ほぼ確実に侵入可能？　正規プログラムを乗っ取る「スクワッティング」の脅威

OSSの正規のプログラムを乗っ取る攻撃方法「スクワッティング」をセキュリティ研究者が発見した。具体的な攻撃方法や危険性を解説する。

公開 2021年05月27日 05時03分

更新 2023年02月07日 12時18分

著者

Arielle Waldman

[TechTarget]

印刷する連載新着通知を受け取る

　セキュリティ研究者のアレックス・ビルサン氏とジャスティン・ガードナー氏は、ソースコード保管場所であるレジストリに、偽のソースコードを忍び込ませる攻撃手法を発見した。この攻撃手法は、オープンソースソフトウェア（OSS）のパッケージ（拡張機能群）のうち、企業が社内でホストしているプライベートなパッケージの名前が、ソースコード共有サービス「GitHub」で誤って公開されていたことを悪用。正規のプライベートパッケージを偽った悪質なソースコードをレジストリにアップロードすることで、標的企業に偽のソースコードをダウンロードさせ、標的に侵入する。

「ほぼ確実に侵入可能」　スクワッティングの本当の怖さ

併せて読みたいお薦め記事

OSS活用のヒント

システム開発におけるセキュリティ問題

　正規のプログラムを乗っ取るこうした攻撃を「スクワッティング」（不法占拠）と呼ぶ。攻撃者はスクワッティングを応用して、標的の企業がレジストリから最新版のソースコードをダウンロードしてアップデートする際、悪質な偽のソースコードを標的の企業にダウンロードさせる攻撃を実行できる。

　ビルサン氏はApple、Microsoft、Tesla、Netflixなど35社以上の企業に、偽のソースコードを用いた攻撃を実行できる危険性があることを確認した。この危険性が見つかった企業の大半は従業員数が1000人を超える企業だったという。「大規模な企業ほど、社内でプライベートパッケージを使用する割合が高いからではないか」と同氏は指摘する。

　攻撃者がスクワッティングに有効なプライベートパッケージの名前を取得できれば「ほぼ確実に標的企業のLANに侵入でき、遠隔での攻撃が実行可能になる」とビルサン氏は説明する。この攻撃が成功すれば、攻撃者は標的企業のシステムにバックドア（侵入口）を仕込むことも可能になる。

　ソフトウェアの提供・更新における脆弱性を狙った攻撃は最近、商用ソフトウェアとOSS双方の大きな懸念事項になっている。そのきっかけになったのは、セキュリティベンダーSolarWinds Worldwide（以下、SolarWinds）に対するサプライチェーン攻撃だ。

　SolarWindsを狙ったサプライチェーン攻撃では、国家レベルの攻撃者が数カ月かけて偵察した後、SolarWindsのインフラ監視製品「Orion Platform」のアップデートデータにバックドアを仕込んだ。このアップデートデータは2020年、MicrosoftをはじめSolarWinds製品を利用する1万社以上の企業が入手した。

　ビルサン氏が今回の調査を実施したのはSolarWindsへのサプライチェーン攻撃が判明する前だった。調査によってサプライチェーンセキュリティの重要性があらためて浮き彫りになった形だ。