被害を防ぐ3つの対策

POS端末を狙うマルウェア「MajikPOS」はどのようにして検出をすり抜けるのか

RAMの情報を収集するプログラムをダウンロードし、既存の検出技術をすり抜ける新手のPOS（販売時点情報管理）マルウェア「MajikPOS」はどのような手口でPOS端末を狙うのか。どのような防御策が取れるのか。

公開 2017年09月01日 05時00分

著者

Nick Lewis

[TechTarget]

印刷する

　Trend Microは先ごろ、米国とカナダの企業でPOSシステムへの感染例が出ている新手のPOS（販売時点情報管理）マルウェア「MajikPOS」を発見した。MajikPOSは幾つかのトリックによって検出をすり抜け、自身を隠匿すると報告している。これらのトリックはどのようなものか。このマルウェアの脅威を緩和するためにどのような対策が取れるのか。

　新しいPOSマルウェアが現れるのは日常茶飯事であり、POSシステムを狙う攻撃者は後を絶たない。もうかり続けているからだ。こうして小売業者と攻撃者の戦いが繰り返されているだけに、エンドポイントセキュリティツールやPCI DSS（Data Security Standards）は、今後も消費者の保護に重要な役割を果たしそうだ。

　企業にとって、全てのシステムを安全に保つのは困難な場合があるが、中でもエンドポイントのセキュリティ確保は、POSシステムの管理と保護を外部企業に委託している小規模小売業者にとっては、なおさら厄介な場合がある。小規模小売業者は、業務を継続するためにすぐにリモートサポートを受ける必要があることもよくある。そのために、リスクを伴うにもかかわらず、外部企業がPOSにリモートアクセスできるようにしている。

併せて読みたいお薦め記事

狙われるPOSシステム

普及する「モバイルPOS」

　Trend MicroはMajikPOSについて「攻撃機能はかなり一般的だが、非常に巧妙な手口を使うマルウェア」だと報告している。ほとんどのPOSマルウェアには、RAMスクレーパ（RAM上の情報を収集するプログラム）が含まれるが、MajikPOSはRAMスクレーパをダウンロードする。これにより、エンドポイントのメモリを読み取れるファイルの監視ツールをすり抜けるという。

　また、場合によっては、MajikPOSはリモート管理ツールの「Ammyy Admin」を使ってリモートアクセスを実行することもあると、Trend Microは記している。これにより、リモートアクセスに伴ってエンドポイントでアラームが作動するのを回避するという。

　Trend Microは脅威の緩和策として、次の3つの対策を勧めている。

ホワイトリストを利用して、承認されたソフトウェアだけが更新ファイルをアップロードできるようにする
アプリケーション管理機能を備えるエンドポイントセキュリティツールを使う
ネットワークベースのツールを使ってマルウェアおよび関連する接続をブロックする

　さらに同社は、POS RAMスクレーパとRAMスクレーパ全般に対する保護対策ガイドも提供している。

　最も重要なMajikPOSマルウェア対策は、PCI DSSで規定されているような安全なリモートアクセス方法を使用することか、あるいは小売業者が、EMV仕様（EuroPay、Mastercard International、Visa Internationalの間で統一されたクレジットカードの規格）のICチップとPIN入力認証方式に対応したPOS端末を使用することのいずれかだろう。前者の対策では、マルウェアがエンドポイントをリモート操作するのを防げるはずだ。

印刷する