編集部からのお知らせ
「ZDNet Japan Summit」参加登録受付中! 
新着記事集:「負荷分散」

アジアで活発なBlackTechの仕業か--盗んだD-Linkの証明書を使って攻撃を展開

Charlie Osborne (Special to ZDNet.com) 翻訳校正: 編集部

2018-07-11 12:39

 サイバーセキュリティ企業ESETの研究チームは米国時間7月9日、盗んだD-Linkの証明書を使ってマルウェアに署名が施された、悪意あるキャンペーンを発見したと報告した。

 ESETのシステムがいくつかのファイルを悪意あるものとして検出したことが、このマルウェアキャンペーンの発見に至ったという。研究者らは、フラグが立てられたファイルはD-Linkのコードサイニング証明書が付いていたので不思議に思ったという。

 証明書は、ファイルやソフトウェアの正当性(と安全性)を確実にするために発行するものだ。だが、攻撃者が証明書を盗むことができれば、それを使って悪意あるソフトウェアにデジタル署名をして正当なものに見せることができる。当然、標準的なサイバーセキュリティ保護ソリューションを回避できるだろう。

 ESETによると、キャンペーンで利用されていたものは正規のD-Linkソフトウェアに署名するために使われていたのと同じ証明書であり、「証明書は盗まれた可能性が高い」という。

 このキャンペーンを展開するのは、台湾、日本、香港などアジアをターゲットにAPT(Advanced Persistent Threat: 高度で持続的な脅威)攻撃を実行するグループBlackTechとみられている。

 ESETは今回、BlackTechが関与しているとされるサイバー諜報活動と関わりの深い2つのマルウェアファミリにおいて、盗まれた証明書が使われているのを発見している。

 そのうち、メインのマルウェアファミリは「PLEAD」と呼ばれるものだ。これは2012年にスタートした情報窃取キャンペーンとも関係しているマルウェアで、キャンペーンを展開するオペレーターは、スピアフィッシング手法を使ってマルウェアを拡散する。

 もう1つESETが見つけたのはパスワードを盗み出すマルウェアで、「Google Chrome」「Microsoft Internet Explorer」「Microsoft Outlook」「Mozilla Firefox」からパスワードを盗もうと試みる。

 さらに、ESETは台湾のセキュリティ企業 Changing Information Technologyの証明書を使ったマルウェアのサンプルも発見している。この証明書は2017年7月に破棄されたが、 BlackTechにまだ使われている。

 ESETからの報告を受け、D-Linkは調査を実施した。その後、2件のデジタル証明書が影響を受けたとして、これらを7月3日に破棄し、新しい証明書を発行している。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

特集

CIO

モバイル

セキュリティ

スペシャル

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNet Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]