「オープンソース」を悪用 TikTokユーザーもつい乗ってしまう攻撃の手口とは？：TikTokのトレンドに注意【中編】
オープンソースソフトウェアのリポジトリを悪用するサイバー攻撃の被害が目立つ。攻撃者はどのような手口を用いているのか。攻撃の一連の流れを紹介する。
近年、サイバー攻撃の手口は多様化しており、オープンソースソフトウェア（OSS）のリポジトリを狙った攻撃も観測される。ショート動画共有サービス「TikTok」で起きた攻撃でも、同様の手口が確認された。
攻撃者が目を付ける“あの”オープンソース
併せて読みたいお薦め記事
連載：TikTokのトレンドに注意
巧妙化するサイバー攻撃の手口
アプリケーションセキュリティテストの専門企業Checkmarxは2022年11月、TikTokの「ハッシュタグチャレンジ」（TikTokのユーザーに特定のハッシュタグを付けたショート動画の作成と投稿を促す広告キャンペーン）を悪用したサイバー攻撃を公表した。
「Invisible Challenge」はハッシュタグチャレンジの一つだ。TikTokユーザーが自身の裸体を撮影し、エフェクト「Invisible Body」で身体の部分を透明化した動画の投稿を促す。Invisible Challengeに目を付けたサイバー攻撃者は、TikTokユーザーに「オープンソースのツールを使えば、動画のエフェクトを除去して加工前の裸体を見ることができる」という情報を提供。その後、標的のTikTokユーザーをゲーマー向けボイスチャットツール「Discord」のサーバ「Space Unfilter」に招待する。招待を受けた標的のユーザーに、コード共有サービス「GitHub」のリポジトリへのリンクを送り付ける。
「このツールを利用すれば、動画のエフェクトを除去できる」というのが攻撃者の説明だが、実際にエフェクトを消せるわけではない。攻撃者は配布ツールにマルウェア「WASP Stealer」を組み込んでおり、標的がツールをインストールしたデバイスのWebブラウザが保存する情報を盗み出す。具体例は以下の通りだ。
- Discordのアカウント情報
- さまざまなオンラインサービスの認証情報
- クレジットカード情報
- 暗号資産のウォレット（仮想財布）
- ファイル
ナション氏とフォークマン氏によると、WASP Stealerはプログラミング言語「Python」のパッケージ（拡張機能）と関連がある。攻撃者は、WASP Stealerのソースコードの一部を正規のPythonパッケージから盗用した可能性があるという。
攻撃者は、「StarJacking」という手法も使用したとみられる。StarJacking、GitHubが公開している正規パッケージの評価を乗っ取り、自身の評価を実際よりも人気があるように偽装するものだ。
ナション氏とフォークマン氏によると、Pythonのリポジトリ「Python Package Index」（PyPI）が報告したことで、GitHubは今回問題となったリポジトリを削除した。しかし攻撃者は、すぐに新しいGitHubのアカウントを作ることができたという。TikTokは攻撃者を追放し、Discordはマルウェアの配布元になっていたサーバを停止した。だが「攻撃者は別のDiscordサーバに移動した」と両氏は主張する。
「これらの攻撃は、サイバー攻撃者がオープンソースに注目し始めたことを示している」とナション氏とフォークマン氏は話す。両氏は、この傾向は2023年にさらに加速すると見込み、「リポジトリの管理者やセキュリティ研究者、開発者など全ての関係者が連携して攻撃からオープンソースを保護する対策を取るべきだ」と提唱する。
後編は、巧妙化するサイバー攻撃の手口から身を守るために注意すべき点を紹介する。
Computer Weekly発 世界に学ぶIT導入・活用術
米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。
Copyright © ITmedia, Inc. All Rights Reserved.