Windows向けバックアップツールを手がけるAOMEIは火曜日、更新サーバーを乗っ取られて数カ月にわたるサプライチェーン攻撃を受け、マルウェアに感染した顧客をまだ特定も通知もできていないと明らかにしました。
香港に登記された同社はRecorded Future Newsへの電子メールで、4月から7月にかけてハッカーが更新サーバー上の設定ファイルを繰り返し改ざんしていたことを認めました。この改ざんにより、ソフトウェアは数分間だけマルウェアをダウンロードするよう誘導されていました。
今回の確認は、先週公表された連携報告を受けたものです。報告は、最初にこの活動を検知したセキュリティ企業 ManageEngineと、さらに詳しく調査したGoogle Threat Intelligence Groupがそれぞれ発表しました。
Googleの研究者らは、これほど短時間だけ改ざんを行うサプライチェーン攻撃に遭遇したのは初めてだと述べています。この手口は「従来の時点ベースのトリアージや自動ファイルスキャンを事実上回避する」ものだといいます。
ManageEngineによると、同社は6月、自社のソフトウェアが2社の顧客で不審な活動を検知したことを受け、AOMEIに最初の警告を送りました。ManageEngineの説明では、AOMEIは当初、自社側の問題ではなく、悪意ある第三者が更新を通信中に傍受して改変したものだと主張していたといいます。
攻撃者は最初の警告後も、少なくとも2回は攻撃を実行しました。AOMEIはこの警告を受けて調査を行い、「潜在的な脆弱性をいくつか修正した」ものの、その調査では侵害の「根本原因を特定できなかった」と説明しています。
AOMEIによると、侵入の痕跡を特定できたのは、7月のManageEngineの報告で研究者らが「改ざんが発生した具体的な時刻」を示してからでした。サーバーログの分析とファイルの比較により、「侵入の痕跡」を確認したといいます。その後サーバーを更新し、以降は悪意あるファイルの痕跡は見つかっていないとしています。
AOMEIは、当初の説明に関するManageEngineの指摘には触れませんでした。同社は、GoogleとManageEngineから問題は解決したと伝えられたと主張しています。ただしManageEngineの報告書は、攻撃者がAOMEIのインフラへのアクセスを失ったことを独自に検証したわけではないとしています。
Googleは、特定した被害者には通知済みだと述べています。被害者は、米国、オーストラリア、インド、ブラジルなど約12カ国に及び、ITサービス、通信、高等教育の分野にまたがっていました。
ただしGoogleの研究者らは、攻撃が行われた時間帯に更新を確認した全員にマルウェアが配信されたため、実際の被害者数はおそらくもっと多いと警告しています。「これらの時間帯が短いことを踏まえると、キャンペーンの期間を通じて、私たちが把握できていない改ざんがほかにも発生していた可能性が高い」としています。
両社は、この脅威クラスターをUNC7017として追跡しています。
ManageEngineは「AOMEI Backupperで悪用された脆弱性はなかった」と記しています。攻撃者が悪用したのは、AOMEIがプロモーション用ポップアップを配信するために使うチャネルでした。このチャネルは設定ファイルを認証していませんでした。攻撃者は改ざんの時間帯が終わるたびに元のファイルを復元し、後の検査で見つかる痕跡を残さなかったとしています。
ManageEngineの研究者らはRecorded Future Newsに対し、次のように語りました。「バックアップツールは常時稼働し、マシン上のあらゆるファイルにアクセスでき、インストールした利用者から信頼され、定期的にベンダーと通信します。そのため、何をしても不自然に見えません。目立たずに活動したい攻撃者にとって、バックアップベンダーの更新チャネルはほぼ完璧な隠れ蓑です」
Googleによると、攻撃者は7月20日の時間帯に、不可視のポップアップも使いました。これにより、マシンにWindowsのパスワードハッシュを攻撃者管理下のサーバーへ送信させていました。この手法は、マルウェア自体がブロックされた環境でも機能する可能性があります。
GoogleとManageEngineはともに、AOMEIがサーバーを修正しても、すでに感染したコンピューターは元に戻らないと警告しました。AOMEIのソフトウェアを使う組織に対し、4月から7月の全期間にわたって侵害の兆候を調べるよう強く促しています。
ManageEngineによると、Googleの報告書はAOMEIのリモートデスクトップ製品であるAnyViewerが標的にされていたことも記録しています。一方、AOMEIは自社の監視で「異常が見られたのはAOMEI Backupperのみ」で、AnyViewerには「異常な活動はなかった」としています。
UNC7017の出所と動機は依然として不明です。ManageEngineによると、このグループが使ったマルウェアは、コンピューターが中国国内にあるように見える場合、位置情報を特定できない場合、または特定のセキュリティ製品が導入されている場合には、動作を停止するよう設計されていました。
研究者らは「このキャンペーンは痕跡を一切残さないように作られており、それには攻撃者の正体も含まれます」と述べています。また、中国を除外していたからといって、攻撃者の拠点が分かるわけではないと注意を促しました。現地の法執行機関を避けるためや、特定のセキュリティ企業を避けるため、あるいは調査担当者を惑わすためだった可能性があるといいます。
AOMEIは、「影響を受けた可能性のあるユーザーを調査し、積極的に連絡を取り、必要なセキュリティ対策の実施に向けて協力していく」としています。
同社は無料の検出ツールを公開しました。被害の可能性がある期間中にBackupperを使用した人は、更新したうえでシステムをスキャンするよう呼びかけています。
翻訳元: https://therecord.media/aomei-yet-to-notify-customers-hijack-software
