePoint がマルウェアを配信するために使用される方法の 1 つは、ファイル共有に SharePoint を使用する Microsoft Teams 経由です。 3 位の GitHub は、ヨーロッパでは他の地域よりもマルウェアのダウンロードにわずかに人気があります。
このリストには、過去 12 か月間にヨーロッパのユーザーを標的として Netskope によって検出された上位 10 のマルウェアおよびランサムウェア ファミリが含まれています。
Botnet.Miraiは、公開された Linux ネットワーク デバイスを標的とする、最も有名なボットネットの 1 つです。 2016 年に発見されたこのマルウェアは、ルーター、カメラ、その他の IoT デバイスなど、幅広いデバイスを標的にしています。 ソースコードが漏洩して以来、このマルウェアの亜種の数は大幅に増加しました。
Downloader.Guloader は、AgentTesla、Formbook、RemcosなどのRATやインフォスティーラーを配信することで知られる小型のダウンローダーです。
Infostealer.AgentTesla は .NET ベースのリモート アクセス型トロイの木馬で、ブラウザーのパスワードの窃取、キーストロークのキャプチャ、クリップボードの窃取など、 多くの機能を備えています。
Infostealer.Azorult (別名 PuffStealer は、アカウントのパスワードなどの機密情報を盗むことを目的としたマルウェアです。 2024 年 3 月、 Netskope Threat Labs は、Google スライドと HTML 密輸を介して Azorult を配信するキャンペーンを追跡しました。
Infostealer.QakBot (別名 Quakbot (QBot) は、2007 年から活動しているモジュール型マルウェアで、感染したシステムから機密性の高い金融データを盗むことができ、多くの場合、悪意のある文書を介して配信されます。
鼠。NetWiredRC (別名 NetWire RC は APT33 に関連するマルウェアで、リモート アクセスを提供し、パスワードなどの機密情報を盗むことを目的としています。
鼠。NjRAT (別名 Bladabindi)は、キーストロークのログ記録、ブラウザからの資格情報の窃取、被害者のカメラへのアクセス、ファイルの管理など、 多くの機能を備えたリモートアクセス型トロイの木馬です。
RAT.Remcos は、多くの攻撃者の間で人気のあるリモート アクセス トロイの木馬であり、デバイスをリモートで制御するための広範な機能を提供します。
Trojan.ModernLoader (別名 Avatar Bot) は、基本的なシステム情報を収集し、暗号通貨マイナー、RAT、その他のマルウェア ペイロードを配信します。
Trojan.Ursnif (別名 Trojan.Ursnif ) Gozi)はバンキング型トロイの木馬および バックドアであり、そのソースコードは2005年にGitHubにリークされ、攻撃者は多くの亜種を作成して配布することができました。
このレポートでは、さまざまなクラウド アプリにアップロードされるデータや、さまざまなクラウド アプリからダウンロードされるデータの増加など、クラウドの採用の増加が強調されています。 また、攻撃者がさまざまなクラウド アプリ、特に人気の高いエンタープライズ アプリを悪用して、被害者にマルウェア (主にトロイの木馬) を配信する傾向が高まっていることも明らかになりました。 Netskope Threat Labs は、ヨーロッパの組織に対し、セキュリティ体制を再検討し、以下の傾向に対して適切に保護されていることを確認することを推奨しています。
業界屈指のクラウド脅威およびマルウェア研究者を擁するNetskope Threat Labs は、企業に影響を与える最新のクラウド脅威を発見、分析、および防御設計します。 当社の研究者は、DefCon、BlackHat、RSAなどのトップセキュリティカンファレンスで定期的にプレゼンターやボランティアを務めています。
Netskopeは、世界中の何百万人ものユーザーに脅威保護を提供します。 このレポートに掲載されている情報は、 Netskope One プラットフォーム が収集した、事前の許可を得た一部の Netskope 顧客に関する匿名化された利用データに基づいています。
このレポートには、次世代セキュア ウェブ ゲートウェイ (SWG) によってNetskope One発生した検出に関する情報が含まれており、個々の脅威の影響の重要性は考慮されていません。このレポートの統計は、2023 年 5 月 1 日から 2024 年 4 月 30 日までの期間に基づいています。統計は、攻撃者の戦術、ユーザーの行動、組織のポリシーを反映しています。
