高度な技術を持つサイバー攻撃グループが、正規のツールを悪用する、過去に例がない手口を使って秘密裏にマルウェアを拡散していることが明らかになった。
提供：Image: Getty/Erikona
この攻撃に関する情報を発表したのはSymantecで、攻撃者が被害者のネットワーク内に18カ月以上も潜んでいた例が見つかっているという。攻撃者の目的は、情報収集や諜報活動であるとみられている。
この攻撃がどのように始まるかはまだ明らかになっていないが、被害者は「Geppei」と呼ばれるこれまでに記録がない種類のマルウェアに感染させられる。このマルウェアは、感染したシステムへの秘密のアクセス手段を提供し、システム上のデータを盗む能力を持つ「Danfuan」と名付けられた別のバックドア型マルウェアを配信するのに使われている。
この攻撃キャンペーンの特徴は、Geppeiが検出を逃れる手口として「Internet Information Services」（IIS）のログを悪用している点だ。Symantecの研究者は、このような攻撃手段は過去に例がないと述べている。
IISのログはWindowsのサーバーサービスの一部を構成しており、一般にはウェブアプリケーションのトラブルシューティングに使われることが多い。IISのログには、ユーザーが、ウェブサイトやアプリケーションとどのようなやりとりをしているかが記録されている。
Geppeiは、ウェブページやアプリなどに関する情報が記録された、IISの正規のログからコマンドを読み取る。攻撃者は、侵害を受けているウェブサーバーに対してウェブのアクセスリクエストを装ってコマンドを送信している。IISはそのアクセス記録を正常な形でログに保存するが、Geppeiはその情報をコマンドとして解釈する能力を持っている。Geppeiが読み取ったコマンドには、悪意を持つエンコードされたファイルが含まれており、このファイルは任意のフォルダに保存され、実行されてバックドアとして機能する。
Symantecの脅威ハンターチームに所属するシニアインテリジェンスアナリストBrigid O Gorman氏は、米ZDNetの取材に対して、「IISのログを利用する攻撃者の手口は、この攻撃キャンペーンの最も興味深い点の1つだ。IISのログからコマンドを読み取る手法が実際の攻撃で使用されるケースをこれまで見たことがない」と述べている。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
