中国発信で、2億5000万台のPCに被害が出たといわれる「Fireball」

2018年06月09日 12時00分更新

正規のデジタル署名を持っていた「Fireball」

　2017年6月1日、米国のセキュリティー関連企業Check Point Software Technologiesが、とあるマルウェアがインド・ブラジルを中心に「世界中で2億5000万台以上のコンピュータに感染している」と同日付けのブログで公表しました。

　「Fireball」と名付けられたそのマルウェアは、中国のとある企業が発信源とされ、コンピューターに入り込むとウェブブラウザーのデフォルト検索エンジンとホームページを勝手に変更し、トラフィック乗っ取りで広告収益を生み出すといいます。変更された検索エンジンはリダイレクトがかかり、一見すると普通のyahoo.comまたはGoogle.comですが、そこにはユーザーの個人情報を収集するためにトラッキングピクセルが仕組まれているとしています。

　このトラッキング機能に対して、カスペルスキーは2017年6月13日付けのブログでその危険性に警鐘を鳴らしました。単に個人のウェブ巡回履歴を収集するだけでなく、ブラウザー拡張機能のダウンロード・インストール能力と併せて、様々なマルウェアに感染する恐れがあるといいます。これがもしスパイ活動に悪用された場合、同ブログでは「世界規模の大惨事になりかねません」としています。

　これに加えて同ブログでは「悪意ある性質を持っているにもかかわらず、正規のデジタル証明書で署名」されているとも指摘しています。さらに検知逃れの技術も実装されており、セキュリティー製品による監視の目も暫くの間かいくぐってきたといいます。「Fireballは正規のアプリにしか見えないのです」という恐ろしい指摘が、悪質さを際立たせています。

　しかしマイクロソフトのWINDOWS DEFENDER RESEARCHチームは、「2億5000万台以上」という衝撃的な数値に懐疑的です。2017年6月22日付けのブログでは同チームが2015年からFireballをリサーチしてきたとしており、その性能が「時間の経過とともに進化」したとしながら、同時にCheck Pointによる感染数推定の欠陥を指摘しています。

　さらに同ブログでは、カスペルスキーブログが指摘していた「正規のアプリにしか見えない」理由の一端も垣間見られます。ほかのソフトウェアのバンドルとしてインストールされたFireballはなんとしばしば“クリーンなプログラム”を持ってくるというのです。しかもそれは悪質なコードをロードするための隠れ蓑。こうしてFireballは3年もの間コンピューターに潜伏していたとしています。

「ブラウザハイジャッカー」の対処は非常に面倒

　このようにウェブブラウザーの設定を勝手に変更してしまうものを、ブラウザハイジャッカーと言います。アドウェアの一種として紹介されることも多く、主な症状はデフォルトの検索エンジンが変更される、入れた覚えのないツールバーが追加される、起動時のホームページが変更される、ポップアップが出るなど。ハイジャックのようにブラウザーの設定を乗っ取ってしまうことから、この名前で呼ばれています。

　ホームページや検索エンジンの設定だけならば変更にそう苦労はしませんが、ブラウザハイジャッカーが悪質な点はアンインストールが煩雑・困難なものが多いこと。2016年1月13日付けのESETのブログでは、対処法として「ブラウザーの設定の変更」「プログラムのアンインストール」「ツールバー、アドオン（拡張機能）、プラグインの無効化、削除」「レジストリの変更、削除」の4項目を設定しています。

　特に4つ目のレジストリ変更に関しては、誤った値を入力してしまったり間違えた項目を消してしまったりすると、コンピューター自体が起動しなくなるといった危険性もあります。セキュリティーソフトによってはレジストリ変更まで全自動なものもあるので、操作に自身がなければ市販ソフトを使うほうが無難かもしれません。

　ブラウザハイジャッカーの侵入経路ですが、2014年08月25日付けのノートンブログでは海外のアダルトサイトや改ざんされた一般サイト、フリーソフトのバンドルなどを挙げています。怪しいものに近寄らないというのはもちろん、防御体勢は常にしっかりと取っておくべきというのがサイバーセキュリティーの基本姿勢です。

　この連載では、カクヨムで開催中の『サイバーセキュリティー小説コンテスト』を応援するべく、関連用語やその実例を紹介していきます。作品の深さを出すためには単に小説を組み立てるだけでなく、サイバーセキュリティーに関する知識も必要。コンテストに参加するな悩める小説家も、そうでない方も、改めてサイバーセキュリティー用語をおさらいしてみましょう。