要約:
サイバーセキュリティ研究者らは最近、Remus と呼ばれるマルウェアが広く注目を集めていることを明らかにしました。従来のステルス プログラムとは異なり、このマルウェアは Google アカウントに関連付けられた認証トークンを盗むことができるため、場合によっては被害者がパスワードを変更した後でも攻撃者が Gmail アカウントへのアクセスを保持できることが判明しました。
研究者らは、Remus は主に Windows システム ユーザーをターゲットとする情報窃取マルウェアであると指摘しました。一般的なパスワードを盗むマルウェアと同様に、ログイン認証情報、Cookie、暗号通貨ウォレット データ、ブラウザに保存されているその他の機密情報を収集しようとします。しかし、その最も憂慮すべき機能は、Google アカウント認証メカニズムに対する攻撃方法にあります。
分析によれば、攻撃者は必ずしもユーザーのパスワード自体を取得する必要はありません。代わりに、Remus はログイン状態を維持するためにブラウザで使用される認証トークンを取得しようとします。これらのトークンの盗難に成功すると、攻撃者はそれらを使用して正規ユーザーになりすまし、関連アカウントにアクセスする可能性があります。
セキュリティ専門家らによると、多くのユーザーは、アカウントに異常を発見したらすぐにパスワードを変更すれば、侵入者のアクセス権を完全に遮断できると考えているという。ただし、攻撃者がまだ有効な認証トークンを持っている場合、パスワードを変更しただけではすぐには無効にならない可能性があるため、このセキュリティ警告は非常に懸念されます。
研究者らは、Remus の運営者がこの機能を販売促進の 1 つとして利用し、被害者がパスワードを変更した後も一部の Google サービスに引き続きアクセスできると主張していたと述べています。関連する主張は実際の攻撃環境に照らして評価する必要がありますが、セキュリティ コミュニティは一般に、従来のパスワードの代わりにセッション トークンを使用するこのタイプの攻撃手法が、サイバー犯罪活動の現在の発展傾向を表していると考えています。
この種の攻撃は、Google アカウントのセキュリティ メカニズムが完全に侵害されたことを意味するものではないことに注意してください。専門家は、問題の核心は感染したデバイス上の認証情報の盗難にあると説明しています。攻撃者が有効な認証情報を取得すると、システムは攻撃者を認証済みの正規ユーザーと誤認する可能性があります。
リスクを軽減するために、セキュリティ研究者は、デバイスがマルウェアに感染していることを発見した後にアカウントのパスワードを変更するだけでなく、ログインしているすべてのデバイスとセッションから積極的にログアウトし、アカウントのセキュリティ設定を確認し、多要素認証を有効にすることをユーザーに推奨しています。同時に、マルウェアが新しい ID 情報を盗み続けるのを防ぐために、感染したデバイスを徹底的にスキャンして駆除する必要があります。
業界関係者らは、ブラウザの同期機能、永続的なログイン メカニズム、クラウド サービスの普及により、サイバー犯罪者はユーザー名とパスワードを取得するだけでなく、セッション トークンなどの高度な認証データを盗む傾向がますます高まっていると指摘しています。従来のアカウント盗難手法と比較して、このタイプの攻撃はより巧妙であることが多く、ユーザーが時間内に検出するのはより困難です。
セキュリティ専門家は、ユーザーに対し、より警戒し、未知のソースからのソフトウェアのダウンロード、ツールや不審な添付ファイルのクラッキングを避けること、オペレーティング システムとセキュリティ ソフトウェアを適時に更新することを呼びかけています。アカウントが侵害されたと疑われるユーザーは、パスワードの変更に加えて、ログイン履歴を確認し、不明なデバイスの認証を取り消し、攻撃者が漏洩した認証情報を使用してアカウントにアクセスし続けることができないように、安全な認証環境を再確立する必要があります。
コメント