Macを標的とするマルウェア発見｜注意！

 

Mac経由でバックアップ情報を取得？

iPhone内の情報を狙うマルウェア発見

 

露サイバー犯罪グループ「APT28」が関与？

 

ウィルス対策ソフトBitDefenterの解析チームが、ロシアのサイバー犯罪グループ「APT28」によるマルウェア「Xagent」の亜種の一つとして、Macを標的とするものを発見したと報告しました。

この亜種にはMacにインストールされたiTunesからiPhoneのバックアップファイルを盗み出す機能があるとのこと。

2007年頃から活動を開始しているAPT28(別名Fancy Bear、Strontium)とのこと。APT28といえばモスクワ周辺に拠点を置き、主に国家機密情報などを狙うことからロシア政府の関与が疑われており、昨年は米国民主党にサイバー攻撃を仕掛けたとされます。

​​​​Bitdefenderの報告によると、

Macへの感染が見つかったXagentのサンプルを解析したところ、iTunesが抱えるiPhoneなど、iOSデバイスのバックアップを盗み出す機能を備えるのが分かったとのこと。

Xagentにはほかにシステムのハードウェア構成やソフトウェア、実行中プロセス一覧の取得やスクリーンショット、パスワードを盗み出す機能もあり、それらをアップルに装ったAPT28のサーバーへ送信するとしています。

iTunesの設定項目にはバックアップを暗号化するオプションもあるので、ユーザーはそれを有効にしておくほうがより安全なのは間違いありません。

またBitdefenderは自らのアンチウィルスソフト「Bitdefender」を使用している場合はこのXagentからシステムを保護できると主張しています。


日頃からウィルス、マルウェア、脆弱性といった言葉に慣れ親しんでいるWindowsユーザーならともかく、そういった脅威に対峙する機会がWindowsユーザーに比べて少ないMacユーザーの場合、もしかすると全くウィルス対策をしていない、という人もいるかもしれません。

Bitdefenderでなくとも、ほかのメジャーなウィルス対策ソフトもXagentの確認が取れればすぐに対策をアップデートするはずなので、「ノーガード戦法」とか言っているヒマがあったらさっさとウィルス対策を導入するのが身のためです。

あとはMacを対象としたセキュリティアップデートにも日頃から注意しておくとより安心です。





BitDefender Labs
New Xagent Mac Malware Linked with the APT28
https://labs.bitdefender.com/2017/02/new-xagent-mac-malware-linked-with-the-apt28/ 






関連記事

ハッカー集団「APT 28」がドイツに対する「情報戦争」を拡大

iTunes でのバックアップの暗号化について

スパイ型マルウェア「Regin」

ドイツ当局、米英によるスパイ活動疑惑の調査を開始。首相府高官らのPCからマルウェア検出

ドイツ検察庁がスパイ型マルウェア「Regin」について調査を開始したと独シュピーゲル紙が伝えています。Regin は昨年11月にシマンテックなどが公表したトロイの木馬の一種。各国政府や企業、著名研究者などの PC にバックドアを仕掛け、多様な情報を盗み出しているとされる悪質なマルウェアです。

※見出しの写真は記事内容と関係ありません。
 

Regin は、5段階の攻撃手法や高度なステルス/暗号化機能を駆使してセキュリティソフトの検出を巧みに逃れるよう作られています。また攻撃手法別にモジュール化 されたプログラムをロードする仕組みを備え、目的とする攻撃に応じて柔軟なカスタマイズが可能。感染したコンピューターどうしでP2Pネットワークを構成 し、TCP、UDP にくわえ偽装した ICMP を利用して通信内容の検出を困難にするなど、情報を盗み出すための悪質さではトップクラスのマルウェアと言えます。

また、その考えぬかれた構造から Regin の開発にはある程度大きな(例えば国家)組織が絡んでいると言われており、遅くとも2008年ごろから各国政府や主要研究機関、著名研究者、企業などを対象に情報の収集をしていた可能性があるとされます。

今回調査を開始したドイツでは、メルケル首相に近い首相府高官らが使用していたノート PC で Regin の活動痕跡があったとされています。ドイツといえば、2013年に米国家安全保障局(NSA)によるメルケル首相の携帯電話盗聴の疑いが浮上し、両国の関 係はある意味緊張状態となりました。ドイツ政府は盗聴の犯人を特定すべく捜査を継続していましたが、立証困難としてこの6月、2年間にわたる調査を終了し ています。
　

Regin はロシアやサウジアラビア、中東諸国、インド、欧州の一部で活動の痕跡がみつかる一方、米国、英国、カナダ、オーストラリア、ニュージーランドの5か国か らはまったく発見されていません(一部には米英からもみつかったとする情報もある)。この5か国は Five Eyes と呼ばれる諜報同盟を結んでいることが米国家安全保障局(NSA)の元職員エドワード・スノーデンが暴露した情報から明らかになっています。

メルケル首相近辺からの情報収集についても Five Eyes、特に NSA および英政府通信本部(GCHQ)による諜報活動が噂されています。しかし、もしこの5か国がそれぞれ Regin を個別に利用していたとするならば、ドイツ首相府の PC を操っていたのは誰か、またはどこの機関か、犯人を特定するのは非常に困難なことかもしれません。

 

約900台の監視カメラがマルウェアに感染

世界約900台の監視カメラがマルウェア感染。協調してクラウドサーバーにDDoS攻撃を仕掛ける

 

ネットワークセキュリティ機器メーカー Incapsula が、世界で約900台のネットワーク監視カメラがマルウェアに感染し、ボットネットを構成していると発表しました。感染したカメラは特定のサーバーに対 し、合計で1秒間に20000回もの HTTP Get リクエストを送信する DDoS 攻撃を引き起こしていました。
　
ボットネットとは、マルウェアに感染して"ボット"化したコンピューターが構成するネットワーク。通常は PC やサーバーなどが感染して構成され協調して特定のサーバーへ情報を送信したり、DDoS 攻撃を仕掛けたりします。ただ、不審な動作はユーザーや管理者に察知され、対策されるケースも多いものです。

一方、ネットワーク監視カメラを含む IoT 機器への感染で構成されるボットネットは、ネットワークの帯域消費は別として、機器の管理者が気づくことはほとんどありません。

ただ、マルウェアに感染する以上、監視カメラのような機器であっても DDoS 攻撃以外に未知の問題を引き起こす可能性がないとは言い切れません。Incapsula はネットワーク監視カメラの他に NAS が感染して構成されたボットネットも発見しており、潜在的には映像や保存されたデータといった具体的な情報が流出する危険性があることを指摘しています。
　

今回発見されたボットネットは、全世界で約900台のLinuxベースのネットワーク監視カメラで構成されていたとのこと。そして、何百万人ものユーザーが利用するクラウドサーバーにDDoS攻撃を仕掛けていたと伝えられています。

なお、感染したネットワーク監視カメラの多くは、きちんと設定されず工場出荷時のまま使用されていました。またIncapsula によると、今回の例では感染を広げるために Telnet/SSH を受け付ける同種の機器を検索するため、これらの設定をデフォルトから改めることで、機器の DDoS 攻撃への加担を防止できると呼びかけています。

もし管理者が適切な設定をしていれば、このような問題は発生しなかったと考えられます。ただし根本的には、見つかった脆弱性に対してメーカーがきちんとセキュリティパッチを提供し、さらにユーザーに対し正しい設定方法の告知を徹底する必要がありそうです。

「人類に対する脅威だ」ホーキング博士　攻撃対象を機械が判断“ＡＩ兵器”に科学者たちが反対署名