QNAP NASを狙う「QSnatch」マルウェアとは？駆除方法と感染予防策を徹底解説

台湾のQNAP社が製造するNAS（Network Attached Storage）デバイスが、「QSnatch」と呼ばれるマルウェアの標的となっていることが判明しました。この警告は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）と英国国家サイバーセキュリティセンター（NCSC）が共同で発表したアドバイザリーに基づくものです。

QNAPのNASデバイスは、パソコンやスマートフォンなどさまざまなデバイスのローカルクラウドバックアップとして広く利用されています。同社製品は独自に構築されたLinuxベースのOSを採用しており、それだけにQSnatchマルウェアの巧妙さが際立ちます。なお、マルウェアの感染経路、攻撃者の正体、そして目的については、依然として明らかになっていません。

QSnatchマルウェアとは？

QSnatchは、2020年に発見された4番目のNAS標的型マルウェアです。この発見以前にも、Synologyデバイスを襲ったランサムウェアや、QNAPデバイスに感染した「eCh0raix」「Muhstik」などのランサムウェアが確認されていました。

今回、攻撃者は台湾メーカーQNAP製の数万台規模のNASデバイスに、QSnatchという新たなマルウェアを感染させました。

実はQSnatchの亜種は、2014年や2017年といった早い時期から確認されており、セキュリティ機関はこの感染を拡大させるために仕組まれた2つの大規模キャンペーンを特定しています。直近のキャンペーンは2019年11月に遡ります。

興味深いことに、セキュリティ専門家でもQSnatchの初期感染経路は特定できていません。ただし、感染段階でデバイスのファームウェアに悪性コードが注入され、その後デバイス内部でコードが実行されることで侵害に至ると考えられています。攻撃者がファームウェアに存在するリモートから悪用可能な脆弱性を突き、悪性コードを注入した可能性が高いとみられます。

QSnatchは、感染したデバイスからログイン認証情報やシステム設定といった機密情報を収集できます。このデータ漏洩リスクのため、マルウェアを「駆除済み」としたQNAPデバイスでも、再感染の危険性が残る点に注意が必要です。

ドイツのコンピュータ緊急対応チーム（CERT-Bund）によれば、ドイツ国内だけで7,000件以上のQSnatch感染が報告されています。2020年6月時点で世界全体の感染デバイス数は62,000台に達し、うち米国が約7,600台、英国が約3,900台でした。

QSnatchの仕組み

QSnatchは、CGIパスワードロガーによる認証情報の窃取、SSHバックドアの設置、システム設定やログファイルを含むデータの外部送信、リモートアクセス用Webシェル機能の提供などを目的とした、極めて高度なマルウェアです。

NASドライブへ侵入したマルウェアは、ホストファイルを改変し、NASが利用する主要ドメイン名を古いローカルバージョンへリダイレクトすることで永続化します。これにより、正規の更新プログラムの取得が妨害されます。

セキュリティ警報によると、新型のQSnatchには大幅に強化された多様な機能が搭載されており、主なモジュールは以下の通りです。

• CGIパスワードロガー：デバイス管理者ログインページの偽ページを設置し、入力された正規の認証情報を記録したうえで、本来のログインページへ転送する
• 認証情報スクレーパー：デバイス内の資格情報を自動的に収集する
• SSHバックドア：攻撃者がデバイス上で任意のコードを実行できるようにする
• データ窃取機能：システム設定やログファイルなど、あらかじめ指定されたファイル群を盗み出す。盗んだデータは攻撃者の公開鍵で暗号化され、HTTPS経由で攻撃者のインフラへ送信される
• Webshell機能：遠隔操作による不正アクセスを可能にする

セキュリティ専門家は現行バージョンのQSnatchの能力を詳細に分析することに成功していますが、唯一解明できていないのが「マルウェアが最初にどのようにデバイスへ侵入するのか」という点です。

前述の通り、攻撃者はQNAPファームウェアの脆弱性を悪用したか、あるいは管理者アカウントに使い回しの簡単なパスワードが設定されていたことを突いた可能性があります。しかし、いずれの手法であるかは確定的には検証されていません。

ただし、一度足場を確保されると、QSnatchはファームウェアへ注入され、デバイスを完全に掌握します。さらに、感染したNAS上で生き延び続けるために、以降のファームウェア更新をブロックしてしまうのです。

マルウェアの永続性が非常に高いため、管理者はファームウェア更新を適用できません。信頼できるアンチウイルスソフトは一般的なマルウェアには有効ですが、このケースでは効果が期待できません。ユーザーは、ファームウェアをアップグレードして最新の更新をすべて適用する前に、必ず工場出荷状態への完全リセットを実行する必要があります。この工程でマルウェアも併せて除去されます。

QSnatchマルウェアの駆除方法

このマルウェアがDDoS攻撃や暗号資産（仮想通貨）マイニングを目的としたものなのか、それとも機密データ窃取や将来的なマルウェア設置のためのバックドアとして開発されたものなのかは、現時点で確定していません。

しかし現状、QSnatchの駆除に成功した唯一の方法は、NASデバイスの完全な工場出荷時リセットです。リセット後は、入手可能な最新版のQNAP NASファームウェアを必ずインストールしましょう。

もし組織がこのマルウェアに感染した場合は、QNAPが公式に発表した以下の推奨事項を参照してください。

「QNAPは11月1日、QTSオペレーティングシステム向け『Malware Remover』アプリを更新し、QNAP NASから本マルウェアを検出・除去できるようにしました。また11月2日には、この問題に対処する更新版セキュリティ勧告を公開しています。ユーザーの皆様には、QTS App Centerから、またはQNAP公式サイトからの手動ダウンロードにより、最新版のMalware Removerをインストールされるよう強くお願いいたします。加えて、QNAP NASのセキュリティ強化のための一連の対策も推奨しており、詳細はセキュリティ勧告に記載されています。」

最新ファームウェアへの更新は、下記リンクから行えます。
https://www.qnap.com/en/download

また、以下の手順でも更新可能です。

1. 管理者権限でQTSにログインします。
2. コントロールパネル ＞ システム ＞ ファームウェア更新 へ移動します。
3. ライブアップデート の 更新の確認 をクリックします。
4. QTSが最新のアップデートを自動的にダウンロードし、インストールします。

続いて、QNAP内蔵の「Malware Remover」も以下の手順で更新してください。

1. 管理者権限でQTSにログインします。
2. App Center を開き、（＋）ボタンをクリックします。
3. 手動インストールのダイアログが表示されたら、内容を確認します。
4. 参照 をクリックします。
5. ファイルブラウザでインストーラーファイルを選択します。
6. インストール をクリックします。
7. 確認メッセージが表示されます。
8. OK をクリックします。
9. QTSが最新版のMalware Removerをインストールします。
10. 確認メッセージが表示されたら OK をクリックします。
11. 必要なアップデートのダイアログが表示されたら 今すぐ更新 をクリックします。
12. QTSがMalware Removerを最新バージョンへ更新します。
13. Malware Removerを起動し、スキャン開始 をクリックします。

これによりNAS全体のマルウェアスキャンが実行され、検出された脅威は自動的に削除されます。

QSnatch感染を予防する方法

マルウェア感染を未然に防ぐため、QNAPは以下のセキュリティ対策を強く推奨しています。

• 管理者パスワードを変更し、固有かつ強度の高いパスワードを設定する
• 他のユーザーアカウントのパスワードも変更し、推測困難なランダムな文字列にする
• QNAP IDのパスワードも忘れずに変更する
• データベースのrootパスワードをより強固なものに変更し、解読を困難にする
• マルウェアによって作成された疑いのある、見覚えのないアカウントを削除する
• IPアドレスおよびアカウントアクセス保護を有効化し、ブルートフォース攻撃を防ぐ
• SSHやTelnetを使用していない場合は、これらの接続を無効化する
• Webサーバー、SQLサーバー、phpMyAdminアプリも不要であれば無効化する
• 不具合のあるアプリ、未知のアプリ、不審なアプリを削除する
• 22、443、80、8080、8081などのデフォルトポート番号は変更して使用する
• 自動ルーター設定（UPnP）とサービス公開機能をオフにする
• myQNAPcloudのアクセス制御を制限する

上記の対策を実施することで、QNAPデバイスが攻撃の標的になるリスクを大幅に低減できます。QSnatchに感染すると、認証情報が盗まれる危険だけでなく、マルウェア除去のためにNASを再フォーマットする際に、保存していたすべてのデータを失うことになります。こうした事態を避けるためにも、被害が発生する前に厳重なセキュリティ対策を講じておくことが何よりも重要です。