Backoff マルウェア：「高度ではない」けれど効果は抜群

ねえ、脅かすつもりはありません。ただ、現在のデータ漏えいに関する脅威レベルについて少し不安を感じてもおかしくないと思います。データ漏えい過去1年の大きな見出しを飾った大規模な侵害の多くの背後にいると疑われている Backoff マルウェアは、一般的にはそれほど洗練されていないと説明されています。とはいえ、犯罪者たちはこのコードのバージョンを使って、クレジットカード番号と関連する個人情報を何億件もの規模で盗み出すことに成功しています。

先月、Damballa のセキュリティ専門家が 2014年 第3四半期における Backoff の POS（Point of Sale）マルウェアの感染が急増したことを示すレポート を公開しました。先週は、 別のブログ記事 でも追補し、年末の非常に重要なショッピングシーズンに向かうにつれて感染が引き続き増えていることを示しました。さらに悪いことに、Fortinet の研究者たちは 野外で活動している Backoff の新たなバージョン 2つ が、検知をより困難にするために特別に改変されていることを発表しました。

Backoff は「高度ではない」と説明されていますが、それでもなおかなり巧妙です。手短に言うと、動作は次のとおりです：

• 実行ファイルを起動すると、Java アプリケーション（javaw.exe）に見せかけるために、自分自身をマシンのハードドライブへコピーします。 （新たに発見されたバージョンの ROM と 211G1 は、代わりにメディアプレーヤーのように見えます。）
• 新しいファイルは READONLY、SYSTEM、HIDDEN の属性で設定されます。
• マルウェアは、再起動後も持続するように、いくつかのレジストリキーを設定します。
• メモリ上のクレジットカードおよび関連データをスクレイピングするために、カスタム関数を使用します。
• このマルウェアはキーロギングを使用し、キーボード入力をログファイルに保存します。（ROM および 211G1 のバージョンには、どうやらキーロギングは含まれていないようです。）
• このマルウェアは explorer.exe プロセスにコードを注入しようとします。これにより、削除されても自分自身を再インストールできるようになります。
• データを送信するために攻撃者と定期的に通信し、攻撃者は新しいマルウェアのバージョンを含むコマンドを送信できる能力を持っています。

このプロセスのより詳しい説明は、SpiderLabs の「Backoff – Technical Analysis」をご覧ください。

今週出てきたもう一つの興味深いニュースは、Home Depot の data breach に関するものです。Backoff のバージョンの一つに起因したと考えられており、支払いカード番号 5600 万件の損失（流出）につながりました。Home Depot は、マルウェアが第三者ベンダーの正規の認証情報を通じて自社のシステムに侵入したと発表しています。つまり、最初のハッキングは他人のネットワークで発生し、犯罪者が正当な許可があるように見える形で Home Depot に侵入できたということです。

このニュースから得るべき重要な教訓は、時には「どれほど優れた境界（perimeter）セキュリティを備えているか」は問題にならないことがある、という点です。何にも、誰にもまったく接続がない地下のシェルターで生活していない限り、侵入する方法は常に存在します。そして、切断されたシェルターから現実的に運営できるビジネスは多くありません。

Backoff は主に小売業者を狙う POS（point-of-sale）マルウェアとして設計されていますが、ほかの企業も警戒しておくべきです。American Banker は「How ‘Backoff’ Malware Works and Why Banks Should Care」を公開しました。主な対象は金融機関ですが、あらゆる企業にとって役立つ情報が含まれています。この記事では、マルウェアのキー入力記録（keylogging）機能がパスワードを盗むためにどのように使えるのかを指摘しており、銀行、医療機関、または機密データを扱うどの企業にとっても問題になり得ます。

ほとんどのマルウェアと同様に、Backoff は自分が何をしているのかを常に隠そうとしています。自身のコピーを削除したり、名前を変更したりするなどです。同時に、業務の進行に合わせてネットワークに対して多くの変更を加えます。そして、盗み出したデータを持ち出す（exfiltrate）ために、攻撃者との通信チャネルを作成します。その結果、Backoff の活動は change auditing log に現れるはずです。はい、最新のアンチウイルスやマルウェア対策を導入しておくことは重要です。しかし同時に、許可されていない、または不審な変更や通信がないか、ネットワークを綿密に監視することも重要です。

Home Depot の侵害（breach）では、マルウェアが少なくとも 4 か月間、同社のシステム上で活動状態にあり、定期的にクレジットカードやその他の個人情報をネットワークの外へ送信していました。ネットワークの内部でこれだけ多くの活動が行われていたのに、警告の兆候（red flags）が一切上がらなかったのは、本当に長い時間です。他の IT 担当者にも、network audit をより注意深く行い、Backoff のような問題にも目を光らせてほしいと思います。侵害によってホリデーシーズンを台無しにしたくないでしょうし——同様に、他人のホリデーシーズンを台無しにもしたくないはずです。