マルウェア

マルウェア対策ソフト「ウイルスバスター」とマルウェアの研究で有名なTrend Micro（トレンドマイクロ）に所属するセキュリティ研究者が、Xcodeを介して感染する新しく深刻なMacのマルウェアについて先週報告していましたが、その研究者のうちOleksandr Shatkivskyi氏とVlad Felenuik氏（どちらも難読。。）がメディアMacRumorsによる独占インタビューに答えています。

Macに感染するマルウェアはWindowsに比べて非常に少なく、システムもセキュリティがしっかりしているため、マルウェア対策はしなくてもいい。。そんな考え方が何となくMacユーザの中にはずっとあるのではないでしょうか。確かに、去年まではそんな感じだったかもしれません。

先週から世界中をパニックに陥れているランサムウェア、”WannaCry”の亜種、”WannaCrypt0r”。感染すると、端末内のファイルが暗号化されてアクセスできなくなり、解除するにはビットコイン或いは300ドルを払えという警告が出るものだ（下図参照）。この”WannaCrypt0r”は既に世界で20万台のコンピュータに感染した。ただ、このランサムウェアはWindowsの脆弱性「EternalBlue」を狙ったものだったので、Macユーザには関係ないと私のようなAppleのMacユーザは高みの見物を決め込んでいた。

Malwarebytesによれば、Windowsにバックドアをしかけるマルウェア（悪意のあるソフトウェア）、【Snake】がMac用に移植されてしまったという。【Snake】はまたの名を【Turla】や【Uroburos】ともいい、非常に高度で複雑なマルウェアとなっている。ちなみにMacに移植される前に、このSnakeはWindowsとLinuxに対して猛威を振るっていた。

macOSシステムを対象とする悪意のあるソフトウェアは、昨年に比べて744％も増えている。そしてそのうちの大部分は広告やメールに紛れて入ってくるという。そして昨日、イスラエルの企業のセキュリティチームが、「深刻」レベルの新しいMac用の悪意のあるソフトウェアを発見し公表した。このマルウェアに感染すると、ユーザのhttpsトラフィックを監視されるようになり、更に端末が中継者攻撃(MiTM)の踏み台になってしまう。

35年前の1月30日、初めて”悪意のあるソフトウェア”＝コンピュータウィルス、現在でいえば”マルウェア”が発見された。そのウイルスの名前は、”Elk Cloner”で、当時15歳のプログラマー、Rich Skrentaによって作成された。

最近、セキュリティ会社のSixgillがロシアのネットワーク犯罪BBSで、ある人が新しいMac用トロイの木馬”Proton（プロトン）”を販売していることを発見した。そして売り手はこのProtonによって正規版のAppleのコード署名を提供できるため、このトロイの木馬の”毒性”が非常に強いと表明している。

Appleは今週月曜日に、外部メディア向けに無償のmacOS Sierraシステムが昨日から自動ダウンロードが可能になることを告げていた。これはmacOS SierraのシステムがMacユーザのためにシステム更新ファイルをプッシュで通知しバックグラウンドでダウンロードしてくれるというもので、ユーザはシステム環境設定で自動更新の項目をオンにしておけばいいだけだ。そして実際に昨日からそれが有効になったようだ。

MacのOS Xは今でもシェア率でいえばまだまだマイナーなOSで、Windowsに比べればマルウェア（悪意のあるソフトウェア、ウィルスやトロイの木馬など）にも感染しにくい。またOSそのものにも防護機能があり、なんらかのマルウェアがインストールされようとするとユーザに「ソフトウェアをインストールしますか？」というダイアログを表示して警告するようになっているので、比較的安全だとされている。しかし、9to5Macによると、マルウェア研究機構のMalwarebytesは、ローテク或いはリテラシーの低い人が感染してしまうMacのマルウェアが存在することを発表し警告している。これは要注意だ。

悪意のあるソフトウェアがiPhoneやiPadを蝕んでいるって本当？残念ながら、本当だ。MacRumorsによれば、この悪意のあるソフトウェアは100万台以上のデバイスを危険に晒すといい、しかも脱獄（ジェイルブレイク・Jailbreak）していないデバイスにも感染してしまうという。現在のところ、中国のiOSユーザにしか影響していないようだが、今後世界的に拡がらないことが保証されているわけではない

Macに使われているOS Xのセキュリティは以前は堅牢なものとしてユーザに記憶されていたが、それも今は昔。近年Macのシェアが増えたことで多くの人がOS Xを使用するようになり、データ量やユーザ数が増えることで、悪意のあるハッカー達の興味を引くようになってきてしまった。

Appleがファームウェアセキュリティ会社の”LegbaCore”社を昨年2015年11月に買収していたことが、セキュリティ研究家のTrammell Hudson氏によって、12月に32C3会議でのプレゼンで明らかにされたことがわかった。LegbaCoreの会社設立の目的は、創業者のXeno Kovah氏によれば、「できるだけ安全なシステムの構築のお役に立つこと」だった。

製品がバカ売れすると、それにあわせて無法者を自然に呼び込んでしまう。皆がよい使い方の習慣を身につけ、怪しいサイトなどに行かなければ、基本的にセキュリティはある程度保障されるのだが。

またも訪れるのか、iOSデバイスのXcodeGhostによる悪夢が。。 iOS 8の時代に世間を騒がせた、App Storeで配布されているアプリにも感染していて、脱獄していなくても感染するということで話題となった”XcodeGhost”。感染していると公表されたアプリのメーカーがだいたいすぐに対応したことと、iOS 9にアップデートすることで対策がとられたためその騒ぎは下火になったのだが。。 ThreatPostの報道によると、ネットワークセキュリティの専門家グループFireEyeからの情報として、今度はiOSアプリに感染するマルウェア”XcodeGhostの”新型が再度出現し、今度はiOS 9のアプリとXcode 7に対応しており、また新たなテクノロジーによって検出されにくい仕様になっているとのこと。

以前当ブログでも詳細をまとめた、App Storeにあるアプリも感染していて騒ぎとなった”Xcode Ghost”。そのXcode Ghostも基本的には殆どが中国のアプリであったことと（感染された開発ツールXcodeが中国で配布されていたことに起因する）、アプリを更新することでその影響がなくなることでその影響も殆どなくなってきた。そんな矢先、またセキュリティ機構のPalo Alto Networks（パロアルトネットワークス）から、新たなマルウェア”YiSpecter（イースペクター）”の情報が公開された。Palo Alto Networksの上記のリンク先には膨大な情報が英語で紹介されているため、ある程度かいつまんで日本語で解説したい。