検索
特集/連載

「オープンソース」を悪用 TikTokユーザーもつい乗ってしまう攻撃の手口とは?TikTokのトレンドに注意【中編】

オープンソースソフトウェアのリポジトリを悪用するサイバー攻撃の被害が目立つ。攻撃者はどのような手口を用いているのか。攻撃の一連の流れを紹介する。

Share
Tweet
LINE
Hatena

 近年、サイバー攻撃の手口は多様化しており、オープンソースソフトウェア(OSS)のリポジトリを狙った攻撃も観測される。ショート動画共有サービス「TikTok」で起きた攻撃でも、同様の手口が確認された。

攻撃者が目を付ける“あの”オープンソース

 アプリケーションセキュリティテストの専門企業Checkmarxは2022年11月、TikTokの「ハッシュタグチャレンジ」(TikTokのユーザーに特定のハッシュタグを付けたショート動画の作成と投稿を促す広告キャンペーン)を悪用したサイバー攻撃を公表した。

 「Invisible Challenge」はハッシュタグチャレンジの一つだ。TikTokユーザーが自身の裸体を撮影し、エフェクト「Invisible Body」で身体の部分を透明化した動画の投稿を促す。Invisible Challengeに目を付けたサイバー攻撃者は、TikTokユーザーに「オープンソースのツールを使えば、動画のエフェクトを除去して加工前の裸体を見ることができる」という情報を提供。その後、標的のTikTokユーザーをゲーマー向けボイスチャットツール「Discord」のサーバ「Space Unfilter」に招待する。招待を受けた標的のユーザーに、コード共有サービス「GitHub」のリポジトリへのリンクを送り付ける。

 「このツールを利用すれば、動画のエフェクトを除去できる」というのが攻撃者の説明だが、実際にエフェクトを消せるわけではない。攻撃者は配布ツールにマルウェア「WASP Stealer」を組み込んでおり、標的がツールをインストールしたデバイスのWebブラウザが保存する情報を盗み出す。具体例は以下の通りだ。

  • Discordのアカウント情報
  • さまざまなオンラインサービスの認証情報
  • クレジットカード情報
  • 暗号資産のウォレット(仮想財布)
  • ファイル

 ナション氏とフォークマン氏によると、WASP Stealerはプログラミング言語「Python」のパッケージ(拡張機能)と関連がある。攻撃者は、WASP Stealerのソースコードの一部を正規のPythonパッケージから盗用した可能性があるという。

 攻撃者は、「StarJacking」という手法も使用したとみられる。StarJacking、GitHubが公開している正規パッケージの評価を乗っ取り、自身の評価を実際よりも人気があるように偽装するものだ。

 ナション氏とフォークマン氏によると、Pythonのリポジトリ「Python Package Index」(PyPI)が報告したことで、GitHubは今回問題となったリポジトリを削除した。しかし攻撃者は、すぐに新しいGitHubのアカウントを作ることができたという。TikTokは攻撃者を追放し、Discordはマルウェアの配布元になっていたサーバを停止した。だが「攻撃者は別のDiscordサーバに移動した」と両氏は主張する。

 「これらの攻撃は、サイバー攻撃者がオープンソースに注目し始めたことを示している」とナション氏とフォークマン氏は話す。両氏は、この傾向は2023年にさらに加速すると見込み、「リポジトリの管理者やセキュリティ研究者、開発者など全ての関係者が連携して攻撃からオープンソースを保護する対策を取るべきだ」と提唱する。


 後編は、巧妙化するサイバー攻撃の手口から身を守るために注意すべき点を紹介する。

Computer Weekly発 世界に学ぶIT導入・活用術

米国TechTargetが運営する英国Computer Weeklyの豊富な記事の中から、海外企業のIT製品導入事例や業種別のIT活用トレンドを厳選してお届けします。

Copyright © ITmedia, Inc. All Rights Reserved.

ページトップに戻る