サイバーセキュリティ企業ESETの研究チームは米国時間7月9日、盗んだD-Linkの証明書を使ってマルウェアに署名が施された、悪意あるキャンペーンを発見したと報告した。
ESETのシステムがいくつかのファイルを悪意あるものとして検出したことが、このマルウェアキャンペーンの発見に至ったという。研究者らは、フラグが立てられたファイルはD-Linkのコードサイニング証明書が付いていたので不思議に思ったという。
証明書は、ファイルやソフトウェアの正当性（と安全性）を確実にするために発行するものだ。だが、攻撃者が証明書を盗むことができれば、それを使って悪意あるソフトウェアにデジタル署名をして正当なものに見せることができる。当然、標準的なサイバーセキュリティ保護ソリューションを回避できるだろう。
ESETによると、キャンペーンで利用されていたものは正規のD-Linkソフトウェアに署名するために使われていたのと同じ証明書であり、「証明書は盗まれた可能性が高い」という。
このキャンペーンを展開するのは、台湾、日本、香港などアジアをターゲットにAPT（Advanced Persistent Threat： 高度で持続的な脅威）攻撃を実行するグループBlackTechとみられている。
ESETは今回、BlackTechが関与しているとされるサイバー諜報活動と関わりの深い2つのマルウェアファミリにおいて、盗まれた証明書が使われているのを発見している。
そのうち、メインのマルウェアファミリは「PLEAD」と呼ばれるものだ。これは2012年にスタートした情報窃取キャンペーンとも関係しているマルウェアで、キャンペーンを展開するオペレーターは、スピアフィッシング手法を使ってマルウェアを拡散する。
もう1つESETが見つけたのはパスワードを盗み出すマルウェアで、「Google Chrome」「Microsoft Internet Explorer」「Microsoft Outlook」「Mozilla Firefox」からパスワードを盗もうと試みる。
さらに、ESETは台湾のセキュリティ企業 Changing Information Technologyの証明書を使ったマルウェアのサンプルも発見している。この証明書は2017年7月に破棄されたが、 BlackTechにまだ使われている。
ESETからの報告を受け、D-Linkは調査を実施した。その後、2件のデジタル証明書が影響を受けたとして、これらを7月3日に破棄し、新しい証明書を発行している。
この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。
