「オープンソース」を悪用 TikTokユーザーもつい乗ってしまう攻撃の手口とは?TikTokのトレンドに注意【中編】

オープンソースソフトウェアのリポジトリを悪用するサイバー攻撃の被害が目立つ。攻撃者はどのような手口を用いているのか。攻撃の一連の流れを紹介する。

2023年03月21日 05時00分 公開
[Alex ScroxtonTechTarget]

 近年、サイバー攻撃の手口は多様化しており、オープンソースソフトウェア(OSS)のリポジトリを狙った攻撃も観測される。ショート動画共有サービス「TikTok」で起きた攻撃でも、同様の手口が確認された。

攻撃者が目を付ける“あの”オープンソース

 アプリケーションセキュリティテストの専門企業Checkmarxは2022年11月、TikTokの「ハッシュタグチャレンジ」(TikTokのユーザーに特定のハッシュタグを付けたショート動画の作成と投稿を促す広告キャンペーン)を悪用したサイバー攻撃を公表した。

 「Invisible Challenge」はハッシュタグチャレンジの一つだ。TikTokユーザーが自身の裸体を撮影し、エフェクト「Invisible Body」で身体の部分を透明化した動画の投稿を促す。Invisible Challengeに目を付けたサイバー攻撃者は、TikTokユーザーに「オープンソースのツールを使えば、動画のエフェクトを除去して加工前の裸体を見ることができる」という情報を提供。その後、標的のTikTokユーザーをゲーマー向けボイスチャットツール「Discord」のサーバ「Space Unfilter」に招待する。招待を受けた標的のユーザーに、コード共有サービス「GitHub」のリポジトリへのリンクを送り付ける。

 「このツールを利用すれば、動画のエフェクトを除去できる」というのが攻撃者の説明だが、実際にエフェクトを消せるわけではない。攻撃者は配布ツールにマルウェア「WASP Stealer」を組み込んでおり、標的がツールをインストールしたデバイスのWebブラウザが保存する情報を盗み出す。具体例は以下の通りだ。

  • Discordのアカウント情報
  • さまざまなオンラインサービスの認証情報
  • クレジットカード情報
  • 暗号資産のウォレット(仮想財布)
  • ファイル

 ナション氏とフォークマン氏によると、WASP Stealerはプログラミング言語「Python」のパッケージ(拡張機能)と関連がある。攻撃者は、WASP Stealerのソースコードの一部を正規のPythonパッケージから盗用した可能性があるという。

 攻撃者は、「StarJacking」という手法も使用したとみられる。StarJacking、GitHubが公開している正規パッケージの評価を乗っ取り、自身の評価を実際よりも人気があるように偽装するものだ。

 ナション氏とフォークマン氏によると、Pythonのリポジトリ「Python Package Index」(PyPI)が報告したことで、GitHubは今回問題となったリポジトリを削除した。しかし攻撃者は、すぐに新しいGitHubのアカウントを作ることができたという。TikTokは攻撃者を追放し、Discordはマルウェアの配布元になっていたサーバを停止した。だが「攻撃者は別のDiscordサーバに移動した」と両氏は主張する。

 「これらの攻撃は、サイバー攻撃者がオープンソースに注目し始めたことを示している」とナション氏とフォークマン氏は話す。両氏は、この傾向は2023年にさらに加速すると見込み、「リポジトリの管理者やセキュリティ研究者、開発者など全ての関係者が連携して攻撃からオープンソースを保護する対策を取るべきだ」と提唱する。


 後編は、巧妙化するサイバー攻撃の手口から身を守るために注意すべき点を紹介する。

Computer Weekly発 世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

ITmedia マーケティング新着記事

news172.png

WACULが「AIアナリストSEO」を大幅刷新 コンテンツ作成×外部対策×内部対策×CVR改善をワンストップで支援
月額30万円でAI技術を活用したコンテンツ制作、約4万サイトの支援データ、熟練コンサルタ...

news150.jpg

SFAツール「Kairos3 Sales」にモバイルアプリ版 訪問営業の生産性向上へ
モバイルアプリ上で、リアルタイムで営業活動の確認・記録が可能になる。

news026.png

「サイト内検索」&「ライブチャット」売れ筋TOP5(2024年7月)
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。