ダークウェブで出回る「正規の」デジタル署名証明書――マルウェア検知を回避する新たな脅威

マルウェア攻撃は日常茶飯事、しかし脅威はさらに進化している

MacやWindowsを標的とするマルウェア攻撃のニュースは、今やインターネットユーザーにとって珍しいものではありません。ブートウイルス、悪意ある添付ファイル、マクロウイルスといった亜種もすでに注目を集めてきました。しかし、「すべてはマルウェアで始まり、マルウェアで終わる」と考えているなら、それは大きな間違いです。これは今後起こりうる事態の予兆にすぎず、一つの警鐘として受け止めるべきでしょう。

サイバーセキュリティ研究所(CSRI)が実施した最近の調査により、デジタルコード署名証明書が深刻な危険にさらされている実態が明らかになりました。この種の攻撃の先駆けとなったのは、2005年にイランの核濃縮プロセスを標的としたStuxnet(スタックスネット)ワームです。そして最近の例としては、CCleanerに対する攻撃が挙げられます。

デジタルコード署名証明書とは?

デジタル証明書はいわば「身分証明書」のようなもので、個人や企業に電子的な同一性を与えるものです。信頼できる認証局(CA)によって発行されます。

画像出典:SSL.org

認証局は、保有者の身元と権限を保証するためにデジタル証明書を発行します。個人や企業に発行される各デジタル証明書には、公開鍵およびその他の識別情報が組み込まれており、暗号学的に署名されることでデータの整合性が認証され、その使用が検証されます。

デジタル証明書を持つアプリケーションやソフトウェアは、コンピュータから信頼されたものとみなされ、警告メッセージなしでプログラムの実行が許可されます。

なぜデジタル証明書は危険にさらされているのか?

なんと、正規に署名されたデジタル証明書がダークウェブで1枚最大1,200ドルで販売されています。ハッカーはこれらの証明書を利用して、悪意のあるコードを信頼されたソフトウェアベンダーに紐付け、マルウェアが検知されるリスクを大幅に下げます。こうすることで、標的となったネットワークやユーザーマシンのセキュリティを容易に回避できるのです。

心配する必要はある?

メリーランド大学カレッジパーク校のセキュリティ研究者チーム(Doowon Kim氏、BumJun Kwon氏、Tudor Dumitras氏)は、デジタル署名されたマルウェアがすでに蔓延していることを突き止めました。合計325件の署名済みマルウェアサンプルが発見されており、そのうち189件には有効なデジタル署名が付いています。

「このような不正な形式の署名は攻撃者にとって有用です。正規のサンプルからAuthenticode署名をコピーして未署名のマルウェアサンプルに貼り付けるだけで、マルウェアがアンチウイルス(AV)検知を回避できる可能性があることが分かりました」と研究者らは述べています。

侵害された証明書のうち27件はすでに失効されていますが、現時点では残りの84件は失効するまでシステムから信頼されたままです。

「マルウェアファミリーの大部分(88.8%)は単一の証明書に依存しており、これは悪用された証明書の多くが第三者ではなく、マルウェア作者自身によって管理されていることを示唆しています」(同大学研究チーム)

失効後も脅威は消えない

さらに懸念されるのは、証明書が失効した後でも、サイバー犯罪者の悪用がすぐには止まらないという点です。一部のアンチウイルスプログラムは、失効した証明書に含まれる悪意のあるプログラムを認識できないため、悪意のあるコードが何の妨害もなくシステム上で実行され続ける可能性があります。

加えて、ハッカーはMicrosoftが署名した有効なWindowsシステムファイルやMicrosoft Officeファイルに悪意のあるコードを簡単に追加できます。Microsoft署名のファイルはセキュリティプログラムのホワイトリストに登録されているため、セキュリティソフトの検知を巧みにかいくぐることができるのです。これは、重要なシステムファイルの誤削除やシステムクラッシュにつながる誤検知を防ぐために設けられた仕組みを逆手に取った手法です。

自衛のためにできることは?

• OSとブラウザを常に最新の状態に保つ
• ルート証明書ストアに新しいCAを安易に追加しない
• 未知の開発者によるファイルのダウンロードをブロックする
• 信頼済み証明書を常に把握・管理する
• エンドポイントセキュリティソリューションを導入する

論文「Certified Malware: Measuring Breaches of Trust in the Windows Code-Signing PKI」には、次のように記されています。

「デジタル署名されたマルウェアは、有効な署名を持つプログラムのみをインストールまたは起動するというシステム保護メカニズムを回避することができます」

これはまさに深刻な問題です。ハッカーが有効な証明書にアクセスできれば、もはや何も安全とは言えません。アンチウイルスプログラムもシステムもこれらの脅威を識別できず、アンチウイルスの回避はかつてないほど容易になっているのです。

攻撃者によって悪用された証明書のリストは、signedmalware.orgで確認できます。