初の悪用事例

Meltdown＆Spectre用の「偽の修正パッチ」に注意

MeltdownとSpectreの脆弱性がついに悪用された。それは、偽の修正パッチを配布してマルウェアに感染させるというものだった。

　サイバー攻撃者がプロセッサの脆弱（ぜいじゃく）性である「Meltdown」と「Spectre」を悪用する初の試みは、この欠陥を修正するセキュリティ更新プログラムに見せかけることだった。

　セキュリティ企業Malwarebytesの研究員は、あるドイツ語のWebサイトを発見した。このサイトは政府の支援を受けているように見せかけ、MeltdownとSpectreのヘルプを提供している。だが、これにはマルウェアへのリンクが含まれている。

　「このサイトはドイツ連邦情報セキュリティ局が公開しているかのように装っている。だが、このSSL対応のフィッシングサイトは、正規の政府機関とは無関係だ」とブログに投稿したのはMalwarebytesでマルウェア情報の主任アナリストを務めるジェローム・セグラ氏だ。

　この偽装サイト「sicherheit-informationstechnik.bid」には、ZIPファイルへのリンクが含まれている。サイトの説明によると、最近発見され、最新のコンピュータに影響を与える脆弱性に対するパッチがこのアーカイブに含まれているという。だが、このセキュリティ更新プログラム（Intel-AMD-SecurityPatch-10-1-v1.exe）は偽物で、実際には「Smoke Loader」という追加のペイロードを取得するマルウェアだ。

　「このマルウェアに感染するとさまざまなドメインに接続を試み、暗号化した情報を送信する悪意のあるファイルを表示する」とセグラ氏はブログに記載している。

　「悪用されたSSL証明書内の『Subject Alternative Name』（サブジェクトの別名）フィールドには、他にも.bidドメインに関連付けられたプロパティが表示される。こうしたプロパティには、Adobe Flash Playerの偽の更新プログラム用のドイツ語テンプレートなどがある」（セグラ氏）

　セグラ氏によると、この偽のヘルプWebサイトについて、MalwarebytesからComodo GroupとCloudflareに通知したところ、数分でオフラインになったという。

　「オンライン犯罪は、一般に知られた事象を迅速に悪用することが知られている。こうしたオンライン犯罪では通常フィッシングキャンペーンが利用される。だが、今回の件は興味深い。今回はパッチを適用するよう求められる。実はそのパッチ自体が犯罪者によって偽装されているのだ」と同氏は話す。

　セグラ氏は、サプライヤーから行動を起こすよう促された場合でも、行動を起こさないよう企業に警告している。

この記事の著者

関連記事

• 

  発見者が解説――「Spectre」を発見したリバースエンジニアリング手法

• 

  財務担当者が震え上がるクラウド料金払い過ぎ問題

新着ホワイトペーパー PR

• 比較資料
  [セコムトラストシステムズ株式会社] 「自社に合うEDR」はどれか分かる？　比較・検討時の見極めポイントを解説
• 製品資料
  [アルプス システム インテグレーション株式会社] まだ社内で眠らせたまま？　AI活用の糧となる「データ資産」を有効利用するには
• 市場調査・トレンド
  [AvePoint Japan株式会社] “SCS評価制度”対応の第一歩、自社環境と要求事項とのギャップを把握する方法
• 製品資料
  [株式会社BREXA Technology] 情報整理の自動化でインシデントの初動対応を効率化、AIエージェント活用のコツ
• 製品レビュー
  [ヴィーム・ソフトウェア株式会社] SCS評価制度を導入するだけで十分？　組織の防御力を高める活用方法とは