Googleのクラウドサービスを悪用――進化するマルウェアへの対抗策は？

米Zscalerは、米Googleのパブリッククラウドサービスを悪用するマルウェア「Spy Banker Trojan」の新しい組織的活動を発見した。

公開 2016年01月05日 15時01分

著者

Rob Wright

[TechTarget]

印刷する

ThreatLabZによるレポート《クリックで拡大》

　米Zscalerのセキュリティ研究員は2015年12月10日、米Googleのパブリッククラウドサービスを悪用する「Spy Banker Trojan」マルウェアの組織的活動を発見した。同社のリサーチ部門であるThreatLabZのレポートによると、Spy Banker Trojanは、Googleのクラウドを利用してマルウェアのダウンローダーをホストしているという。

　そのレポートはまた、ブラジルでポルトガル語を使用するユーザーを標的にしたマルウェアが発生しているとして、そのマルウェアが「Facebook」「Twitter」およびその他のソーシャルネットワークサービスに対してソーシャルエンジニアリング攻撃を行い、Spy Banker Trojanのダウンローダー用の悪意のあるリンクをユーザーにクリックさせているとも報告している。このダウンローダーがインストールされると、Spy Banker Trojanは感染したユーザーのネットバンキングの資格情報を盗むという。

マルウェアの動向について

ウイルス対策ソフトついて

　レポートによると、ダウンローダーにリンクされたbit.lyの短縮されたURLのリンク先は、従来のホスティングサービスの代わりに、Googleクラウドサーバでホストされているという。Spy Banker Trojanは、ユーザーのシステム上でアンチウイルスソフトウェアを検知し、その情報をコマンド＆コントロール（C＆C）サーバに送り返す。また、第2の認証コードを入力させる偽の二要素認証パネルをユーザーに表示することができる。

　Googleはこの感染サイクルを阻止し、2つのアクティブドメインをホストしているクラウドサーバを既に除去した、とThreatLabZの研究員は述べている。しかし、Spy Banker Trojanの背後にいる関係者は諦めておらず、標的としてGoogleのクラウドサービスを狙い続けていることを研究員は記している。

　「マルウェアの作成者はSpy Banker Trojanの新バージョンを積極的に押し出しており、感染させるためのサイトをホストする目的でGoogleクラウドサーバを悪用している」とレポートは記載している。「この組織的活動では、脆弱（ぜいじゃく）性は悪用されておらず、攻撃者はエンドユーザーを感染させるためにソーシャルエンジニアリング的手法を用いている」

　Googleのクラウドサービスはこれまでも攻撃者に悪用されてきた。2015年夏、クラウドセキュリティ企業である米Elasticaは、「Google Drive」でホストされていたフィッシングの組織的活動を見つけ出した。Google Driveは、それまでの数年間、類似のマルウェアの組織的活動によって使用されていたという。

　また2015年11月には、別のクラウドサービスでもSpy Banker Trojanの組織的活動が見られた。2015年12月にセキュリティベンダーの米FireEyeの研究員は、クラウドストレージサービスの「Dropbox」をC＆Cインフラとして使用する最新式のスピアフィッシングの組織的活動についてレポートした。

印刷する