「オープンソース」を悪用 TikTokユーザーもつい乗ってしまう攻撃の手口とは？：TikTokのトレンドに注意【中編】

オープンソースソフトウェアのリポジトリを悪用するサイバー攻撃の被害が目立つ。攻撃者はどのような手口を用いているのか。攻撃の一連の流れを紹介する。

[Alex Scroxton，TechTarget]

　近年、サイバー攻撃の手口は多様化しており、オープンソースソフトウェア（OSS）のリポジトリを狙った攻撃も観測される。ショート動画共有サービス「TikTok」で起きた攻撃でも、同様の手口が確認された。

攻撃者が目を付ける“あの”オープンソース

併せて読みたいお薦め記事

連載：TikTokのトレンドに注意

• 前編：“TikTokユーザーの下心”を突いてマルウェアが拡散　何に注意が必要？

巧妙化するサイバー攻撃の手口

• 犯罪者が「非接触型決済」に目を付けても“真っ向勝負”は挑まない合理的理由
• 脅威のランサムウェア攻撃集団「BlackByte」の危険から身を守る方法とは？

　アプリケーションセキュリティテストの専門企業Checkmarxは2022年11月、TikTokの「ハッシュタグチャレンジ」（TikTokのユーザーに特定のハッシュタグを付けたショート動画の作成と投稿を促す広告キャンペーン）を悪用したサイバー攻撃を公表した。

　「Invisible Challenge」はハッシュタグチャレンジの一つだ。TikTokユーザーが自身の裸体を撮影し、エフェクト「Invisible Body」で身体の部分を透明化した動画の投稿を促す。Invisible Challengeに目を付けたサイバー攻撃者は、TikTokユーザーに「オープンソースのツールを使えば、動画のエフェクトを除去して加工前の裸体を見ることができる」という情報を提供。その後、標的のTikTokユーザーをゲーマー向けボイスチャットツール「Discord」のサーバ「Space Unfilter」に招待する。招待を受けた標的のユーザーに、コード共有サービス「GitHub」のリポジトリへのリンクを送り付ける。

　「このツールを利用すれば、動画のエフェクトを除去できる」というのが攻撃者の説明だが、実際にエフェクトを消せるわけではない。攻撃者は配布ツールにマルウェア「WASP Stealer」を組み込んでおり、標的がツールをインストールしたデバイスのWebブラウザが保存する情報を盗み出す。具体例は以下の通りだ。

• Discordのアカウント情報
• さまざまなオンラインサービスの認証情報
• クレジットカード情報
• 暗号資産のウォレット（仮想財布）
• ファイル

　ナション氏とフォークマン氏によると、WASP Stealerはプログラミング言語「Python」のパッケージ（拡張機能）と関連がある。攻撃者は、WASP Stealerのソースコードの一部を正規のPythonパッケージから盗用した可能性があるという。

　攻撃者は、「StarJacking」という手法も使用したとみられる。StarJacking、GitHubが公開している正規パッケージの評価を乗っ取り、自身の評価を実際よりも人気があるように偽装するものだ。

　ナション氏とフォークマン氏によると、Pythonのリポジトリ「Python Package Index」（PyPI）が報告したことで、GitHubは今回問題となったリポジトリを削除した。しかし攻撃者は、すぐに新しいGitHubのアカウントを作ることができたという。TikTokは攻撃者を追放し、Discordはマルウェアの配布元になっていたサーバを停止した。だが「攻撃者は別のDiscordサーバに移動した」と両氏は主張する。

　「これらの攻撃は、サイバー攻撃者がオープンソースに注目し始めたことを示している」とナション氏とフォークマン氏は話す。両氏は、この傾向は2023年にさらに加速すると見込み、「リポジトリの管理者やセキュリティ研究者、開発者など全ての関係者が連携して攻撃からオープンソースを保護する対策を取るべきだ」と提唱する。

---

　後編は、巧妙化するサイバー攻撃の手口から身を守るために注意すべき点を紹介する。

Computer Weekly発 世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。