エンドポイントではなく指令サイトの元から絶つ

RSA、アップデート機能を備えたトロイの木馬対策を語る

2009/11/10

　「ライブアップデート機能を備えたトロイの木馬が増えている。これは、アンチウイルス企業にとって大きな課題だ。シグネチャベースのテクノロジで検出しようとしても、そのリストは膨大になり、検知・駆除は困難だからだ」――イスラエルを本拠とするセキュリティ企業、RSAセキュリティのプリンシパルテクニカルコンサルタント、アビ・ローゼン氏は10月の来日時にインタビューに答え、このように警鐘を鳴らした。

　近年、オンライン詐欺は「いたずら」ではなく、金銭を狙った「犯罪」と化していることはさまざまな場で指摘されている。同社によるとその手口として、フィッシング詐欺に加え、それと知られずにPCに潜り込み、バックエンドでクレジットカード番号やID、パスワードといった、金銭価値の高い情報を知られずに外部に送信してしまうトロイの木馬を悪用する方法が目立つという。

RSAセキュリティプリンシパルテクニカルコンサルタントアビ・ローゼン氏

　ローゼン氏によると、トロイの木馬を用いた詐欺の手法は年々高度化しているという。「例えば、攻撃を簡単に行えるようなツールキットが用意されていたり、スクリプトも含めインストールや設定変更を簡単に行える設定ツールが用意されていたり、はたまたハイアベイラビリティ構成を取っていたりと、通常の商用ソフトウェアに劣らぬ機能や使い勝手を備えたものが登場している」。

　また、こうしたトロイの木馬は「ミュール」と呼ばれる、一種のマネーロンダリング用口座を利用することが多いが、そのミュールの情報を状況に応じてダウンロードしてみたり、ユーザーの行動を監視して、オンラインバンクにアクセスしたらその時点でセッションを乗っ取り、気付かれないよう送金先をミュール口座に変えてしまうなど、悪質な手口が増えているという。

　中でも注意が必要なのは、ライブアップデート機能を備えたトロイの木馬だ。こうした機能が搭載されていると、攻撃者の指令1つで、簡単にそのプログラムの内容をリモートから変更できてしまう。「こうしたマルウェアをエンドポイントセキュリティで検出しようとすると、1日に何度も定義ファイルをアップデートしなくてはならないため、最新のマルウェアに追い付くのは困難だ。結果として、こうした手段でトロイの木馬を防ぐことはできないし、追い付くこともできない」(同氏）。

　そこでRSAセキュリティでは、随時形を変えていくトロイの木馬を検出するため、「RSA FraudAction Anti-Trojan Service」というサービスを開始した。すでに提供済みのフィッシング対策サービス「RSA FraudAction フィッシング対策サービス」に続く、「感染元から絶つ」タイプのサービスだ。

　一般にトロイの木馬は、改ざんされたWebサイトなどを通じてPCに潜り込み、指令サイトから攻撃者の命令を受け、個人情報などを収集しては「ドロップポイント」と呼ばれる集積場所に保存する。こうした各ポイント間の情報の流れを監視し、トロイの木馬のコミュニケーション先を把握し、「元から絶つ」ことによって、被害の広がりを防ぐ仕組みだ。

　もちろん、攻撃手法は常に「改善」が続けられている。例えば、トロイの木馬と指令サイトの間の通信を暗号化して、第三者に把握されないようにしたり、設定ファイルに通信先をハードコードして解析されにくいように細工を凝らすなど、「彼らもまた、セキュリティに投資している」（ローゼン氏）が、サービスプロバイダーをはじめとするパートナーと共同戦線を張ることで、「こうした手口に効果的に対抗していくことができると思う」と同氏は述べた。

　「日本のユーザーをターゲットにした攻撃でも、日本国内に指令サイトがあるとは限らない。状況に応じて海外の機関と連携し、交渉することのできるグローバルなリーチが必要だ」（同氏）。

チャットを悪用した詐欺も登場

　RSAセキュリティはまた、10月30日に公表した「Monthly AFCC News」の中で、ライブチャット機能を利用する新しいフィッシング詐欺手法に注意を呼び掛けている。この時点ではまだ1件しか確認されておらず、実験的な手法である可能性は高いが、ひとたび有効性が確認されれば広く使われる恐れもあり、注意が必要だ。

　「チャット・イン・ザ・ミドル（CITM）攻撃」と呼ばれるこの手法では、なりすましメールによってユーザーをフィッシングサイトに誘導し、IDとパスワード情報を盗み取ろうとする。ここまでは通常のフィッシング詐欺と同じだが、CITM攻撃ではさらに、自動的にオンラインチャット機能が立ち上がり、「銀行の詐欺対策部門サポート担当」を名乗る人物が話しかけてきて、より詳細な情報を聞き出そうとするという。

　同社は先に、ユーザーの行動を監視して、オンライン銀行へのログイン時に振込先を変更させる、マン・イン・ザ・ミドル（MITM）攻撃に警鐘を鳴らしていたが、CITM攻撃はその発展系。オープンソースソフトウェアユーザーがインスタントメッセンジャーを立ち上げていなくとも、攻撃者側からセッションを

　そもそも日本国内では、オンラインチャットをサポートに利用する金融機関は少ないうえに、ユーザー名やパスワード、秘密の質問に関する情報をこうした手段で問い合わせることはまずない。これを踏まえ、「こういった画面が出てきたら『おかしいな』と感じることが大事」と同社は注意を呼び掛けている。