GEEKOMは、マルウェアと判定されたドライバパッケージが、同社のミニPC向け旧サポートページで公開されていたことを認めました。
同社によると、このファイルは新しいサポートシステムに移行した後も旧リソースとしてオンライン上に残り続け、検索エンジンの結果を通じてユーザーが発見・ダウンロードできる状態になっていたとのことです。
ドライバパッケージは通常、信頼されたソフトウェアコンポーネントであるため、今回の事案は懸念を呼んでいます。ユーザーはWi-Fiやイーサネット、オーディオ、グラフィックス、チップセットの不具合を修正するために、こうしたドライバをよくダウンロードします。
そのため、悪意のある、あるいは改ざんされたドライバインストーラーは深刻なサプライチェーンリスクとなり得ます。被害者は、それが機器メーカー純正のものだと信じて実行してしまう可能性があるためです。
複数の報告では、問題のファイルはLANドライバパッケージであると特定されています。GEEKOMによると、問題のインストーラーは同社自身のサポートインフラ上でホストされていたものの、その旧ページは同社の通常のウェブサイトナビゲーションからはリンクされていなかったとのことです。
同社は、マルウェアがどのようにしてサーバーに侵入したかについては説明していません。見出しにある「ネットワーク通信」は、以前Asruexのコマンド&コントロール（C2）インフラに関連付けられていたドメインとの通信を指しています。
しかし、VideoCardzが報じたGEEKOMの公式声明では、Asruexへの帰属を確定しているわけではなく、通信先の具体的なドメインを特定しているわけでもなく、ファイルハッシュやIPアドレス、通信ログといった技術的な痕跡情報も示されていません。
したがって、この関連性については確定した帰属情報としてではなく、独立した検証を要する報告済みの痕跡情報として扱うべきです。
GEEKOMの調査によると、問題は旧サポートページに限定されていたとのことです。現行のドライバダウンロードページでは同様の異常は見つかっておらず、問題のパッケージは同社ミニPCに出荷されるWindowsインストール環境には含まれていなかったと同社は説明しています。つまり、GEEKOM製デバイスを所有していること自体が、侵害を意味するわけではありません。
同社は謝罪の意を表明し、問題のある旧ファイルおよびページを削除していると述べています。また、古い、あるいは検証されていないファイルがオンライン上に残り続けるリスクを減らすため、リソース管理・レビュープロセスを強化する方針も示しています。
今回の事案は、繰り返し発生しているセキュリティ上の問題を浮き彫りにしています。それは、企業が新しいポータルへ移行した後も、古いウェブリソースが長期間アクセス可能な状態で残り得るという問題です。こうしたページがメニューから削除されていたとしても、検索エンジンにはインデックスされ続ける場合があります。
攻撃者は、放置されたダウンロード場所や、改ざんされたストレージ、監視の行き届いていないコンテンツリポジトリを狙うことで、この隙を突いてくる可能性があります。
組織は、アーカイブ化されたサポートページ、ダウンロードサーバー、クラウドストレージバケット、リダイレクトエンドポイントを含む、公開資産の完全な棚卸しを維持する必要があります。
ダウンロード用に提供するファイルは定期的にスキャンし、可能な限り暗号署名を施した上で、既知の正規ハッシュ値と照合して検証すべきです。古いページは速やかに削除するか、リダイレクト設定を行う必要があります。
GEEKOMは、問題のLANドライバパッケージをダウンロードしたユーザーに対し、それを実行しないこと、そしてローカルに保存されたコピーを削除することを推奨しています。
すでにこのファイルを実行してしまった可能性があるユーザーは、Microsoft Defenderまたは他の信頼できるセキュリティ製品を使ってフルスキャンを実施すべきだと、videocardzは伝えています。
代替ドライバの入手先として、GEEKOMはWindows Update、Realtek公式サイト、または同社の更新済みサポートポータルの利用を推奨しています。
さらに念には念を入れたいユーザー向けに、同社はMicrosoftの公式インストールイメージを使ったWindowsのクリーンインストールも提案しています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/geekom-contacts-asruex-c2/
