GEEKOMは、マルウェアとして検知される不正なRealtek製LANドライバーパッケージが、自社ミニPC向けの旧サポートページを通じて過去に入手可能な状態になっていたことを認めました。これにより、ベンダーがホストするドライバー配布に対するサプライチェーンセキュリティへの懸念が改めて浮上しています。
同社によると、問題のファイルは旧式のリソースに限定されており、現行のサポートポータルや工場出荷時にインストールされるWindowsイメージには影響していないとのことです。
この問題が発覚したのは、ユーザーからウイルス対策ソフトがドライバーインストーラーをAsruexトロイの木馬として検知したとの報告があったことがきっかけでした。
このパッケージはGEEKOM所有のインフラを通じてRealtek製イーサネットドライバーとして配布されていたため、通常のネットワークドライバー更新を求めるユーザーが、信頼できるはずのベンダードメインから悪意ある実行ファイルを取得してしまう恐れがありました。
この旧ページはウェブサイトの通常のナビゲーションからはリンクされていなかったものの、検索エンジン経由で発見され、直接アクセスすることが可能な状態でした。
GEEKOMは、マルウェアがどのようにしてホスト先のドライバーアーカイブに埋め込まれた、あるいは関連付けられたのかについては明らかにしていません。
マルウェア除去ツール
ここで重要な点として、同社はこの問題がGEEKOMのハードウェア自体や、デバイスにプリインストールされているWindowsのインストール環境には影響していないと説明しています。
影響範囲は、ユーザーが旧ページから該当する不正なLANドライバーパッケージをダウンロードまたは実行したシステムに限定されています。
とはいえ今回の事案は、ソフトウェアサプライチェーンの衛生管理において繰り返し見られる運用上の課題を浮き彫りにしています。すなわち、廃止されたウェブリソースであっても、組織が新しいポータルへ移行した後もなお検索可能な状態でユーザーの信頼を得たまま残り、古いファイルや改ざんされたファイルを配布し続けてしまうケースがあるということです。
Asruexは、ステルス性の高い実行、永続化、さらには追加のペイロード配信を伴う悪意ある活動と関連付けられてきたマルウェアであり、それがドライバーインストーラーに紛れ込んでいたという事実は特に懸念されます。
GEEKOMの声明によると、この脆弱な配布経路が生じたのは、同社が新しいサポートシステムを導入した後も、旧サポートページが一般公開されたまま残っていたためだとされています。
ドライバーパッケージは通常、昇格した権限で実行されるものであり、OEMのサポートページ由来であることからユーザーはリスクが低いと考えがちです。
Realtekイーサネットドライバー
そのため、この配布経路にトロイの木馬化されたインストーラーが紛れ込むと、ユーザーが本来抱くはずの警戒心という重要な防御層を突破してしまう可能性があります。
GEEKOMは現行のサポートページ上のファイルを精査し、同様の異常は見つからなかったとしています。同社は該当する旧ページおよびファイルを削除するとともに、リソース管理と審査プロセスの強化を進めています。
今回の対応において同社は、廃止されたページがメインのサポートナビゲーションからリンクされていなかったにもかかわらず、当該ファイルが自社インフラ上でホストされていた事実を認めています。
該当のイーサネットドライバーをダウンロードしたユーザーは、保存されているインストーラーを直ちに削除し、実行しないようにしてください。
該当ファイルを実行した可能性があるシステムについては、Microsoft Defenderなど信頼できるエンドポイントセキュリティ製品による完全スキャンを実施すべきです。
GEEKOMは、Windows Update、Realtekの公式配布チャネル、または同社の更新済みサポートポータルを通じてネットワークドライバーを再インストールすることを推奨しています。
また、最も確実な対策を求めるユーザーに対しては、Microsoftの公式イメージからのWindowsクリーンインストールも提案しています。
今回の事例は、企業の管理者および一般ユーザーの双方にとって、いくつかの実践的な安全対策を改めて示すものとなりました。
ドライバーの出所については、ベンダードメインの一見した正当性だけで判断すべきではありません。デジタル署名を確認し、ベンダーがハッシュ値を公開している場合はそれと照合し、可能な限り管理された更新機構を優先すべきです。
また、セキュリティチームは、ハードウェアドライバーパッケージに関するウイルス対策ソフトの検知については、その原因が判明するまでサプライチェーンインシデントとして扱うべきです。具体的には、管理された分析のためにインストーラーを保存し、エンドポイントのテレメトリーを確認し、実行後の不審な挙動がないか調査することが求められます。
GEEKOMが今回の件を認めたことで、問題のファイルが自社の環境から配信されていたかどうかという疑問は解消されました。しかし、当初の侵害経路については依然として確認が取れていません。
この未解決の疑問は重要です。アップロードの仕組みが侵害されたのか、サードパーティ製パッケージの供給元に問題があったのか、認証情報が流出したのか、あるいは過去のホスティング上の不備によるものなのか、その原因が明らかにならない限り、防御側は再発リスクを十分に評価することができません。
[ライブウェビナー] Elastic社とUnderDefense社が主催するウェビナーにご参加ください。少人数のセキュリティチームがAIの可視化とエージェント型対応を1つの運用モデルに統合する方法を学べます。 -> 今すぐ登録
翻訳元: https://gbhackers.com/realtek-ethernet-driver/
