Last Updated on 2024-07-05 09:38 by admin

Gluptebaというボットネットが、これまで文書化されていなかったUnified Extensible Firmware Interface (UEFI) ブートキット機能を組み込むことで、検出を回避していることが明らかになった。Palo Alto NetworksのUnit 42の研究者であるLior RochbergerとDan Yashnikによる分析によると、このブートキットはオペレーティングシステムの起動プロセスに介入し制御することで、Gluptebaが自身を隠し、検出や除去が非常に困難な隠密性の高い持続性を確立することを可能にする。Gluptebaは、情報窃取やバックドア機能を備え、不正な暗号通貨マイニングや感染ホスト上でのプロキシコンポーネントの展開を容易にする。また、Bitcoinブロックチェーンをバックアップのコマンドアンドコントロール（C2）システムとして利用し、取り締まりに対する耐性を持つことが知られている。その他の機能には、追加のペイロードの配信、クレデンシャルやクレジットカードデータの窃取、広告詐欺の実行、ルーターの悪用によるクレデンシャルとリモート管理アクセスの取得が含まれる。

過去10年間で、モジュラー型マルウェアは、セキュリティソリューションによる検出を回避するために、複雑な多段階の感染チェーンを採用するなど、洗練された脅威へと進化してきた。2023年11月にサイバーセキュリティ企業によって観察されたキャンペーンでは、Gluptebaの配布にRuzkiなどのペイ・パー・インストール（PPI）サービスが使用されている。2022年9月、SekoiaはRuzkiを活動クラスターにリンクし、PrivateLoaderを介して次段階のマルウェアを伝播する手段として利用していることを明らかにした。これは、PrivateLoaderがクラックされたソフトウェアのインストールファイルのふりをして配布され、その後SmokeLoaderをロードし、さらにRedLine StealerやAmadeyを起動し、最終的にGluptebaをドロップするという形式の大規模なフィッシング攻撃を取る。

Gluptebaは、オープンソースプロジェクトであるEfiGuardの改変版を組み込むことでUEFIブートキットを装備しており、起動時にPatchGuardとDriver Signature Enforcement (DSE)を無効化する能力を持つ。以前のバージョンでは、マルウェアがルートキットとして使用するカーネルドライバーをインストールし、感染したホストのセキュリティ姿勢を弱体化させる変更を加えていたことが指摘されている。

Gluptebaマルウェアは、現代のサイバー犯罪者が示す複雑さと適応性の顕著な例として際立っている。Glupteba内に未文書化のUEFIバイパス技術が特定されたことは、このマルウェアの革新と回避能力を強調している。さらに、Gluptebaの配布においてPPIエコシステムが果たす役割は、サイバー犯罪者が大規模な感染を試みる際に採用する協力と収益化戦略を浮き彫りにしている。

【ニュース解説】

Gluptebaというボットネットが、これまでに記録されていないUEFI（Unified Extensible Firmware Interface）ブートキット機能を使用して検出を回避していることが発見されました。このブートキットは、オペレーティングシステムの起動プロセスに介入し、Gluptebaが自身を隠し、検出や除去が困難な隠密性の高い持続性を確立することを可能にします。Gluptebaは、情報窃取やバックドア機能を備え、不正な暗号通貨マイニングや感染ホスト上でのプロキシコンポーネントの展開を容易にするマルウェアです。また、Bitcoinブロックチェーンをバックアップのコマンドアンドコントロール（C2）システムとして利用し、取り締まりに対する耐性を持つことが知られています。

このマルウェアは、セキュリティソリューションによる検出を回避するために、複雑な多段階の感染チェーンを採用しています。特に、ペイ・パー・インストール（PPI）サービスを利用した配布が観察されており、これにより大規模なフィッシング攻撃を通じてGluptebaが拡散されています。Gluptebaは、起動時にPatchGuardとDriver Signature Enforcement (DSE)を無効化する能力を持つUEFIブートキットを装備しており、これによりさらに検出を回避することが可能になっています。

このニュースは、現代のサイバー犯罪者がどれほど高度な技術を用いているかを示しています。UEFIブートキットを使用することで、マルウェアはシステムの最も基本的なレベルで操作を行い、従来のセキュリティソフトウェアが検出する前に自身を隠すことができます。これは、セキュリティ対策の強化と新たな検出手法の開発が急務であることを示しています。

ポジティブな側面としては、このような脅威の発見がセキュリティコミュニティによる研究と対策の進化を促すことが期待されます。一方で、潜在的なリスクとしては、この技術が他のマルウェアにも採用され、より多くのシステムが危険にさらされる可能性があります。また、UEFIブートキットの使用は、マルウェアの検出と除去をより困難にし、被害の拡大を許す可能性があります。

規制に与える影響としては、このような高度な脅威に対応するために、セキュリティ基準や法規制の見直しが求められるかもしれません。将来への影響としては、セキュリティソリューションの提供者が新たな検出技術を開発し、サイバーセキュリティの分野でのイノベーションが加速する可能性があります。長期的な視点では、サイバー犯罪との戦いは常に進化し続けるものであり、セキュリティコミュニティは常に新たな脅威に対応するための方法を模索し続ける必要があることを示しています。

from Glupteba Botnet Evades Detection with Undocumented UEFI Bootkit.

admin

See Full Bio