インストール後、マルウェアは以下の入念な手順でPCに居座り続けました。
C:\Program Files\Hola\HolaMonitorService.exehola_monitor_svcという名前のWindowsサービスを作成し、スタートアップの種類を「自動(0x00000002)」に設定。これにより、システムが起動するたびに自動的にマイナーが起動するようになりました me.exeというバイナリ自体は、デジタル署名や有効なタイムスタンプを持たず、コードも難読化されていました。セキュリティ研究者は、この「me.exe」というファイル名自体、そこら中にありそうな平凡さを狙って選ばれたと指摘しています 今回、推定で影響を受けたのは、Hola Browserユーザー全体の約0.1% に過ぎませんでした 。ユーザー数からすればごく一部ですが、この事件は「サプライチェーン攻撃」のお手本のような事例です。ユーザーが「公式」と信頼してインストールするソフトウェアの配布経路が、攻撃者によって武器にされ、通常のセキュリティチェックをバイパスしてしまう危険性を、まざまざと示しました。
この攻撃はHolaのソースコードが改ざんされたわけではありません。むしろ、ソフトウェアのビルドからリリースに至るパイプラインの脆弱性を浮き彫りにしました。つまり、開発者がどれほど完璧なコードを書いていても、コンパイルやパッケージ化、配布の段階でたった一度でも工程が侵害されれば、最終製品は容易に“毒入り”になり得るという強烈な教訓です 。
Sophos X-Opsからの報告を受け、Holaは脅威の封じ込めと再発防止に乗り出しました。同社が実施した主な対策は以下の通りです。
Comments
0 comments