情報を窃盗するインフォスティーラーとは？

公開日：2023.04.03｜

更新日：2023.12.27｜

執筆者：茂木康高｜

インフォスティーラーとは

インフォスティーラー（Infostealer）とは、感染した端末から情報を窃取するタイプのマルウェアです。感染した端末からはパスワード情報、クレジットカードや銀行口座に関する情報、キー入力、クリップボードデータ、スクリーンショット、システム内部のデータなど様々な情報を盗み出します。

フィッシングよりも怖いインフォスティーラー

世界中から注目を集めているOpenAIの革新的なチャットボット「ChatGPT」。ジェネレーティブAIが未来の可能性を広げる反面、このような技術がサイバー攻撃に悪用されることでフィッシング詐欺メールの文面がより自然になり、被害が拡大することも懸念されています。フィッシング詐欺でID/パスワードなどの認証情報を盗まれてしまうと、攻撃者が攻撃対象の組織に侵入するための”入口”として活用されてしまう可能性があるためその影響は計り知れません。

“入口”のカギとなる認証情報を窃取する方法は他にも存在しますが、中でも恐ろしいのがインフォスティーラーです。その一種である「DUCKTAIL」は、ターゲットにフィッシングを仕掛けるためにWhatsApp等の新たなルートを使用します。また、防御回避策としてはファイル形式やコンパイルの変更・証明書の連名化などを行います。インフォスティーラーは、セキュリティ対策を回避するために進化し続けているのです*1。

盗まれただけでは終わらない！認証情報を奪われる恐怖

認証情報を窃取されるとその後、どのような被害に遭うのでしょうか。

一般消費者の場合：アカウントを奪取され金銭的被害に遭う

一般消費者がWebサービスへのログインに使用する認証情報を盗まれると、攻撃者がアカウントに自由にログインできるようになります。初手でパスワードは変更され正規ユーザはログインができなくなり、個人情報もクレジットカード情報も全て盗まれてしまいます。また、パスワードを使いまわして使用している場合はリスト型攻撃によって別のWebサービスのアカウントも根こそぎ乗っ取られてしまいます。

自組織、会社従業員の場合：組織内に侵入され、サイバーインシデントに発展する

会社従業員の認証情報が盗まれてしまうと、企業で利用しているSaaSシステムに攻撃者が侵入し、機密情報の漏えいが始まります。また企業ネットワークへの認証情報を窃取された場合はその他の端末やサーバへの横展開を繰り返すことで更に重要なデータを搾取されてしまいます。当然ランサムウェアへの感染も考えられ、最悪システム全体がダウンします。

ここで、「認証情報を盗まれても２要素認証を設定しているので大丈夫！」と思われる方もいらっしゃると思います。2要素認証は有効ですが、必ずしも完璧なものではありません。2要素認証を傍受するツールキットも多く出回っており、セッションCookieを盗むことで２要素認証による保護を回避する手口も存在します。*2 このようなツールはインフォスティーラーとも呼ばれています。

インフォスティーラーという名の、犯罪エコシステムにおけるセンサー

対象のパソコンにインフォスティーラーを感染させることで認証情報やセッションCookieを取得することができます。多くの攻撃者から多種多様なインフォスティーラーが提供されており、例えばロシアの脅威アクターである「REDGlade」が提供する“RedLine Stealer”などが有名です。その他、Vidar、FickerStealer、Taurus、AZORultなども一般的です。RedLineに感染するとWebブラウザ、FTP接続、VPNから認証情報が抽出されます。*3さらにキーストローク、クリップボードのデータ、画面のスクリーンショット、ローカルデータなども取得していきます。

取得されたデータは自動的にブラックマーケットに出品され、そのまま外部へと流出し10ドル程度で販売されます。ブラックマーケットも複数存在しており、Russian Market、Genesis Store、2easy Shopなどが有名どころです。基本的に一つのマーケットに出品された情報は、購入することで公開されなくなりますが、他のマーケットには同時並行で出品されていますし、購入された情報がその後、再度公開されることを止めることは不可能です。

info_stealer_image.