インフォスティーラーという言葉を初めて聞いた人もいるだろう。インフォスティーラーとは「Information Stealer」の略で、情報窃取専門のマルウェアだ。インフォスティーラーに感染するとあらゆるデータを盗まれる可能性がある。これまでに「RedLine Stealer」「XLoader」「ReceiverNeo」などが確認されている。

　情報窃取をするマルウェアとしては従来、スパイウェアがある。スパイウェアはIDやパスワードの他、キーボードの入力情報なども盗む。インフォスティーラーはそれらに加えて、アプリケーションのデータや、MicrosoftのクライアントOS「Windows」のパスワードハッシュ（元のパスワードからは復元できない不規則な文字列）、API（アプリケーションプログラミングインタフェース）キーなどさまざまな情報を収集する。中にはパスワードマネジャー（パスワード管理ツール）のデータベースを狙うものもある。つまりインフォスティーラーは、スパイウェアよりもすぐに悪用可能な情報の窃取に特化したものと言える。

インフォスティーラーから情報を守るには

　話題になっているのは証券口座の乗っ取りだが、インフォスティーラーにより認証情報が窃取され、企業ネットワークに侵入されるケースも十分考えられる。企業ネットワークに侵入されると、他端末やサーバなどへ被害が拡大し、システムダウンやランサムウェア（身代金要求型マルウェア）への感染など、甚大な被害の発生が予想される。インフォスティーラーから情報を守るにはどうすればよいのか。

基本的な対策

　まず基本的な対策として、OSや「EPP」（Endpoint Protection Platform、アンチマルウェアソフトウェアとも）、「EDR」（Endpoint Detection and Response）を含めて各種ソフトウェアは最新にしておくことが挙げられる。IDやパスワードをパスワード管理ツールで暗号化して保管することも大切だ。他にも、ログインにIDとパスワードのみを使用するのではなく、多要素認証（MFA：Multi-Factor Authentication）を併用することも重要だ。

　もちろん、パスワードの使い回しをしないことや、不審なメールやWebサイトに注意してフィッシング詐欺に遭わないようにすることも基本的な対策として欠かせない。

基本的な対策だけでは万全ではない

　インフォスティーラーは、正規ツールを悪用する「LotL」（Living off the Land：環境寄生型）攻撃や既存のDLL（動的リンクライブラリ）を使用するなど、EDRの検知を回避しようとさまざまな手段を講じてくる。DLLとはプログラムの実行時に呼び出して使用するライブラリ（プログラムの部品群）を指す。

　パスワード管理ツールによっては暗号化アルゴリズムに脆弱（ぜいじゃく）性があり、データベースの情報を分析・窃取される可能性もある。多要素認証も「Pass-The-Cookie」と呼ばれるセッションCookieを窃取・悪用する手法によって、突破される可能性がある。

　万全な対策を目指すのであれば、EPPに加えてEDRやXDR（Extended Detection and Response）といったツールを組み合わせる必要がある。EPP、EDR、XDRの概要は以下の通りだ。

　インフォスティーラーによる被害を抑止にするには、基本的な対策も含めた複数の方法を組み合わせて、被害が発生するリスクをできるだけ小さくすることが大切だ。インフォスティーラーによる被害は、証券口座に限らず、さまざまな分野に広がる可能性があるので、情報システムを運用する企業のIT部門も今後大いに警戒すべきマルウェアになる。