ダークゲート : SkypeとTeamsのユーザーなら注意すべきマルウェア

協業に使用されるSkypeとTeamsのアカウントを侵害してマルウェアを配布する行為が摘発されました。配布されているマルウェアは ダークゲート （DarkGate）という一種のローダであり、攻撃者はそれを用いて情報を盗んでキーロギングをし、暗号通貨の採掘をしたり、追加でランサムウェアを配布することと分析されました。

現在、 ダークゲート の開発者はダークウェブのフォーラムを通じてダークゲートを一所懸命広報していて、サブスクリプション・サービスとして提供するビジネスを展開しているそうです。そのようなビジネス形態の変化が成功し、最近の ダークゲート 配布の急増に影響を及ぼしていると推定されます。

主にユーザーの正常アカウントを侵害・掌握し、該当ユーザーと信頼関係がある人を狙ってマルウェアを拡散する式です。アカウントを奪い取られたユーザーが進んでいるスレッドを通じて相手とコミュニケーションを持続しながら疑われないようにします。そして自然にマルウェア設置ファイルを伝えるかリンクを伝えます。設置ファイルはPDFファイルに偽造されています。被害者がそれをダウンロードして実行する場合、 ダークゲート をリモートでダウンロードし、被害者のファイルに設置する過程が始まります。

Trend MicroによるとRemcosというRATマルウェアが追加で設置される場合が多かったと言います。Remcosは一種のバックドアで、情報の奪取は被害者を監視する機能を持っています。しかし、 ダークゲート を利用した既存の攻撃を考えると、攻撃者がランサムウェア、暗号通貨の採掘コード等の攻撃が続いてもおかしくはありません。Trend Microはどんな組織でも ダークゲート を新たな脅威に認識して防御すべきと主張します。

Trend Microの関係者は「ファイルやリンクをお互いに伝送する際のセキュリティルールや添付ファイルの扱い方を設定し、多要素認証を導入することも役に立つ」と語りました。