fbpx

マルウェアIcedID(アイスドアイディー)の対策は?~感染の仕組みと手口から学ぶ

新たな脅威「IcedID」のイメージ
EMOTET(エモテット)に引き続き、検査をすり抜けるためパスワードのついたZIP添付ファイルで感染するマルウェアIcedID(アイスドアイディー)が拡大しています。
IcedIDもEMOTET同様、情報漏えい以外にも多くの被害を生み出す危険なマルウェアですが、特徴や感染の手口を知っていれば、十分に対処できます。
IcedIDの特徴から感染方法、そして絶対感染しない唯一の方法や対策などをやさしくご説明します。
目次
/ins>

急激に拡大するIcedID(アイスドアイディー)の脅威

IcedIDはEMOTET(エモテット)と似た悪質なマルウェア

「メールの添付ファイル」を悪用するエモテット(EMOTET)の被害が拡大していますが、2020年11月上旬よりIcedID(=読み方は「アイスドアイディー」)と言われるEMOTETによく似たマルウェアが急速に広がりはじめています!

IcedIDとは、2017年頃開発された添付ファイルを介して銀行や決済関連を狙うマルウェアです。

IcedID当初はEMOTETに感染したパソコン経由でダウンロードされて使われていましたが、機能を向上させ、最近は単独で配布されるようになりました。

また、EMOTETは今年の9月以降は、セキュリティ対策ソフトの検知をすり抜けるため「パスワード付の添付ファイル」で送られるようになってきましたが、IcedIDは当初より「パスワード付の添付ファイル」で送られており、すでに日本語メールに添付された例も発見されています。

EMOTET同様、進化しながら被害を拡大することが予想され、非常に危険なため、 JPCERT コーディネーションセンター(JPCERT/CC)から注意喚起が発表されています

またIcedIDはEMOTETと似ていても全く別の新種のマルウェアのため、セキュリティ対策ソフトによっては検知できない場合もあるため、注意が必要です。

ブログ内の関連記事(新しいウィンドウで開きます)

偽造されたメールの添付ファイルから感染するマルウェアEMOTET(エモテット)が猛威を振るっています。検査をすり抜けるZIPで暗号化されたものも増えました。EMOTETに感染したら情報漏えい以外にも多くの脅威にさらされてしまいますが、そ[…]

IcedID(アイスドアイディー)とは?

IcedIDはどんなマルウェアか?感染したらどうなる?

IcedIDはZIPで暗号化されパスワードがつけられた添付ファイルから感染する

IcedIDは、以下のような体裁のメールの添付ファイルでユーザーの手元に届きます。

IcedIDによって偽装されたメール
■出展:トレンドマイクロ社「セキュリティブログ」

特徴は以下の3点です。

  1. 添付ファイルは、今のところマイクロソフトのWordのファイルで送られる。
  2. 添付ファイルは必ずZIPで圧縮されたパスワード付添付ファイルになっている。
  3. メールの件名が「返信(Re:)や転送(FW:)」ではじまる。

そしてユーザーが文面を信じて、添付されたWordのファイルを開き、マイクロソフトの「セキュリティ警告」を無視して「コンテンツの有効化」クリックすると感染します

ただしこれは現時点での特徴で、犯人が工夫して変化し、特徴も変わる可能性があります。

先行するEMOTETの場合は「至急」「重要」「請求」「見積」「上司に見せて判断を仰ぐように」「人事情報」など、さまざまな表現の偽造メールが作られて、添付ファイルをすぐに開くように誘導されました。

IcedIDも同様に進化する可能性が高いです。

IcedIDに感染したらどうなる?

感染しても、IcedID自体はすぐに何もしません。

IcedIDはEMOTETと同様に、高度な技術を用いて身を隠し、敵国に潜入したスパイのように、パソコンの中に潜む「トロイの木馬」と呼ばれるマルウェアです。

特にIcedIDは金融機関や支払の情報を狙うことが多く、「バンキングトロイ」とも呼ばれています。

したがってユーザーは感染したことに全く気がつきません。

IcedIDは通常のウイルスのようにすぐに独自の目立った不正活動はせず、じっと潜みながら外部の犯人と目立たぬように交信を行い、指示にしたがって、不正プログラムをダウンロードしたり、不正な動作をします。

感染後密かに活動するIcedIDの動作と被害

  1. 感染しても自らの存在がばれないように、痕跡を隠す。
  2. 密かに外部の犯人(C&Cサーバ)と交信し、感染したパソコンの概要(コンピユーター名、どんなソフトが動いているか?など)を伝える。
  3. 感染パソコンの概要を知った外部の犯人が攻撃方法を決め、IcedIDに不正なプログラムを送り、攻撃命令を出す。
  4. IcedIDは不正なプログラムを受け取ると、ユーザーが金融機関やカード支払を行う際の表示を偽装したり偽サイトに誘導したりする攻撃手法(Webインジェクション、リダイレクト攻撃)により、金融情報や資格情報を盗み取る(バンキングトロイ)。
  5. さらに「メールアドレスやパスワードなど個人情報の盗取」「不正なメール送信」「他のパソコンへの感染拡大」「ランサムウェア感染」などの犯人が指示した不正行為を拡大する可能性がある。

以上の動作により、IcedIDはいったん感染するとなかなか発見されずに、長期間にわたっていろいろな不正を働くのです。

 

■Androidスマホに感染してエモテットに似た不正活動をする「Joker」とは?

ブログ内の関連記事(新しいウィンドウで開きます)

「Joker」というEMOTETと同様に「密かに感染して被害を広める」凶悪なマルウェアが広まっています。「Joker」の特徴はAndroidのアプリに潜入して広がることで、Google公式ストアでも感染したアプリが発見されています。[…]

 

 

IcedID(アイスドアイディー)に感染しないため、ひとつだけ覚えていただきたいこと

Wordの「セキュリティ警告」を決して見逃さない!

IcedIDに感染しないためには、EMOTETと同様、以下の「たったひとつのこと」だけを覚えてください

★添付ファイルを開いた際に出てくる、下記の「セキュリティ警告」を見逃さず、「コンテンツの有効化」を決してクリックしない!!★

EMOTETに感染しないための見逃してはならないセキュリティ警告

身元が確かでない添付ファイルの「コンテンツ有効化」のボタンは決して押さない

IcedIDはユーザーが「コンテンツの有効化」をクリックしない限り感染しない

IcedIDはEMOTETと同様、マルウェアの仕組み上、添付ファイルを開いただけでは感染しません。

感染源となるメールには「IcedIDはまだ入っていない」のです

IcedIDの感染の仕組みは、以下の3つの段階を経て感染します。

  1. メールに添付されているWord(今のところExcelは発見されていません)など、マイクロソフトのOffice製品のファイルを開かせる。
  2. ユーザー自身に「コンテンツの有効化」ボタンを押させて、ファイルに仕込まれたマクロを動かす。
  3. マクロが外部よりIcedID本体をダウンロードしてはじめて感染する。

つまり

ユーザーが上記の黄色い帯の右端にある「コンテンツの有効化」ボタンを押してマクロを動作させない限りIcedIDは感染しません。

以下、Wordのファイルを開いた画面例でご説明します。

【Wordファイルの「コンテンツの有効化」】

EMOTETに感染しないための見逃してはならないWordのセキュリティ警告

 

上のような警告が出た際に、「これは危ない!」と「コンテンツの有効化をクリック」さえしなければ、IcedIDの感染は防げます。

身元が確かでない添付ファイルの「コンテンツ有効化」のボタンは決して押さない


後は不正なメールとダウンロードした添付ファイルを完全に削除してしまえば安心です。

 

WordやExcelののマクロって何?

マクロとは、ソフトの動作を自動化する簡単なブログラムのことで、WordやExcelに標準搭載されており、少しOfficeに詳しい方は普通に使っている便利な機能です。

たとえばExcelの表で作業する時、いつも同じ「検索」や「並び替え」といった操作を繰り返す時、これをマクロを使ってExcelに動作を指示すれば、Excelはワンタッチで、自動的に作業を繰り返してくれます。

Wordにも同様の機能があり、入力を簡略化できます。
マクロはオフィスソフトを使うときには大変便利な自動化の仕組みで、操作に慣れている人はしばしば使います。

IcedIDはこのマクロ機能を悪用し、外部からIcedIDの本体をダウンロードさせて、パソコンに感染させてしまうのです。

なぜIcedIDはわざわざマクロを使うのか?

昔は「添付ファイルを開いた途端に感染したり、画面を見ただけで感染する」ような、悪質なコンピューターウイルスがありました。

しかし、今のパソコンやOSでは、セキュリティがかなり強化され、不正プログラムが侵入しようとすると、すぐに発見されて防御されるようになっています。

そこで、無害なExcelやWordのマクロを使って、「ユーザーをもっともらしいメールでだまして、添付ファイルのマクロを使う許可をもらって、ダウンロードさせる」という、いわば原始的な方法で、最新のコンピューターの防御策を突破しているのです。

2014年頃に登場した古いタイプのウイルスであるEMOTETやIcedIDがマクロを悪用しているのは、これが理由です。

IcedIDは今のスマホ上(iPhone/Android共)では感染しない

スマホやタブレット版にもExcelやWordは搭載されていますが、ファイル中のマクロはAndroidやiPhone(iOS),iPad(iPadOS)のスマホ上では実行することはできません。

そのため今のところ、IcedIDもEMOTETと同様、スマホ上では感染しません

 

IcedID(アイスドアイディー)に感染しないための対策

IcedIDの仕組みや弱点を知って感染防止対策をしよう

IcedIDは感染したらやっかいなウイルスですが、感染方法は原始的なため、特徴を逆手にとった有効な対応策が可能です。

「パソコンなど機器やソフトウェア」と「使用するユーザーの心がけ」の2つの対策があります。

対策1.機器やソフトウェアによる対策

1.オフィス製品のマクロの自動実行はオフになっているか?確認する

上に書いたとおり、IcedIDはWordのマクロを悪用して感染します。

マクロの危険性はMicrosoftも分かっていますので、WordやExcelでは初期設定は「マクロは無効」になっていて、マクロの使用が必要で求められた時には、な時だけ、ユーザーに「警告」を出すよう設定されています。

EMOTETに感染しないための見逃してはならないセキュリティ警告

しかしオフィスなどでマクロを多用する方が「いちいちと警告が出て有効化するのは面倒だ」とこの機能を解除している場合があります。非常に危険ですので、念のため「無効になっているか?」確認しましょう

WordやExcelの「ファイル」-「オプション」-「トラストセンター(またはセキュリティーセンター)」で簡単に確認できます。

【Wordの設定例(バージョンによって異なります)】

EMOTETに感染しないため、Office製品のセキュリティ設定の確認方法

EMOTETに感染しないため、Office製品のセキュリティ設定の確認方法

2.信頼できるセキュリティ対策ソフトを入れる

信用できる大手のセキュリティー製品をいれましょう。

これらの製品は、「添付ファイル付きのメールが届く時」あるいは「マクロを実行してEMOTETがダウンロードされる際」に警告して感染を防いでくれる可能性があります。

しかし、IcedIDやEMOTETのようなマルウェアは常に進化して変化しているため、セキュリティソフトの予防は万全とは言えません。

Windows10をお使いの方はMicrosoftDefenderという対策ソフトが標準で含まれていますし、企業では高価なセキュリティ対策ソフトを導入しています。

それでもIcedIDやEMOTETは防げないことがしばしばあることが現実です。

またこの頃増えてきた「パスワード付ZIPで圧縮された添付ファイル」の場合、セキュリティソフトの検査ができないため、素通りされてしまいます。

「セキュリティソフトを入れて入るから安心」とは決して思わないでください。

3.Windows UpdateなどOS、アプリのアップデートは常に実行する。

IcedIDやEMOTETに限らず、コンピューターウイルスやマルウェアは、OSやアプリの欠陥・弱点(脆弱性)につけ込んで感染したり被害を生み出します。

それを防ぐために、メーカーが提供するアップデートはできるだけ早く対応することが、セキュリティの基本です。

ブログ内の関連記事(新しいウィンドウで開きます)

2020年9月2日に新型コロナ対策に対応したAppleのiOS13.7、17日にはiOS14にバージョンアップされました。しかし接触確認アプリCOCOAも引き続き必要です。接触感染通知アプリCOCOAと一体化した新しいiOSは何が画期的[…]

OSアップデートのお薦め

対策2.メールに対して常時警戒する

1.マルウェウの犯人は狡猾で知的レベルが高く、あなたの予想を超えた偽造をします。

IcedIDは今のところ単純なメールに添付されてだけですが、先行するEmotetの攻撃では「添付ファイルを開かせるため、差出人や件名など本物のメールと区別がつかない、よくできた偽装メールを使う」ようになっています。

上に書いたように、犯人からすると、IcedIDやEMOTETに感染させるためには、メール本文により被害者を完全に信用させ、何の疑いもなく添付ファイルを開かせて、さらに「コンテンツの有効化」をクリックさせなければならないのです。

そのため、メールの本文の偽装は相当気を使ってレベルの高いものを作り上げるようになります。

まずメールを盗み出し、それを参考にしながら、実在する発信者からのメールや、請求書とか見積書といった、それらしいメールを作り上げ、重要そうな添付ファイルへ偽装しています

なお送信元のメールアドレスを偽装することは簡単ですから、全くあてになりません。

9月になってセキュリティ会社のトレンドマイクロからの実物のメールを流用した、個人宛の攻撃も確認されています。

以下のメールのように、一見しただけでは全く偽物と気がつかない精巧なフィッシングメールが送られてきます。

以前、大手航空会社や旅行会社が感染した際は経営トップが謝罪する事態になりました。

万一感染した際にどれだけ大変な事になるかを考えて、「安易に添付ファイルを開いてコンテンツの有効化」をクリックするようなことはお控えください。

トレンドマイクロ社からのアンケートメールを装うEMOTETの文面
■画像引用元:トレンドマイクロ社セキュリティブログ

2.メールの本文だけで判断して信用してはいけない

上記のように、EMOTETでは本物のメールの文面を流用した精巧な偽造メールが多数確認されています。

以下のような文面が確認されています。

請求書、ボーナス支給、配送情報、新型コロナ対策、次の会議の議題、会議の招待、仕事の依頼、請求書発行・送付依頼、入金通知

さらに海外ではマイクロソフトよりのWordのアップグレードに見せかけて、「編集を有効にするをクリックし、コンテンツを有効にするボタンをクリックするように」と指示するEMOTETメールまで発見されています。

今のところIcedIDのメールはシンプルですが、いずれEMOTETのように精巧な偽造メールが使われるようになると思われます

WordのアップグレードをかたるEMOTETメール

信頼できそうな企業から、もっともらしい名目で添付ファイルが送られてきても、完全に信用できるもの以外は、安易に添付ファイルを開いてはいけません。

しかも特定の企業を狙った攻撃では、犯人はまず企業で使われているメールを盗み出して、差出人や文面を流用することまでします。

日本の有名航空会社や大手旅行会社が狙われた手口では、日常的にやりとりされているメールに偽装され、どう読んでも不正メールとは見えないように作られていました。

「メールへの返信ではない、電話などの別の手段」で発信元に真偽を問い合わせる」などしてから対処しましょう。

3.パスワード付の添付ファイルには特に中止、使用も止める。

「パスワードで暗号化されたZIPファイル」を添付し「別メールでパスワードを送る」手法(PPAP方式)は、企業間でしばしば使われています。
しかし暗号化のため、セキュリティ対策ソフトが添付ファイルの中を調査できないため、マルウェアが通り抜けてしまいます。

IcedIDの犯人もそこを狙って、パスワードで暗号化されたZIPファイルにIcedIDを仕込んでいます

アメリカの公的機関CISAからは「パスワード付の添付ファイルは危険なので、企業は届かないようにブロックすべき」とまで発表されています。

そもそも添付ファイルを暗号化し、パスワードを別メールで送る方法は、セキュリティ的にもあまり意味がありませんので、そろそろ見直し、使用を中止すべきです。

事実、日本政府でも、平井卓也デジタル改革担当相より2020年11月17日の定例会見官公庁で「パスワード付ZIPファイルを廃止する」方針が打ち出されました。

  • 内閣府、内閣官房では、メールでパスワード付き添付ファイルを送り、パスワードを後から送る方法(いわゆるPPAP)は、26日から廃止する。
  • PPAPはセキュリティ対策や受け取った側の利便性から適切ではない。
  • 代案としては民間のストレージサービスのファイル共有機能を使う。
ブログ内の関連記事(新しいウィンドウで開きます)

「何の意味があるのかな?」と思いつつも、毎日設定して送信している方も多い「パスワード付きZIPファイルの添付」のルール(PPAP方式)を平井デジタル改革担当相が「中央官庁では廃止する」発表しました。この作業は今では無意味なだけでなくかえ[…]

パスワード付きzipファイルは廃止しよう

「この添付ファイルはバスワード付きだから安心」などとくれぐれも誤解しないようにしてください。

4.添付ファイルを開いて、コンテンツの有効化はクリックしない

何度もご説明したとおり、メールの添付ファイルを開いた際に、以下の警告が出た場合は、絶対確実な場合以外は、決して「コンテンツの有効化」をクリックしてはいけません

EMOTETに感染しないための見逃してはならないセキュリティ警告

万一IcedID(アイスドアイディー)の感染が心配な時は?駆除方法は?

EMOTET専用の感染チェックツールはIcedIDには使えません!

また「ひょっとして感染したかもしれない」と言うとき、EMOTETには、日本のセキュリティ対策を主導している機関「一般社団法人JPCERTコーディネーションセンター」様がつくった感染チェックツール「EmoCheck」がありました。

しかしIcedIDは似ていても構造が違うためemocheckは使えません

ご注意ください。

現時点でIcedIDに使える無料のチェックツールはありません。

感染したら一般的なウイルス対策ソフトで発見・駆除はできる。必ず導入しよう。

IcedIDは「パスワードで暗号化されたZIPファイル」の形で添付されているため、今のところ一般的なセキュリティ対策ソフトでは検知できません。

上記でご説明したように、

  1. 不審な添付ファイルを開かない
  2. 添付ファイルを開いて、コンテンツの有効化はクリックしない

しなしことが対策となります。

しかし感染した時点で、ほとんどの場合セキュリティ対策ソフトが検知し駆除してくれるはずです。

定評あるセキュリティ対策ソフトを必ず導入しましょう。

オンラインでスキャンしてくれるサービスもあります

届いたメールの不審なURLや添付ファイルをスキャンしてくれるオンラインサービスがあります。

おすすめは下記のGoogleが運営している「VIRUSTOTAL」。
なんと全世界の100種類近くのセキュリティサービスを同時に使って徹底的にスキャンしてくれますのでかなり安心。しかも無料です。

不審な添付ファイルを「VIRUSTOTAL」にアップロードすると、スキャンして素性を確認してくれます。

使い方は以下の当社ブログ記事をご覧ください。

ブログ内の関連記事(新しいウィンドウで開きます)

個人情報を盗んだり、ウイルスを感染させようする詐欺メール(フィッシングメール)や詐欺SMS(スミッシング)、そして「SNSのメッセンジャーで友達から届く詐欺動画」など、あなたをだますメッセージが毎日たくさん飛んできます。変な日本語もなく[…]

 

まとめ:
IcedID(アイスドアイディー)は脅威だが、実は感染を防ぐことは容易

IcedIDはEMOTETと同様、進化した強力なマルウェアですが、感染の仕組みは「人の隙につけ込んだソーシャルエンジニアリング的」な手口で感染するので、各自が注意することで、容易に感染を防ぐことができます。

添付ファイルを慎重に扱うべき事は、IcedIDやEMOTETに限らず、現在では当然のルールであり、慣れるしかありません。

  • どうしてもマクロが含まれたメールを送る時は、別途内容について打ち合わせる
  • 添付ファイルを暗号化してパスワードをつける事は止める

など、仕事のルールも見直して配慮しつつ感染拡大を防ぎましょう。

ブログ内の関連記事(新しいウィンドウで開きます)

 2019年7月16日、オバマ前大統領やビル・ゲイツ氏など世界的な有名人の公式アカウントが乗っ取られ、偽Twitterメッセージが全世界に送られて大きな被害が発生しました。「犯行の手口はソーシャルエンジニアリング」とされています。ソ[…]

socialengineering ソーシャルエンジニアリングのイメージ

 

Digital Keeperお薦めのセキュリティソフト

セキュリティ専門ソフトがやっばり必要です

今ではWindows10のようなOSは標準でセキュリティ機能が含まれており、コンピューターウイルスやマルウェアの侵入を防御してくれますが、セキュリティ専門ソフトは、より強力な防御力とさまざまな追加機能であなたとご家族を守ってくれます。

たとえば

  • フィッシングメールに惑わされてうっかりURLをクリックしても「警告して先に進むことを止める」。
  • 仮に感染しても重要な個人情報の流出や不正送金を食い止める。
  • 子供のネットの利用時間や不健全なサイト利用を制限する。
  • スマホを紛失時に探したり、データを削除する。
  • 外出時に使う公衆wifiをVPNを使って安全に使用する。

といった機能です。

セキュリティソフトの選び方、買い方

いろいろなセキュリティソフトがありますが、選択に当たっては、価格や広告上の性能だけでなく、

  • 老舗で世界各国で使用されてきた実績が豊富で、ユーザー数の多いもの
  • ご本人のパソコンだけでなく、ご家族のスマートフォン、タブレットもすべてカバーできるもの

を選択して下さい。
こうしておくと「機械に不慣れな奥様がスマホを紛失した際にご主人が探し出す」事など家中の機器をもれなく一括してセキュリティ管理できてしまいます

またセキュリティソフトは店頭で箱に入っているパッケージ版より、ダウンロード販売の方が価格も安く、ご自宅の環境に併せてライセンス内容を選択できるため便利です

家庭のパソコンやスマホの数(1台~10台)や使用期間(1年~3年)にあったものをお選び下さい。

Digital Keeperが社内でも使用し、おすすめしているのは「Kaspersky」の製品です。

もっとも大切な防御力は世界各地の第三者機関のテストで常に「最上」の評価を受けるなど間違いなくNo.1です。

また付属する機能も豊富で「これだけ入れておけば他のセキュリティ製品は不要」なほどですが、それでいて動作も重くないのがすばらしいです。

下記のバナーで無料の30日間体験版がダウンロードできます。使ってみて性能を実感してみてください。