パスワードの変更は、侵害されたアカウントを復旧する際の手順の一部であるべきだ。Remus Stealerの開発者は、この手順やセッションの取り消し後も動作し続けると主張するGmail読み取り機能を宣伝している。
それは重大な主張です。しかし、公表された調査では、その機能は実証されていません。脅威インテリジェンス企業のハドソン・ロックは、レムスの宣伝資料を精査し、開発者と自称顧客の両方に聞き取り調査を行いました。その結論は、宣伝文句よりも慎重なものです。資料にはメールボックス閲覧インターフェースが描かれていますが、アカウントが完全に保護された後にレムスが新しいメッセージを取得できることを証明していません。また、Gmailのゼロデイ脆弱性も証明していません。
レムスが宣伝しているもの
ハドソン・ロックによると、Remusのバージョン1.3.9の発表では、オペレーターが侵害されたGmailメールボックスをサービスのダッシュボードから直接開くことができる機能が宣伝されている。提供されたスクリーンショットには、メッセージリスト、個々のメール、および侵害されたデバイスの記録に添付された「メール」オプションが表示されている。
この発表では、さらにいくつかの主張がなされている。
- 通信事業者は、ブラウザのCookieファイルを収集することなく、メール認証コードを傍受することができる。
- パスワードの変更やセッションの取り消しは、アクセスを停止するものではありません。
- メールボックスへのアクセス権は、リンクを介して他の事業者と共有できます。
開発者は、その仕組みについて尋ねられると、ブラウザのメモリとのやり取りについて説明し、マルウェアが実行されて終了すると述べた。また、このサービスはGoogleの不正対策チェックを回避できると主張したが、その主張を検証するために必要な技術的な詳細は明らかにしなかった。
覚えておいてください。これらは犯罪捜査サービスを提供する業者の宣伝文句であり、独自に検証された調査結果ではありません。
証拠が示すもの
ハドソン・ロックは、この機能を公に支持し、実際に使用した経験を持つ人物に話を聞いた。その情報源によると、ブラウザを閉じたり、セッションをリセットしたり、Googleのパスワードを変更したりした後でも、メールボックスへのアクセスは継続したという。
しかし、このやり取りには、どのセッションがリセットされたのか、アカウント設定がどのように変更されたのか、パスワード変更とその後のアクセスがいつ行われたのかといった具体的な情報は記載されていない。情報源の独立性は確認されておらず、また、これらの記述には管理されたテストが伴っていない。
ハドソン・ロック社は、同社の報告書には新機能のリバースエンジニアリングも、復旧後の制御された検証も含まれていないことを明言している。
情報漏洩は毎日起こっています。最後になってから知るようなことのないようにしましょう。
パスワードを変更しても、Gmailへのアクセスは維持されますか？
はい。一定の条件下では、パスワード変更後もアクセスを継続することが可能です。
Googleのドキュメントによると、パスワードの変更は通常、Gmailの権限を持つアプリケーションが使用するアクセストークンとリフレッシュトークンを無効化します。これらのトークンにより、アプリケーションは毎回パスワードを要求されることなくアカウントにアクセスできます。したがって、トークンの盗難だけでは、パスワード変更後もRemusがアクセスを維持できるとは断定できません。
Gmailユーザーがすべきこと
レムスの主張をめぐる不確実性は、パスワード変更を放棄する理由にはなりません。それは、情報窃盗マルウェア感染からの復旧には、パスワードの変更以上のことが必要であることを改めて認識させるものです。
感染または不正なGmailアクセスが疑われる場合：
- すぐに別の信頼できるデバイスを使用してアカウントのセキュリティ対策を開始してください。感染が疑われるデバイスはインターネットから切断し、マルウェアを削除してから、そのデバイスでアカウントに再度ログインしてください。
- Googleアカウントのパスワードを変更し、最近のセキュリティイベントやログインしたデバイスを確認し、身に覚えのないアクセスを削除してください。アカウントへのアクセス権を持つアプリケーションやデバイスのセッションも確認してください。
- Gmailの設定を確認し、不正な転送、フィルタ、委任されたメールボックスへのアクセス、リモートメールアクセスの変更がないか確認してください。復旧用メールアドレス、復旧用電話番号、および認証方法も確認してください。
- 影響を受けたデバイスで信頼できるセキュリティソフトウェアを実行してください。Googleは、有害なソフトウェアに対処するもう一つの方法として、コンピュータをリセットしてオペレーティングシステムを再インストールすることも挙げています。
- サインインや復旧にメールボックスを利用している他の重要なアカウントも確認してください。特に、見慣れない認証メッセージやパスワードリセットメッセージが表示された場合は注意が必要です。
メールボックスは、復旧リンクや確認メッセージを受信するため、他のアカウントへの足がかりとなる可能性があります。しかし、Remusのスクリーンショットは、多要素認証を普遍的に回避する方法、メールを送信する機能、またはそのアドレスに関連付けられたすべてのアカウントを完全に制御できることを示すものではありません。
Remusの主張する永続性は未だ検証されていません。感染が疑われる場合は、アカウントを保護し、影響を受けたデバイスをクリーンアップしてください。リアルタイムのマルウェア対策は、情報窃盗型マルウェアの感染を防ぐのに役立ちます。
脅威の報告から、それらを排除することまで。
サイバーセキュリティのリスクは、単なるニュースの見出しに留まるべきではありません。今すぐMalwarebytesダウンロードして、デバイスを脅威から守りましょう。
