旅行代理店を襲ったマルウェア「PlugX」の手法と対策（2/3 ページ）

公開 2018年09月20日 18時43分

更新 2022年09月06日 14時31分

[キーマンズネット]

印刷する連載新着通知を受け取る Googleで優先するソースとして追加

PlugXをデモンストレーション

　PlugXは、ユーザーインタフェースが中国語であることからセキュリティの専門家は「中国製」である可能性が高いとみています。また、攻撃元となるC&C（コマント＆コントロール）サーバは日本国内のサーバが悪用されているケースもあるものの、元をたどると中国に行きつくともいいます。このように「中国において大規模攻撃を組織的に展開できること」から国家的な関与があるのではないかと本城氏は予想します。

パケット転送ツールの悪用（出典：ファイア・アイ）

　PlugXには幾つかのバリエーションが確認されていますが、今回、本城氏がデモを行ったのは「たまたまセキュリティ研究者が入手に成功したもの」の1つで、実際にi.JTBを攻撃したものと同一ではありません。しかし、感染するとPCの登録情報の窃取、実行中のプロセスの確認、ファイルのアップロードとダウンロード、コマンドプロンプトの任意実行、レジストリ操作などがGUIベースのツールで実行できます。ここまでツール化されていれば、攻撃は手順書さえあれば専門的な知識がなくてもできそうです。