Infoblox、圧縮ソフト「7-Zip」を装った偽ソフトウェアの裏に潜む巨大不正プロキシ事業を解明

偽ダウンロードサイトから偽レビューまで、大規模な不正プロキシ事業の実態を明らかに

先制的サイバーセキュリティおよびクリティカルネットワークサービスの主要プラットフォームを提供するInfoblox（本社：米国カリフォルニア州サンタクララ、以下Infoblox）の脅威インテリジェンスチームである Infoblox Threat Intelは、圧縮ソフト「7-Zip」を装った偽ソフトウェアを悪用した攻撃の調査を通じて、Lurking Lizardと呼ばれる攻撃グループによる大規模な不正プロキシ事業の実態を明らかにし、詳細情報を公開しました。

レジデンシャルプロキシとは、家庭などの一般利用者のIPアドレスを経由して通信する仕組みです。サイバーセキュリティ分野で注目される一方、実際には正規の家庭ネットワークではなく、マルウェアなどによって乗っ取られた端末の通信帯域が、第三者に販売・悪用されるケースも確認されています。Infoblox Threat Intelの研究者は、当初は単発の攻撃に見えた活動を追跡するなかで、少なくとも数年前から続く、より広範な不正プロキシ事業へとたどり着きました。

Lurking Lizardは中国系の攻撃グループとみられ、他のプロキシ事業者と提携し、侵害された端末の通信帯域へのアクセスを再販していると考えられます。外部の研究者はこれまでに、Lurking Lizardに関連するインフラと、今年初めに業界と法執行機関の連携した措置によって停止に追い込まれた大手プロキシ事業者IPIDEAとの重複を確認しています。今年は複数のプロキシ事業者に対する停止措置が行われた一方で、Lurking Lizardのような攻撃グループがボットネット化した端末の運用を続けていることは、悪質なレジデンシャルプロキシ市場の解体が依然として難しいことを示しています。

この活動は、感染端末の獲得、誘導、収益化までを一体的に行う仕組みを持っています。大手ソフトウェアブランドを装ったなりすましドメインを通じてマルウェアを配布し、被害者の端末を新たなプロキシの接続先として組み込みます。さらに、検索結果の悪用やオンライン広告を使って偽サイトへの誘導を広げ、犯罪者が利用できる通信基盤として収益化していました。

今年初めに注目を集めた7-Zipになりすました攻撃は、この仕組みの一部にすぎませんでした。

Infoblox Threat Intelはさらに、この攻撃グループが他の商用プロキシサービスを装ったなりすましドメインを通じてアクセスを販売していたことも確認しました。研究者は関連ドメインを結びつけることで、偽ダウンロードサイト、なりすましサイト、偽レビュー、プロキシサービス販売が連動する、より広い活動範囲を明らかにしました。

Infoblox Threat IntelのバイスプレジデントであるRenée Burtonは、次のように述べています。 

「ここで重要なのは、一つの偽インストーラーではなく、その背後にある事業の仕組みです。犯罪サービスが、消費者向けソフトウェアやアプリストア、レビューサイトの信頼を利用して規模を拡大できるようになると、そのリスクはセキュリティチームだけの問題にとどまりません。オンラインで事業を営むあらゆる企業にとって、業務・不正・ブランドに関わる問題になるのです。」

本リリースは、Infoblox Inc. が現地時間7月7日に配信したInfoblox Threat Intelのレポートに基づき作成した日本語抄訳です。その内容および解釈については、英文が優先されます。 

Infoblox Threat Intelについて

Infoblox Threat Intelは、独自に収集・分析したDNS脅威インテリジェンスを提供する組織であり、多数の情報を集約するサービスとは一線を画すアプローチを取っています。DNSに関する専門的な知見と、インターネット上の広範な観測データに基づく可視性を強みとし、他者には見えない脅威アクターの動向を把握しています。防御的な対応にとどまらず、得られた知見をもとにサイバー犯罪が動き出す段階から積極的に阻止しています。また、詳細な調査レポートの公開やGitHubを通じたインジケーター（IoC）の共有を通じて、セキュリティコミュニティ全体への貢献も重視しています。さらに、当社の脅威インテリジェンスはInfoblox Threat Defense and Response solutionsにシームレスに統合されており、お客様は極めて低い誤検知率とともに、その分析結果を自動的に享受できます。

Infobloxについて 

Infobloxは、先制的サイバーセキュリティとハイブリッド・マルチクラウドネットワークの主要プラットフォームとして、企業の回復力と俊敏性を支えています。新興企業からFortune 100企業の過半数を含む5,700社以上のお客様に信頼され、重要なネットワークサービスをシームレスに統合・保護・自動化することで、企業が妥協なく迅速にビジネスを展開できるよう支援しています。詳細はInfoblox.comをご覧いただくか、LinkedInで当社をフォローしてください。