ソーシャルメディアはその特性からして拡散力が高く、サイバー犯罪者から見ると、多くの端末にマルウェアを感染させて一括して操るボットネットを形成(Android OSを通じての)する格好の餌食となりそうだが、意外にもTwitterボットネットは、今回初めて発見された。
この記事は、ESETが運営するマルウェアやセキュリティに関する情報サイト「Welivesecurity」の記事を翻訳したものです。
![世界初のTwitterボットネットが出現か](/files/user/malware_info/images/threat/161019/0.jpg)
2016年9月から活動的になってきているバックドアの「ツイットール」(Android/Twitoor)は、感染した機器に対して他のマルウェアをダウンロードできる仕掛けを持っている。この不正アプリを、ESETは「Android/Twitoor.A」の亜種として検知しているが、Androidのオフィシャルストアでは見つけることができず、おそらくSMSか、仕掛けを施されたURLを通じて拡散されたものと思われる。実際には名前通りの機能を持たない、ポルノビデオ・アプリやMMS(マルチメディアメッセージングサービス)アプリに偽装されているのである。
このマルウェアは、起動するとシステム上での自分の存在を隠し、コマンドを受け取るために指定されたTwitterアカウントを一定の間隔でチェックする。あとは、受け取ったコマンドに従って、不正アプリをダウンロードしたり、その機器のTwitterアカウントをC&C(コマンドアンドコントロール)サーバーのように使うことができるようになる。
「C&Cサーバーの代わりにTwitterを使うというのは、Androidボットネットにとって、かなり革新的なアイデアです」と、この不正アプリの発見者、ESETマルウェア研究者であるルーカス・ステファンコ(Lukas Stefanko)は言う。
ボットネットを編成するために端末機器を支配下に置くこのマルウェアは、次々とアップデートされた新たな指示を受け取ることができなければならない。なぜならば、こうした通信は、どんなボットネットにとってもアキレス腱と言えるもので、通信によって疑惑を招くかもしれないし、ボットがネットから孤立する事態は、ボットネットの機能にとって常に致命的になるからである。
さらに、C&Cサーバーが警察に差し押さえられでもすれば、ボットネット全体に関わる情報が明らかになってしまうことさえ考えられる。
そこで、ボットネット設計者は、ツイットールの通信をより防御力のあるものにしようと、通信内容を暗号化したり、C&Cの複雑なネットワーク構成(トポロジー)を利用したり、またソーシャル・ネットワークのような新しいコミュニケーション手段を使ったりと、さまざまな試みを段階的に行ってきた。
「これらの通信チャンネルは発見が難しく、完全にブロックするのは、さらに難しい。その一方で、サイバー犯罪者にとって、今作ったばかりの新しいアカウントへと通信先を切り替えるのは、極めて簡単なことなのです」とステファンコは説明する。
Windowsの世界においては、Twitterは2006年に始まったが、早くも2009年には初めてボットネットのコントロールのために悪用されたことがある。Androidボットに関しても、ブログやGoogle、Baiduなど多くのクラウド・メッセージング・システムのような、他の新たに登場した手段を通してコントロールされていたことが、すでに発見されている。だがステファンコによると、Twitterベースのボット・マルウェアは、このツイットールが最初である。
「将来、犯罪者が、Facebookのステータスを悪用したり、LinkedInやその他のソーシャル・ネットワークを展開しようとすることは、大いにあり得ます」とステファンコは述べる。
今のところ、トロイの木馬ツイットールは、モバイルバンキングに特化したバージョンを幾つかダウンロードさせているにすぎない。しかしボットネットの使い手が、いつランサムウェアのような別のマルウェアを配布し始めてもおかしくない、とステファンコは警告し、こう続ける。
「ツイットールは、サイバー犯罪者が自分たちのビジネスを新しいテクノロジーの登場に合わせて常に革新し続けていることを示す好例となっています。対策についてですが、インターネットユーザーは、コンピューターであってもモバイル機器であっても、そこでの自分の活動を優れたセキュリティ対策によって守っていかなければならないでしょう」
ツイットールのハッシュ値
E5212D4416486AF42E7ED1F58A526AEF77BE89BE
A9891222232145581FE8D0D483EDB4B18836BCFC
AFF9F39A6CA5D68C599B30012D79DA29E2672C6E