あ、私、取得していませんｗ
Pete LinforthによるPixabayからの画像
セキュリティエンジニアならまずCISSPですが、まぁ、セキュリティ全般の知識をもっている証左とはなります。
さらに高度なテクニックを駆使し、分析、マルウエアの解析、サイバー攻撃の手法の理解を求められます。
ふらっとみたところ、最近、合格された方が体験記を書かれていたので、ご紹介。
前に投稿したZerologon、被害が確認されつつあります。
OpenClipart-VectorsによるPixabayからの画像
日々ネットワークを関してしている脅威インテリジェンス。マルウエアの配布元を探ってリスト化し、それを企業やセキュリティベンダーに提供しています。
最近のスパムメールには、大概マルウエアを添付するわけではなく、マルウエアの所在する、もしくはその手掛かりの情報があるサイトへ誘導することをします。
脅威インテリジェンス側もそのサイトのIPアドレスやドメイン名、URLをリスト化してはやくブロックするように提供しています。
できれば、スパムメールが届く前に、もしくは、届いても、悪意のあるサイトへ到達しないようにしたいもので、リストは日々アップデートされています。
当然、攻撃側も、悪意のあるサイトをなるべく発見されてないように努めます。また、サイトは常時一定のところにいるわけではなく、転移しています。
今回の報告は、なるべくサイトのURLを特定されてないように、つまりスパムフィルターなどのセキュリティ対策をかいくぐるためのテクニックが判明しました。
なかなか興味深い内容ですね。
URLは、通常
プロトコル＋ドメイン名（ホスト名）＋URI＋オプション
で構成されます。
規格では、ドメイン名の記述方法で
Athority（ユーザ名に使われる）が記述できるようになっています。
例えば
"joseph@www[.]hogehoge[.]com/world/black"
てな感じで、
"www[.]hogehoge[.]com/world/black"
には悪意のあるスクリプトが埋め込まれているとしましょう。
実際
www[.]hogehoge[.]comがこのURLを知らないよ、って答えると、
リダイレクト要求して、
"www[.]hogehoge[.]com/world/black"
"www[.]hogehoge[.]com/world/black"
昨年末から日本でもEmotetの被害が出てきましたけど、まだまだ世界的に猛威を振るっているようです。
今度は、イタリアやオランダが狙われているようです。
７月に大々的に復活したのですが、あるホワイトハッカーが頑張ってくれて、EmotetのオペレータがハックしたWebサイト（ペイロードの保管用）にペイロードを仕込んでいたのを見つけて、無害の画像ファイルに置き換えてくれて無害化してました。
んでもね。。オペレータもさることながら、それを防ぐ手立てを。
いまはスパム業者がよくつかっているようです。マルウエアを含んだドキュメントファイルを添付して、、、
そして、その添付ファイルをZipで暗号化して、メールスキャンを回避するようになっています。
そのようなメールが来たら、ご注意を。
うまくクラウドアプリのドメイン割り当て方法を利用して（悪用して）、フィッシングサイトへの誘い込みやマルウエアをダウンロードさせる方法をリサーチャーが公表しました。この手法だと、なかなか大手のセキュリティプロダクトでは検知できないようです。
（休み中なのでやや詳しく解説ｗ）
Gerd AltmannによるPixabayからの画像
