情報窃取型マルウェアのログが侵害の構図を変えつつある

長年にわたり、フィッシングメールやソフトウェアのエクスプロイトは、企業ネットワークへの侵入を狙う攻撃者にとっての定番の侵入口でした。しかし、これが変わりつつあります。セキュリティ研究者たちは現在、情報窃取型マルウェアと、それが生成する認証情報のログが、企業侵害やランサムウェア攻撃の主要な前兆であると指摘しています。巧妙なフィッシングの餌を作成したり、未修正の脆弱性を探したりする代わりに、犯罪グループはますます、情報窃取型マルウェアが感染端末からすでに収集した盗難ログイン認証情報を購入または交換するだけになっています。

この変化が重要なのは、真の脆弱性の所在が変わるからです。もはや、企業のファイアウォールやメールフィルターが悪意あるリンクを捕捉したかどうかだけの問題ではありません。従業員の個人用ノートパソコン、契約社員の自宅コンピューター、あるいはサプライチェーンのどこかで共有されているデバイスが、最終的な侵害の数カ月、あるいは数年前に、認証情報を盗むマルウェアに感染していたかどうかが問題なのです。

情報窃取型マルウェアのログがクラウドデータ侵害を加速させる仕組み

情報窃取型マルウェアは、1つの目的のために作られたマルウェアのカテゴリです。感染したマシンからユーザー名、パスワード、ブラウザのCookie、セッショントークン、自動入力データを静かに抽出し、それらすべてを攻撃者に送り返すというものです。その成果物は通常、サイバー犯罪の地下世界で「ログ」と呼ばれるものにパッケージ化されます。これは基本的に、感染した1台のデバイスから引き出されたすべての認証情報とセッションの痕跡を束ねたものです。

これらのログは犯罪マーケットプレイスで取引・販売されており、生成数が多いため低価格で取引されることも少なくありません。組織にとってこれらが非常に危険なのは、クラウドサービス、VPN、企業ポータル向けの有効なセッションCookieや認証トークンが頻繁に含まれている点です。つまり、攻撃者はパスワードを推測したり、誰かをだまして入力させたりする必要がありません。マルウェアがそれを取得する前に、すでに認証済みのセッションを再利用し、ログイン画面や多要素認証さえも素通りできる可能性があるのです。

いったん内部に侵入すれば、その1つの侵害されたログが、さらに大規模な侵入の最初の足掛かりになる可能性があります。クラウド環境での水平移動、共有ドライブや内部ツールへのアクセス、そして最終的にはニュースになるようなデータ流出やランサムウェア展開につながるのです。感染自体は、企業ネットワークに直接触れたことのない個人用デバイスで発生したかもしれず、この攻撃経路をセキュリティチームが予測するのが難しい理由の1つです。

企業が追いつくのに苦労している理由

従来のセキュリティ防御は、最大のリスクは外部からの侵入試み、悪意ある添付ファイル、ブルートフォースログイン試行、未修正のソフトウェア脆弱性から生じるという前提で構築されています。情報窃取型マルウェアによる侵害は、これらすべてを回避します。侵害は多くの場合、企業の境界のはるか外側、セキュリティチームが可視性を持たないデバイスで発生し、結果として得られた認証情報は、実際の侵害を実行する別の犯罪者グループによって単に購入または取得されます。

この分業体制、一方のグループは感染とログ収穫に特化し、もう一方はアクセスの収益化に特化することで、サイバー犯罪経済はより効率的になり、混乱させるのが難しくなっています。また、既知のソフトウェア脆弱性の修正は依然として不可欠ですが、問題の一部にしか対処していないことを意味します。当社のFortiClient EMS情報窃取型マルウェアキャンペーンに関する記事では、攻撃者が特定の技術的脆弱性と認証情報窃取型マルウェアを組み合わせて、企業管理システム内に足場を築く方法を説明しており、情報窃取型マルウェアの手口と従来のエクスプロイトが、別々の戦略としてではなく、ますます一緒に使用されるようになっていることを示しています。

あなたにとってこれが意味すること

クラウドサービスに依存する企業に勤めている場合、そして今やほぼすべての組織がそうですが、個人デバイスのセキュリティはあなたが考える以上に雇用主のリスクと密接につながっています。仕事用のメールをチェックしたり、企業ポータルにログインしたりするために使われる自宅のコンピューターで情報窃取型マルウェアに1回感染すると、それが後日、はるかに大規模な侵害を引き起こす認証情報ログを生み出す可能性があります。

個人にとってこれは、いくつかの馴染みはあるが、ますます緊急性を増している習慣を強化します。デバイスを最新の状態に保つこと、クラックされたソフトウェアや非公式のダウンロード（情報窃取型マルウェアの一般的な配布手段）を避けること、ブラウザに保存されたパスワードではなくパスワードマネージャーを使うこと、そして提供されているすべての場所で多要素認証を有効にすることです。これらいずれもセッショントークン窃取に対する特効薬ではありませんが、攻撃者にとってコストと難易度を有意に高めることができます。

実践可能な教訓

  • 海賊版ソフトウェア、クラックされたゲーム、非公式のブラウザ拡張機能など、情報窃取型マルウェアの一般的な配布経路をダウンロードしないでください。
  • ブラウザに認証情報を保存する代わりに専用のパスワードマネージャーを使用してください。ブラウザに保存されたデータは情報窃取型マルウェアの主な標的です。
  • サポートしているすべてのアカウントで多要素認証を有効にし、利用可能な場合はフィッシング耐性のあるオプションを検討してください。
  • 保存されたブラウザセッションを定期的にクリアし、仕事で使用する共有デバイスや個人デバイスでは重要なアカウントからログアウトしてください。
  • デバイスが感染している可能性がある場合は、別の信頼できるデバイスからパスワードを変更し、アカウントに不審なアクティビティがないか監視してください。

情報窃取型マルウェアのログがサイバー犯罪業界で好まれる初期アクセスツールとして台頭していることは、侵害防止がますます企業ネットワークの外、人々があらゆる場所からログインするために使用する日常的なデバイスから始まることを思い出させてくれます。