旅行代理店を襲ったマルウェア「PlugX」の手法と対策（1/3 ページ）

止まらない標的型攻撃。専門家は「『メールを読む、Webを見る』といった行為は、治安が悪い地域を大金をもって歩くことに等しい」と警鐘を鳴らす。

公開 2018年09月20日 18時43分

更新 2022年09月06日 14時31分

[キーマンズネット]

印刷する連載新着通知を受け取る

FireEye Labs. シニア・スタッフ・リサーチ・アナリスト本城信輔氏

　ジェイティービーのグループ会社i.JTBで発覚した不正アクセスによる個人情報流出問題。同社は「個人情報流出の事実は確認されておらず」と報告していますが、報道によれば対象となるのは約793万人分（有効なパスポート番号4300件を含む）だといいます。今回、i.JTBを襲ったのは偽装メールに端を発する標的型攻撃です。

　「もやは『メールを読む、Webを見る』といった行為は、治安が悪い地域を大金をもって歩くことに等しい。経営者はそのくらいの覚悟をもってセキュリティを考えてほしい」――こう語るのは、ファイア・アイのアナリストの本城信輔氏。実際に攻撃に使われた可能性が高いマルウェア「PlugX（別名Kaba）」について、デモを交えながら解説しました。

「狙いすました」攻撃がJTBを襲った……

　本城氏は開口一番、「なぜ今さらPlugXに感染したのか」と率直な感想を述べました。PlugXは、2012年ごろから活動が確認されている遠隔操作用マルウェアです。攻撃対象のPCに感染できれば、攻撃者は自由にファイルの送受信とプログラムの実行ができます。しかし、PlugXが猛威をふるったのは2014年まで。国内で発見された標的型攻撃用マルウェアのシェアを見ると、2014年下半期に35.90％だったPlugXは、2015年以降、7.32％へと激減しているのです。

　「これは狙いすました攻撃だったのでしょう」と本城氏は続けます。例えば、2015年に日本年金機構を襲ったマルウェア「Sunblade（別名Emdivi）」は現在も活発に活動しています。亜種による攻撃が捕捉されていれば、当然、対抗策もアップデートされ続けます。

　ここで攻撃者の視点に立てば、PlugXを使った理由が見えてきそうです。それは、旬を過ぎたマルウェアで亜種を作り、不特定多数ではなく「ここだ」と狙いを付けた2～3カ所だけを攻撃したほうが成功率が上がるからです。世の中に「検体」が出回っていなければ、シグネチャ型のセキュリティ対策ツールをすり抜ける可能性も高まるでしょう。