先週のサイバー事件簿 - Chrome拡張機能を悪用した不正プログラム

2月5日週にかけて発生したセキュリティに関する出来事や、サイバー事件をダイジェストでお届け。Webブラウザの拡張機能を悪用したマルウェアや、Android端末を狙った不正アプリなどが、世界的に拡大傾向にある。何らかのソフトウェアを「インストール」する前に、よく考えるクセをつけたほうがよさそうだ。

○修正パッチ適用後に再起動する問題を解消する「Skylake」向けマイクロコード

Intelは2月7日、「Spectre」対策としてリリースされていた修正パッチが、適用後に予期せず再起動してしまう問題に対して、「Skylake」向けのマイクロコードをリリースした。

この問題は、当初「Broadwell」と「Haswell」でしか起きないとされていたが、その後「Skylake」でも影響を受けることが確認されており、それに対応したもの。インテルは、1月22日に事態が発覚してからは、修正パッチを適用しないように呼びかけていた。今後、他のプラットフォーム用コードをリリースすることも発表されている。

○Chromeの不正拡張機能「DROIDCLUB」が正規ストアで拡散

WebブラウザのChrome用拡張機能に、不正な機能を持つものが確認されている。「DROIDCLUB(ドロイドクラブ)」と呼ばれ、Chromeの拡張機能として拡散したという。この不正拡張機能は、公式のChromeウェブストアで89個が確認されており、最大42万人が影響を受けた可能性がある。現在、これらの拡張機能は削除済み。

「DROIDCLUB」は、不正広告とソーシャルエンジニアリングを組み合わせて使用。ユーザーが不正広告サーバーにアクセスすると、拡張機能をインストールするよう求めてくる。要求を承認すると、正規ストアからダウンロードとインストールが始まる。

感染すると、Chrome上で定期的に新しいタブを開き、Web広告を表示。仮想通貨発掘コードを注入する場合もある。このほか、正規ライブラリも悪用しており、氏名やクレジットカード情報などが窃取される可能性が高いという。ただしこのライブラリは、パスワード情報は取得しないように設計されているので、パスワードの窃取は避けられるとのこと。

DROIDCLUBは、ユーザーによるアンインストールを困難にするように設計されており、拡張機能管理ページから削除しようとしても、偽の拡張機能管理ページを表示し、削除したように見せかける。また、不正を報告しようとするとそれを検知し、拡張機能の詳細ページにリダイレクトする機能も備える。こうなると、Googleへ不正機能を報告するしかない。

○Android向け不正アプリ「PORIEWSPY」を確認

Android端末向けの不正アプリ「PORIEWSPY(ポリュースパイ)」が、インドのユーザーを狙って拡散されている。

PORIEWSPYは、ユーザーが不正なWebサイトを訪れることで、自動でダウンロードされる。感染した端末で電話をかけると音声の録音を行うほか、通話時以外でも60秒ごとに音声を録音する機能も備えている。そのほか、連絡先、SMS、通話履歴、位置情報の窃取や上書きも可能になってしまう。

対策としては、不正アプリや不正Webサイトのブロックに対応したセキュリティアプリの導入が有効だ。Android端末の場合、感染源はメールだけでなく、公式アプリに偽装したアプリ、Google Play以外で配布されているアプリなど数多い。なお、公式のGoogle Playでは、これらの機能を備えた不正アプリは確認されていないとのことだ。

○Bluetooth実装に複数の脆弱性

JVN(Japan Vulnerability Notes)にて、Bluetooth実装に関する複数の脆弱性「BlueBorne」の情報がアップデートされた。この脆弱性はほとんどのOSが対象となっており、バッファオーバーフロー、領域外メモリ参照、領域外読み込みなど、多くの影響が懸念される。影響を受けるOSは以下の通り。

Android(セキュリティパッチレベル2017年9月未適用)

Linux Kernel 3.3-rc1以降

Linux BlueZの全バージョン

iOS version 9.3.5以前

tvOS version 7.2.2以前

Windows Vista 以降(2017年9月のセキュリティ更新プログラムを未適用)

対策は速やかにアップデートすることにつきる。Windows、iOS、Linux、Androidでは、すでに対策済みだ。

○Adobe Flash Playerの脆弱性対策パッチをリリース

アドビシステムズのAdobe Flash Player用の対策パッチがリリースされた。2月5日に提供予定とされていたものだ。対象となるソフトとバージョンは以下の通り。

Adobe Flash Player Desktop Runtime 28.0.0.137以前(Windows、Mac、Linux)

Adobe Flash Player for Google Chrome 28.0.0.137以前(Windows、Mac、Linux、Chrome OS)

Adobe Flash Player for Microsoft Edge and Internet Explorer 11 28.0.0.137以前(Windows 8.1 / 10)

脆弱性を放置すると、サイトを閲覧することでDoS攻撃や任意のコードを実行される可能性がある。重要度の高い脆弱性ということもあり、早急に導入してほしい。

○アイ・オー・データ、脆弱性対策としてルータなどの最新ファームをリリース

アイ・オー・データ機器は2月7日、同社のIPアドレス設定ツール「MagicalFinder(マジカルファインダー)」に対応した商品に、セキュリティの脆弱性が確認されたことを発表した。

脆弱性は、OSコマンドインジェクションで、当該製品にログイン可能な第三者によって任意のOSコマンドを実行される可能性がある。対象機種は以下の通りで、すでに対策ファームウェアもリリース済み。該当する製品のユーザーは、早急にアップデートしよう。