<解決>ショートカットファイル型ウイルス感染手口と無料対策

〈 2022年4月 〉
凶悪なトロイの木馬 Emotet がEメールで受信した 不正なショートカットファイル を開かせる攻撃手口を採用しているとのこと。Windows ファイアウォールで 「powershell.exe」 「wscript.exe」 などの外部通信をあらかじめブロックしておくと、不正なショートカットファイルをうっかり開いても Emotet の感染を防止できます。

• Windows XP/Vista/7/8/10/11 上で影響するファイル
  mac OS、Android OS、iOS （iPhone / iPad） では動作しない
  
  
• ファイルの脅威はショートカットファイル型のマルウェア
  └ ユーザーに フォルダー と誤認させてファイルのダブルクリックを狙っている

ショートカットファイルの [リンク先(T)] に攻撃処理あり

1. Windows に実装されているスクリプト実行環境 Windows PowerShell を呼び出す
   
   
2. PowerShell スクリプトを介して外部ネットワークに接続を試みる
   
   
3. 実行ファイル （マルウェア） をダウンロードしてきてコッソリ起動する

Windows のショートカットファイルとは？

Windows ヘルプページから 「ショートカットファイル」 について引用すると…

テキストファイルと、そのショートカットファイル

ショートカットとは、コンピューター上にある項目 （ファイル、フォルダー、プログラムなど） へのリンクです。作成したショートカットファイルは、リンク先の項目に簡単にアクセスできるように、デスクトップやフォルダーのナビゲーション ウィンドウ （左側のウィンドウ） などの便利な場所に配置できます。
ショートカットファイルのアイコンには 矢印 が表示されるため、元のファイルと区別できます。

★ ショートカットファイルのアイコン
任意のアイコン画像を作成者が自由に指定できる
→ たとえば 「文書」 「写真」 「フォルダー」 っぽく見た目の偽装ができる

Windows ユーザーさんにショートカットファイル型ウイルスの危険性が知られているとは言い難く、ショートカットファイルの知識やウイルス感染手口を目にしない限り、精神論的なウイルス対策 『不審なファイルを開かない』 では太刀打ちできません。

ショートカットファイル型ウイルスに出会う感染経路の定番が 迷惑メール（スパムメール） で、Eメールの添付ファイルとして受信したり、あるいはEメール本文中の URL リンクからダウンロードさせる流れです。

【ショートカットウイルスの感染経路】
Eメールの添付ファイルとして圧縮アーカイブ （.zip .rar） を受信する
Eメール本文中の URL リンクをクリックしてダウンロードさせる
　↓ ファイルを展開する

中からショートカットファイルが登場する
　↓ ポチポチッとダブルクリックして開く

コンピュータウイルス、トロイの木馬、マルウェア感染！

• ショートカットファイル単品で大規模な攻撃を遂行するのは困難
  （認証情報を盗みだす、ファイルを破壊して暗号化する → 無理）
  
  
• 「ダウンローダー」 としての役割
  └ メインとなるマルウェアの実行ファイルを外部ネットワークからダウンロードする処理のみ

• Windows PowerShell
  
  
• BITS バックグラウンド インテリジェント転送サービス
  
  
• Windows Script Host （JScript / VBScript）
  
  
• HTML アプリケーション
  
  
• Windows Management Instrumentation （WMI）
  

• powershell.exe
  
  
• bitsadmin.exe
  
  
• wscript.exe
  
  
• mshta.exe
  
  
• cscript.exe
  
  
• cmd.exe
  
  
• WMIC.exe

タグ ：

Windows