Google スプレッドシートを悪用してマルウェア制御、サイバー攻撃の手口が進化（1/2 ページ）

犯罪集団Carbanakがサイバー攻撃の手口を進化させており、マルウェアの制御インフラとしてGoogleのクラウドサービスを利用していた可能性がある。

公開 2017年02月02日 08時00分

著者

Michael Heller

[TechTarget]

印刷する

Forcepointの公式Webサイト《クリックで拡大》

　悪名高い犯罪集団Carbanakが、不正なOffice文書に仕込んだマルウェアを制御するためのインフラとして、Googleのクラウドサービスを使っていた可能性が浮上した。

　Forcepoint Security Labsの上級セキュリティ研究者、ニコラス・グリフィン氏によると、「拡散されたマルウェアが仕込まれている『Officeファイル』」を検出する手口の一環で、「トロイの木馬化されたRTFファイル」を同社が発見した。

併せて読みたいお薦め記事

気を付けるべき最新脅威

IoTマルウェア「Mirai」の脅威

　グリフィン氏はブログに次のように記している。「問題のスクリプト（VBScript）は、『Google Apps Script』と『Google スプレッドシート』『Google フォーム』のサービス間でコマンドを送受信する。ユーザーが感染するごとに、各被害者を管理するGoogle スプレッドシートのスプレッドシートが動的に作成される。このような正規のサードパーティーサービスを利用すれば、攻撃者はその中に身を隠すことが可能になる。Googleがホスティングしているそうしたサービスが、組織においてデフォルトの状態でブロックしている公算は小さい。従って、攻撃者が制御用チャンネルの確立に成功する公算は高い」（グリフィン氏）

　Trustwaveのインシデント対応・コンピュータフォレンシック担当グローバルディレクター、ブライアン・ハッシー氏は、Carbanakと思われる集団が米国、カナダ、欧州を狙った「重大な攻撃の挙動」が観測されていると話す。

　「攻撃者は被害者のネットワークに直接接続しなくても、自分たちのマルウェアや攻撃手法を更新できる。スクリプトやコマンドは、Googleのクラウドサーバで迅速かつ動的に更新できるため、攻撃の柔軟性を獲得できる。加えて、Googleのサーバは常時稼働していて、標準的なオープンポートを利用し、ブラックリストに載せることが極めて難しい。そうした全ての条件が整っているため、攻撃を仕掛ける上でも情報を抜き取る上でも非常に魅力的だ」。ハッシー氏はTechTargetにそう語った。

　Forcepointの主席セキュリティアナリスト、カール・レナード氏によれば、この手口は「ありふれた光景の中に紛れ込む」行為に似ている。ほとんどの管理者は、Googleのトラフィックが不正行為にかかわっているとは考えない。

　Impervaの製品マーケティング担当ディレクター、アジャイ・ウギララ氏によると、攻撃者は「攻撃を仕掛けるために他のデバイスやサービスを使う」ことが多くなったという。

　「この傾向は、マルウェア『Mirai』を使ったDynに対する攻撃やリベリアへの攻撃など、2016年のDDoS攻撃で鮮明になった。現在もこれからも、IoTデバイスやオープンインターネットサービスの普及がサイバー犯罪集団に利用され、攻撃が仕掛けられる。どんなサーバやアプリケーション、デバイスでも、オープンなものや制御可能なものは、主に痕跡を隠す目的で、そしてそれほど経費が掛からないという理由から、攻撃を仕掛けるための道具としてサイバー犯罪集団に狙われる可能性がある」（ウギララ氏）

次ページへ Googleは効果的な対策を打ち出せるのだろうか