USBストレージのデータを盗み取って外部に送信するマルウェアの情報を、一般社団法人JPCERT/CC（JPCERTコーディネーションセンター）が公開しました。

手口
複数のネットワーク端末をマルウェアに感染させ、ストレージ内のデータを盗み取る手口

　マルウェアはネットワーク接続された端末に侵入し常駐。端末にUSBストレージが接続されると、その中身のファイル一覧を「interad.log」「slog.log」といった名前でPC内に生成します。攻撃者はここから標的とするファイルを選んでリスト化。これをもとにストレージ内のファイルを圧縮し、別の感染端末から細分化したうえで外部へ送信します。

　感染した端末には先述のファイル一覧が見られるほか、「C:\intel\logs」や「C:\Windows\system32」フォルダ内に、正規の実行ファイルに類似したファイルが設置されるといった特徴があるとのこと。同団体は、「これに当てはまる端末が確認された場合は連絡を」と呼びかけています。

図版
JPCERT/CCの情報をもとに作図した感染例。攻撃対象となる端末の構成によって、ファイル構成は変化する可能性があります

　JPCERT/CCは、クローズドネットワーク内で情報を管理している環境でも、同手法が悪用されればストレージ内のデータが窃取されると指摘。ストレージの管理ルールを見直すといった対策を挙げ、注意を喚起しています。

（沓澤真二）