iPad miniとDuoの到着待ち
前にこのポッドキャストでさ、iPhone Duoの話したじゃん。 ああ、そうですね。届きました?いやいや、予約注文のスタートラッシュにちょっと遅れてしまったんで。
ネギスさんともあろう方が。 うん。で、ほら、それですぐに来ませんみたいな話をして、まあ1ヶ月くらいで来るかなーって言って、まだ来てないんだよ実はね。来てないんだけど、
はい。 あの首長くして待つと先にiPad miniが届いたんだけどさ。そう、なんか唐突に出ましたよね。
グリップみたいなぐらいのね。そうそう。あれめちゃくちゃ良かったよね、もちろんね。 ちょっと待ってください。あの、Duo買われたんですよね。
Duoも予約購入されていて、で、iPad miniも購入されたってことですか? うん、昨日届きました。先にminiが来ちゃったんだよね。
画面サイズ的にかぶらないですか?同じぐらいの大きさのような気がするんですか? そうそうそうそうなんだけど、あのね、そこはね、あの迷ったらダメで、迷ったら負けないですよ。 ああそうか。迷ったら両方買えば
いいじゃんっていう。なるほどね、なるほど。
いやでもね、今回のやつ、なんか急に出たからさ。 急に出て急に買うのすごいですけどね。そうそう。いや急に出たから、あんまり全然そういう予定なかったんだけど、
買ってみて思ったけど、めちゃくちゃいいよ今回のやつ。 えっ、なんか変わったところあるんですか?
なんかね、すごい良くなって、 まあまずね、ディスプレイが今回初めてオーレットUKLに変わったんだよね。
ああ、そっかそっか。 iPhoneとかと同じようなその技術型部分はわかんないけど、見た感じ明らかにもう旧型と比べるともう明らかに違うんで。
発色が。うん、発色がめちゃくちゃ良くて、すごいクリアで見やすいし、 あとね、これが一番俺的には良いなと思ったんだけど、ものすごく軽くなって薄くなったんだよね今回。
え?変わったんですか?筐体的に。 筐体がめちゃくちゃ変わったのね。 あ、そうなんだ。なんかてっきり一緒だと思ってました。
そうそう、前回と前々回は確かチップが変わったぐらいでほぼ変わってないんだけど。 そうそう、私も今回ちょっとなんか中が、中身がちょっと変わったのかなぐらいに思ってたんですけど。
前回はそれぐらいの変化だったけど、今回はめちゃくちゃ変わったんでオススメ。 そうなんだ。なんかね、重さ的には数字で言うと、多分そのiPhoneの一番大きいやつ、プロマックスとか、俺使ってるプロマックス
とか、
あと今回まだ来てないけどDuoとか、あの辺がだいたい250gぐらいなんだけど、それとほぼ同じ重さなんで。
へー、そうなんだ。 なんですごい軽くなって、で大きさはまあまああるじゃん。ミニとは言ってもさ。 そうですね。 だから持った感じそのケースとかカバーとかつけずにそのまま素手持つとめちゃくちゃ軽く感じる。
へー。 なんであのすごいオススメ。 何に使ってるんですか? なんだろうね。
元々俺結構ミニって本読んだりとか、漫画読んだりとかそういうので割と使っているんで。 そうかそうか、ちょうどいい感じのね、大きさというかね。 まあそれがメインにしたいちょっと贅沢な使い方だけど。
でもね知ってた? 俺その毎回買い替えてるからさ、iPad miniも2年前のやつ持ってるんだけど、1個古いやつを下取りに出すとさ、新しいやつをほぼ半額で買えるのよ。 えー?そんなにいい値段で買い取って
くれるんですか? そうなんだよね。めちゃくちゃお得だからねオススメですよ。
それいいですね。 そうそうそう、だから今回俺も前のやつを、まあその前のやつ時もそうしたんだけど、今回も1個前のやつを下取りに出して新しいのを買ってしまいました。 マジっすか、もうじゃあいらないじゃない
ですかDUO。 いやいやいや、DUOは外に持って行くの。
あれは電話だから、あれは電話。 あーそうなんだ、そうか。 いいじゃん別に両方あったって。
いやだからちょっとDUOが来たら両方比べるの楽しみだなーと思って。 もうね、ちょっとわからない、その楽しみの基準が、ちょっともうその領域にちょっとたどり着くまではちょっといろんな何かを捨てないといけ
ないけどね。 そうかもしれないけどね、まあそういうわけでちょっとDUOが来るまでの間楽しもうかなと思って。
なるほどー。 またDUOが来たら紹介しますので、まあみんな全然誰も興味持ってないと思うけどさ。 いやいやいややっぱりちょっとあのネット上ではね、まあ結構DUOに関してはいろいろ言われているところもあり
はするんですけどやっぱり実物をね。
そうそうそう、自分でちょっと確かめてみないとなーっていう。 そうそうそう、やっぱそこが大事かなと思うんで、届いたらまたぜひ教えてください。 そんな感じで、そんな感じであのちょっと今週ですね、まあお気
づきかと思いますけども。 何ですか?
はい、つりさんが今週またお休みでして。 またですかー。 なんか最近さ、先週は看護さんがいなかったし。すみません。 なんか3人なかなか揃わないよな。 どうしたんですかね、あの決してなんていうかあの仲が悪
くなったとかそういうのは決してないんですけど。
なんかね、気まずいとか。 そう、気まずくなったとかね、全然そんなことはないですけど。 いや私はともかくやっぱりお二人はね、やっぱりもうどんどんめちゃめちゃ忙しい時期っていうのがあるので。
まあ3人ともそれなりにねちょっと忙しくて、時間が合わせにくくはなってますけども。 まあね今週はちょっとつりさんお休みですけど、まあこれでまたさ、今週も休んじゃうとあれなので。 そうですね、
ちょっとまた空いちゃうかもしれないね。
なんかでもあれだよね、この二人でやったのってちょっと前にもやったよな。 そう、つい最近やったばっかりですよね。 なんか今まであんまりなかった気がしたけど最近はちょいちょいあるよね。
そうそう、そんなわけで、毎週ついさんにやってもらっているお便りのコーナーはちょっと今週お休みという。はい、ちょっとついさんがね、またいらしたタイミングでやっていただくって感じだよね。
ちょっとまた次回に持ち越しという感じで、お便りの方は随時お待ちしておりますのでよろしくお願いします。ぜひぜひお願いいたします。
これでもあれだね、この二人でやるのが増えてくるとさ、 なんかあのつりさんがいなくてもできるコーナーあったかもいいかもしれないね。 あーそうですねちょっと、ピヨネギのコンビでできる。
私とついさんがやってるあのこれみたいな感じのね。 あれの時はなんかコーナーってあんの? コーナーはないんですけど、ただもうあの
タガが外れてるっていうのがちょっと適切な表現か分からないですが、かなり。 なんかあれだよね別に編集して配信もしないし。そうそうそうそうそうそうそうそうそうそうなんですよ。
生放送で言いたい放題言うみたいな。 そうもうあのねそこまで一定員会的な雰囲気のね、言いたい放題な感じで。
まあそれもそれで面白いけどね。 いやなんかちょっとねこの二人でやる。 そうですね何がいいんだろう。もしリスナーの方でなんかアイデアありましたらぜひ。
はい、すいませんリスナー頼りの方しかいないですけど。 ご提案お待ちしております。お待ちしてます。
XCPEボットネットの機能とテイクダウン
はいじゃあそういうわけでちょっと早速ですけども今週のセキュリティの話題に入っていこうと思いますけども。 はいじゃあ今週はちょっと僕から行きたいと思います。
お願いします。 今週ですね僕はですね、Googleが発表した記事の内容を紹介しようかなと思うんですけど。
はい何でしょうか。 Androidのセットトップボックスなんかに感染していたXCPEっていうボットネットを
Googleと他のところが色々協力をしてテイクダウンしましたっていう話があって。 はいそうですね報告してましたね。
紹介しようかなと思うんですけど、このXCPEっていうこのマルウェアは何をしてたかっていうと、まずは攻撃者がそのコントロールできるバックドアの機能を持ってたんだけど
他にそのローダーの機能も持っていて、他のマルウェアのモジュール、そのXCPEとは直接関係のない別のマルウェアのモジュールを呼び込んで動かすことができる機能を持ってましたと。
ということで、具体的にどんなやつがいたかっていうと、ここでも何度も紹介しているレジデンシャルプロキシーのマルウェアとか。
あとはそのXCPE以外の全然別のバックドアを入れてきて、そのバックドアがまた別のやつを連れてくるとか、そういう機能があったり、あとはなんか少なかったけど広告詐欺とかをするようなマルウェアがあったり
だとか、
なんか結構いろんな、様々な種類のマルウェアを後から追加でロードしてくるっていう機能があったということで、
中にはそのレジデンシャルプロキシーもその1種類じゃなくて何種類か、3種類くらいまでだったから、なんか同時に動かせるものがあったりとかしてたんじゃないかと。
だから下手するとその1個の機器が複数のサービスに組み込まれてしまうみたいな、そうですよね、なんかそんな状況があったらしいと。
で、Googleさんの言うにはおそらくこのXCPEを管理していた、コントロールしていた攻撃者は、このロードするモジュールを権利としてアフィリエイトに売ってたんじゃないかと、それを収益にしたんじゃないか
ということで、
なんでその自分たちのそのボットネットのインフラを他の人にまたがしする感じで、うちのインフラにあなたのところのマルウェアも使えますよっていう、そういう感じで収益としてやってたんじゃないかっていう話で、
まあその辺がなんか非常にいやらしいなという感じなんだけど、でなんかGoogleの報告だと全世界で130万台以上あったという話なんですけど、相当な。信じられない数ですよね。
じゃあなんでこんなにの多数の感染が広がったのかっていうと、これこれもまたすごくいやらしい。前にもここでそのレジデンシャルプロキシの話をした時に似たような話は言ったんだけど、
実はその今回その主要な感染元とされているそのAndroid OSが動いているセットトップボックスとかそのテレビのボックス、TVボックスってやつにあらかじめそのプリインストールされてたということで、製品
の出荷した時にはもう最初からこのマルウェアが入ってたってことなんだよね。
使ってる人が何か間違えて操作したとかではなくて。 そう、あらかじめ売られた時にはもうそれが組み込まれて入ってましたと。しかもそのユーザーが例えばそれに気づいて、
例えばアプリを消したりとかするじゃん。そうするとこれはもうシステムに組み込まれてるんで別のその再起動した時にパーティションからもう1回サインインストールしてまた入っちゃうっていう。
消せないってことなんですか?そう、消せないんだって。普通の操作では。 ひどいよねこれ。だからもう完全にそのシステムの監視の権限で動作していて、一般のそのユーザーが買った後にユーザーが気づいて何かしよう
と思っても消せないということで、まあこれちょっとひどいなーっていうことなんだけど。
本当にね、そんなことあるんですね。 そうなんだよね。で、それをじゃあ誰がやったのっていうとここまでできるっていうことはなんとなく想像つくと思うけど、そのGoogleが言うにはこれその機器を作っている
製造元のここではそのビデオストロングっていう会社を名指しで避難してるんだけど、
その作っている会社とのAndroidを組み込んでセットトップボックスとして販売してその製造している機器のメーカーがそもそもこれを。そこから来るなんですね。自分たちでやってるんじゃないかということで、
今回そのGoogleはそれでもお前らひどいなっていうことで、
ルール違反だからということで、今後そのAndroidの認定のメーカーとしては認めないというか、今後このビデオストロング社の関わる会社にはそれを認めませんということで禁止したんで、今後この会社は作れ
なくなるんだろうけど、おそらく似たようなケースって他にもあるんだろうなーって。
いくらでも起こりそうですよね、実際にあったってことは。この機械を作って、前にブラジルかなんかでも似たような話でAndroidのテレビが出荷時からみたいな話がしてあって、一体どこで組み込まれるんだろうね
みたいな話をしてたけど、今回その一旦っていうかさ、その機器メーカーが最初からやってんだみたいな。最初からだったんだと。
そう、それじゃあどうしようもないよねっていう感じで、だからこそ数がこれだけ広がっているっていうことなんだけど。なるほどねー。その一つ注意としては、Googleとか他の今回の作戦に協力したいくつかのセ
日本国内の感染実態と犯罪エコシステム
キュリティのベンダーからも報告が出てるんだけど、そこにはあんまり日本国内のこと書いてなかったし、感染のマップで見ても日本は感染してなっぽく見えたんだけど、
あーそうなんですね。だけどこれ全然そんなことはなくて、そもそもGoogleの報告にも出てるんだけど、日本の警察も協力してるんだよね。あ、そうなんですね。Googleの発表に合わせて日本の警察庁からもリ
リースが出てるんだけど、それによると去年の9月に福岡県警がインターネットパンキングの不正送金の事案を捜査していて、
でその不正な機器を見つけたと言っているんで、おそらくだけどその発信元のIPアドレスをたどっていったら、多分その一般の家庭かオフィスかわかんないけど、日本国内のどっかにあるそのセットトップボックスか
なんだかわかんないが、そのマルウェアがおそらくレジデンシャルのプロキシーが動いてるやつに行き当たったんだろうねきっとね。
でなんかこいつおかしいってなって、それを持ち帰ったかなんだかで関東韓国の警察局が詳しくそれを調べてみましたと。そうしたらその不正なアプリがどうもあらかじめ組み込まれてるっぽいぞと。作ってるところはここ
だ販売してとかここだっていうのを調べて、
で機器がAndroidOSで動いてるんで、その情報をこれはあなたのAndroidの認定のメーカーですけど大丈夫みたいな感じでGoogleに情報を提供しましたということらしくて、それがきっかけなのかもと
もとGoogleは動いてたのかちょっとよくわかんないけど、それが一つの情報源となってGoogleはそれでいろいろ調べて今回のテイクダウンに結びついたという。
そういうことですね。国内にもあったと。そうだから実際のその事案で見つかった機器で動いてたって話なんで。そういうことですよね。間違いなく日本でも使われてたってことだし、あとその今回の受けてその後そのN
ICTさんからも追加で記事が出てるんだけど、これを読むともっと状況はひどくて、
そのNICTが独自でそのXCPを以前からちゃんと調べていて、その調査結果とかを今回報告してるんだけど、それによると彼らの観測だと世界中で80万台ぐらい感染してるやつを見えてるっていう話で、全体から
さっきの130万台以上でもちょっと少ないけど、これは見えてる範囲の違いだと思うんだけど、大事なのは日本国内も1900台ぐらいいますって言ってるんだよね。
なので全体からするとそこまでの規模ではないが、でも千何百台っていうそこそこの規模の数が日本国内でもだからその感染しているやつが売られているかないしは何か別の手段で後から入ったのかもしれないけど、おそ
らくは最初から入ったんだろうねきっとね。
で、彼らの調査だとその千何百台のその半分ぐらいはSVIクラウドっていう僕もちょっとこの製品知らなかったんだけど、なんかねその宣伝を見るとこれもセットトップボックスなんだけど、なんか世界中のテレビ放
送が無料で見れますみたいな。
怪しい宣伝をしている製品なのよね。で、それが日本でもちょっと探せばすぐ見つかるようなところに売られていて、何か手に入っちゃうんだよね。なのでおそらくそういうところで買った人が多分国内にいるか、ないしは
海外から持ち込まれたのかもしれないけども、そういう危機が日本国内でも2000台近くは動いてたと。
ということで、これ全然一言じゃないなという感じが、意外とそんなに少なくもないよね、その数。いやですね、無視できない数ですよね。だしさっきの警察の発表にもあったみたいに、これがさっきの追加のモジュ
ールでレジデンシャルのプロキシが動作していたとすると、おそらくそこを踏み台にして様々な国内向けの不正アクセスとか、
そういう事件で使われた可能性が極めて高いので、そういうのに知らない間に自分が買った機器が過端してしまっているっていうそういうリスクっていうのはちょっとちゃんと考えたほうがいいし、もしかしたらある日突然
警察に踏み込まれてさ、
私の機器から不審な通信家とか言われる可能性があるので、これはちょっとまずいよなという感じがしました。
細かいBotnetの詳細な動きとか、それぞれのブログとか、あと看護師さんがまとめてくれた記事とかも見てほしいんだけど、やっぱりこれを見て思ったのは、前のIPアイデアの例とか、いくつかここでも紹介した
けど、やっぱりレジデンシャルプロキシが関わる、
そもそもマーケットがかなりあるし、それを提供する、今回も追加で提供されるモジュールというところにいくつもいくつも名前が挙がってるんだよね。だからいろんなアフィリエットが、たぶんこのXCPも単なる一つの
出口に過ぎなくて、他にもいっぱいある中の一個の使ってるだけで、
たぶん全体として見た場合のレジデンシャルプロキシのエコシステムというかマーケットってめちゃくちゃ大きいんだろうなと思うのと、今回いろんなところが協力してGoogleも頑張って摘発して、XCPだけじゃ
なくて、そこで使えてる他の追加のモジュールのC2とかも何かテイクダウンしてるらしいんだけど、
でもこの間のIPアイデアもC2テイクダウンしましたって言ったけど、その後すぐ復活しちゃってるし、今回のもたぶん意味はなくはないし、意味はすごくあるし効果もあるんだけど、たぶん一時的なんじゃないかな
っていう感じはどうしてもして、ここがダメなら他に行くよってだけだし、
今回販売してた機器を作っていたこの会社、名前挙げてGoogleから脱出されてバンされちゃったけど、たださっき紹介したNICTの調査とかこの一社だけじゃなくて他の機器も結構あるよって話なんで、そう考
えるとたぶんいろんな会社が多分金になるからっていう理由で、あの手この手でこういうものを組み込んで販売してるんで、
機器を買う人がいなくならない限りこれなくならないなっていう感じで、だからその機器を買う人がいるからそのインフラが広がってしまう、インフラが広がっているからそれを使おうとする人が出てくる、それをその
第三者にその中継先として売る人がいるみたいな感じで、
どっかを断ち切らないとなかなかこれはなくならないし、プレイヤーが世界中にいっぱいいるから、まあちょっとしんどいなっていうのを感じましたねっていう、どうしたらいいんだろうねこれはね。
ちなみにさっきのお話の中では、気づいて消したところで復活してしまうっていう話あったんですけど、今回そのテイクダウンっていうんですか、法的な措置を講じたっていうのはあるんですけど、端末そのものはやっぱ
り感染したままっていう風に考えて良いんですよね。
一応その攻撃者がコントロールしてそのコマンドを送ったりその追加のモジュールを操作したりっていう部分が一応テイクダウンされたので、その危機に感染しているマルウェア側が更新されない限りは、まあ一旦は無力化
されたと思って間違いないんだけど、
ただマルウェア自体が消えてなくなったわけではないので、もし何か他の手段でとか、他のこういう時用のバックアップの手段があったりね、今のところ解析されているデータとか中身を見るとそういうのはなさそう
なんだけど、ただなくなっちゃってるわけじゃないんだよね。
なのでそこのあたりはちょっと課題かなっていうのと、多分その感染した機器を使っている人もこれが動かなくなっても多分何も動作的には変わらっていないので、多分自分の使っている機器が対象だということも気づいて
ないし、今回そのテイクダウンされてマルウェアの動きが止まったことでも多分気づいてないんだと思うんだよね。
だから今回はそういう人は救えてるかもしれないけど、同じようなケースで別の機器が売られて、別の機器が買われてしまったらまた同じことを繰り返すだけなんで。
この仕組み自体をなんとか。
さっきネギさんおっしゃってましたけど、もう結構エコシステムというかたちで確立してしまっていて、言ってしまえばこれをやるとお金になるっていう。
そう、儲かるんだろうねこれで多分ね。
そう、そういう市場が出来上がっているので、悪いサイクルがひたすら回る状況になっているのかなっていうところが、やっぱりこれどうしたもんかなっていうのはかなり難しい問題というか立ち切れるのかなっていう状
況にすらある気はしますね。
あと日本でも総務省、NICT、警察庁はじめ、結構対策アライアンスなんか作って注意喚起呼びかけたりだとか、結構国としてやれることは頑張ってやってると思うんだけど、仮にその注意喚起が届いて良くないなと思
ったとしても、
仮にその買ってしまってもその本人に対してあんまり不利益がない、これは前も言ったけど、その中継に気づかないうちに使われているだけで、結果警察からもしもしって言われるかもしれないけども、そういうことでも
ない限りはその本人に直接的な不利益が及びにくいので、なんかその抑止力になりにくいんだよね。
別に一家ぐらいだね、思ってしまう人がいてもおかしくない状況ですよね、これぐらいであれば。
とはいえ、多くの人に注意喚起を呼びかけることで、こういうの買ったら危ないんでやめようって、引っかえる人が少しでも増えれば、それはそれで大きなことだと思うんだけど、今のこのレジデンシャルプロキシの規模を
考えると、日本だけで頑張ってもやっぱり一部でしかないので。
そうですよね。
他とも協力をして、世界中にこうやって広がっている機械をどうにかするとかっていう、供給元を立たないとこれはなくなりようがないのと、あと今回はたまたまそのあらかじめ危機に組み込まれているっていう形だった
けど、
さっきカンコさんもチラッと触れたけど、後から感染するタイプのものも当然あるし、そういう形で感染を拡大するものっていうのもあると思うんだよね。
そういういろんな経路が流入する経路、感染する経路っていうのがたくさんあるので、それらをできれば全てに打撃を与えるようなことをやっていく。
ないしは出口側、使う側が使えないようにするとか、今の具体的な方法が思い浮かばないんだけど、地道にコツコツこういうもぐらたたきをしていくしか今のところはないのかなっていう。
これは他のビジネスでも同じ、ビジネスというか犯罪でも同じは同じなんだけど、別にこのレジデンシャルプロキシーの話に限ったことではないんだけど、
一旦こういうエコシステムがあると、どこかちょこっとやられただければすぐ復活しちゃうんで、その辺は地道にやるしかないのかなって感じだけど、
そういう難しさがまた今回改めて浮き彫りになったなっていう。
これ以上仕組みというか、全体のパイとして大きくなっていってほしくないなっていう感じはするんですけどね。
ただ、これを例えば、今まさにネギスさんおっしゃってたように、それを知らない人たちにどうやって呼びかけていくかっていうところに関しては、
頭の良い呼びかけ方をどんどんやっていかないと伝わらないっていう状況がずっと続きそうだなっていう感じがしてはいて、
それこそインホスティーラーとかと同じような、脅威としては本当に捨ておけない状況ではあるんだけども、
本当の被害というか影響を受ける方々の認知具合っていうところがだいぶギャップがあるっていう状況がずっと続いてしまってるっていうような、
悪い状況がずっと続いているのが、こういったところの背景というか。
だから今はいろんなところが頑張ってやってるけど、少なくともこれ以上悪化させないように、こういうキャンペーンは地道に潰していくしかないし、
あとその全体の状況をいろいろ観測したり、こういったボットの分析をしたり、
そういうことをしたり、あとさっき言ってた一般の人への注意喚起、こういうデバイスは危ないので使わないようにとか買わないようにとかね。
あとは法的にこういうものを禁止する仕組みとかも。
でも多分こういうのってそういうのをくぐり抜けてるんだよな。
なんていうかさっきね、ネギさんおっしゃってましたけど、なんかちょっと微妙にグレーな感じの。
そうなんだよね。
何ていうか、正規品なの?みたいな感じのね。
今回のもね、ビデオストリングチャートのところが名指しされてるけど、
Googleの説明読むと微妙に彼らの認定のプロセスをごまかしてるんだよね。
そうなんですね。
そこらへんも今度からレビューを強化しますって言ってるんだけど、
そういう目を盗んであたかもそういういい製品っぽく売っているっていうのは、なかなか防ぐのが難しいよね。
ですよね。
一見、一般の消費者から魅力的な製品に見えてしまうんで、
そういうのをこらしめるというか、破させるっていうのは、なかなかに骨が折れるなっていう感じがしましたね。
引き続きここらへんは、これ以上は悪くならないようにするためにやっていくしかないのかなっていう感じですね。
ちなみに、今日はレジデンサルプロクシーの話、たまたま今週Googleが発表したんだけど、
出す時にはもう今週か、アミアさんのサーカンファレンス、セキュリティブレイズだっけ?
このPodcastの3人も呼んでいただいて、講演させていただいてますけど、
ソロでね、それぞれやるっていう。
僕ちょうどそこでレジデンサルプロクシーの話題を取り上げてるんで、
ちょっと興味ある人はぜひ聞いていただけると嬉しいですね。
いいですね。
ちょうどタイミング的には、タイミングがいいか悪いかわかんないけど、ぜひ聞いてください。
以上です。ありがとうございます。
ありがとうございます。
VOLTA infostealerとAIによる情報のエンリッチメント
じゃあ続きまして、かんこさんからよろしくお願いします。
なんかちょっとさっきインフォスティーラーで話しちゃったんですけど、まさに私今回はインフォスティーラーの話をご紹介したくて。
あれ結構久しぶりじゃない?インフォスティーラーの話。
そうですかね。
はい。ちょっと気になるトピックの一つでは私の中ではありますので、
なんか動きがあれば積極的に取り上げていきたいなというふうには思ってはいるんですが、
まさにその取り上げたいと思った動きがちょっと起きては欲しくなかったなっていうところはあったんですけど、
まああったよねっていうところで、インフォスティーラーといえばですね、情報を盗み出すっていうところを
主目的に据えたマルウェアっていう形で、これまで皆さん認識されていてそういった脅威があったという話があったかなと思うんですけども、
今回シスコの、タロスですね、タロスのチームが分析をしたインフォスティーラーのマルウェアの話っていうのが記事として公開をされていて、
何が特徴だったかというと、いよいよじゃないんですけども、
AIを組み込んでオプション的に分析をすると、エンディッチメントするっていう挙動が見られたっていう、
まあそういったインフォスティーラーを発見したということで報告がされていましたので。
ついに来ましたか。
いやーそうなんですよ、私も相性いいなってずっと思ってたんですよ。
本当?
インフォスティーラーって、それこそねぎさんとかねついさんとかも、実際に売られてるシーンとか見るとお感じだと思うんですけど、
情報量がもうめちゃくちゃ多いじゃないですか。
確かに。
数の端末が売買をされているシーンであるとか、たくさんのその情報具体的にどれとかっていうのがやり取れされているところではあるんですけど、
売り買いする側からすれば、そういった情報がより価値を高めるというか、認証情報だけじゃないよね、盗んだ情報はっていう観点で見せていくと、
それをどうしてもその裁くっていうところのマンパワーっていうところがこれまで課題になってきていたんだろうなっていうところはあって、
そこが残念ながらではあるんですけど、AIがもしかしたら解決してしまう、攻撃者側のその課題を解決してしまうのではないかという、
そういった動きが今回マルウェア、タロスが分析したインフォスティーラーのところで確認されたっていう話ではあるんですけども、
これ読み方はボルタでいいのかな、彼らがボルタって名前をつけているインフォスティーラーでして、
もともとこれはケルンでいいのかな、タロスのチームがケルンって呼んでいる、彼ら自身が呼んでいるプロジェクトの中で調査して発見したっていうマルウェアという話ではあるんですけども、
どうも分析していくとさっきお話ししたAIを組み込んでエンディチュメント処理を行っているインフォスティーラーだぞっていう話があってですね、
単にその認証情報が盗まれるっていうだけに閉じない話というところではあって、
具体的にどういったことをしているかというと、もちろんパスワードとかセッションクッキーとかですね、
そういったいわゆるインフォスティーラーが盗むオーソドックスな情報というところは持っていくんですけども、
それだけに終わらずに盗んだセッションの情報、それこそ例えばGmailであるとか、
そのセッションの情報を使って実際にアクセスをすると、Gmailにですね。
アクセスをして、購入明細であるとか、注文履歴であるとか、そういったのを調べて、
その盗んだ標的の個人情報というんですかね、住所、氏名、連絡先とか、
そういったのを盗み出す動きっていうのが組み込まれていたというところではあってですね。
例えばインフォスティーラーといえば被害にあったケースで言えば、
想定する対応としてはパスワード変更しましょうっていうところがまず真っ先にはあるとは思うんですけども、
クレデンシャル、認証情報、認可情報、そういったものをリセットするだけで、
その脅威が除去されたっていうふうに捉えてしまうと、こういったエンディチュメント処理が行われているっていうところを見据えた上で、
今行った自分たちの対策っていうところが本当に十分なのかっていうところは、
ちょっと気にしておかないといけないところになってきているのかなというところがあって、
それこそどういうところで普段購入をしているとか、実際にどのところに住んでいるとか、
それこそ年収とか住所、勤務先であるとか、もしかしたらそういった情報もセットで売り替えされてしまうっていうところが、
今後起きかねないというところも懸念としてはあってですね、
より一層必要としている攻撃者に渡りやすくなる可能性っていうところも、
考えなきゃいけないっていうところが出てくるのかなーっていうところもあってですね、
これやっぱりちょっと嫌な動きだなーっていうところがあって、
今回はかなりそういう意味では個人的に見て力づくな感じは多少まだあって、
というのはマルウェアそのもので、それこそLLMの呼び出しとかを行っているというところではあるので、
そういう意味ではマルウェアの中で完結してLLMといろいろ対話をしてエンディティメント処理をするというような挙動ではあるんですけど、
より大規模な仕組みとかを考えれば、1回盗んだ情報を手元のより解析環境が整ったところとかで、
エンディチメントして売買するとかっていうところも今後やろうと思えばできたりはするのかなーと。
そうだよね、なんかそういう専門にやる業者ができてもおかしくないよね。
そうそうそうそう、新しい市場が出たら嫌だなーっていうところがあって、とはいってもこれちょっと攻撃者の視点っていう見方ができそうかわからないんですけど、
やってる側からすればそういう情報があるとめちゃくちゃ攻撃しやすいというかありがたいよなーとかっていうのはあって、
いやなんかちょっと動きとして嫌だなーっていうところが、ちょっと今回のこのタロスの分析した記事をちょっと読んでいく中でちょっとゾクッとしたというか、
なんかちょっとステージがまたちょっと1個上がったような感じはしていて、今回まだボルタっていうのがたまたま見つかったっていう話ではありますけども、
昨今の状況なんか見ててもね、あのやっぱりこのAIを組み込むっていう動きが、
育たれるというか落ち着くっていうふうにはとても思えないので、似たような第2第3のボルタが出てきても全くおかしくないというか、
一層分析機能というかエンディッチメントの機能を強化したものっていうのが出てきても全くおかしくない状況ではあるので。
確かにな、なんか今までだったらさ、例えばそのインフォスティーラーの定番的なやつでいうとそのリスト的なそのURLとパスワードとIDとかそういうような3点セット的なリストとか、
あるいはその、これはどこその、例えばこれはAmazonのサービスのセッション情報ですとか、どのサービスに紐づいたものですっていう情報とか、あるいはその端末盗んだのかそのどの端末からかっていう端末の情報
から、
例えばこれはこの会社の情報ですとかさ、この国の端末ですとか国情報とかそういう属性情報がついていて、
マーケットに大量で売られてみたいなのはそこまではあったと思うんで、それを利用したい側がそういう情報をもとにして、
自分の狙いに合うようなその認証認可の情報を選ぶということはできたと思うんだけど、ただそれをやる手間が必要だったし、
売る側からしたらもうバルクでドカッと流すだけで、
なんかそれ以上の旨味は多分なかったと思うんで、もしかしたらその場合によってはその飽和することも考えられるし、
今みたいに個人情報も大量に漏れてるけど、仮にこういったその大量に漏れる大量漏洩の時代において、
なんかその認証情報だったり個人情報の単なるその何億人分の1とかっていう情報になっちゃうとあんまり価値がつきにくいと思うんだけど、
今看護師さんが言ったようにそこに遠離気味とされて、これはどこそこの誰々のこういうその人のこういう情報だっていうふうになると、
なんか偶然そこに価値が生まれるというか、そうなってくるとそれに対してだったら金を払おうっていう、
例えば別の攻撃者が現れても全く不思議じゃないし、
そうなんですよね。
今までだったら数だけ多いけど大したことないっていうふうに思えてた部分がそう見えなくなってくるよね。
そうなんですよ。ちょっとこれ嫌だなと思って、さっきパスワード変えてって話はしましたけど、
例えば自分自身の属性情報かなり細かいところまで例えばインフォスティーラーのこういった動きを介して、
ある程度推定特定がされてしまうと、それこそスピアフィクシングじゃないんですけども、
ソーシャルエンジニアリング的な攻撃っていうところに、流れとしてはそちらに例えば攻撃のやり口が写っていったとしても全く不思議ではないかなとは思っていて。
AI攻撃で変わる事後対応の限界
あとさ、これ今聞いててちょっと思ったけど、今までのインフォスティーラーの脅威だと、
例えばその認証情報が取られましたってなっても、実際にそれが直接その人でなくてもそれを買った第三者が悪用するとして、
例えばその人がその認証情報を使って悪用しますっていうタイミング、
それがランサムウェアかもしれないし今言ったみたいなフィッシングとか別のビジネスメール詐欺とかわかんないけども、
何か別の攻撃パターンだとしても、盗まれてから攻撃に悪用されるまでの猶予期間っていうのが多分あったはずで、
たまたまその攻撃者に見つけられるまでは何も起きないという期間が仮にあったとして、
その間に今言ったその認証情報のリセット、パスワードリセットなり認可を取り消すなりなんだり、
そういう対応ができたら、もしかしたらその悪用される前に対応できたかもしれないじゃん、今までだったら。
ところが今回のそのボルタンみたいな使われ方をもししたりとか、
あとそのまあわかんないけど将来的にエンリチメント専門にやるぜっていう業者が出てきて、
盗まれた直後にそういったエンリチメントをしますみたいになっちゃったら、もうちょっと間に合わないよね。
そうなってくると盗まれる前に何とか対応しないと盗まれた時にはもうかなりの情報が抜かれておしまいですってなっちゃいそうだよね。
なんかそれってさっきそのステージ変わるって言ったけど、なんかだいぶリスクとしてだいぶ違うよね。
そうなんですよね、もう全然認識している脅威の度合いっていうのがやっぱり変わってきてるっていう感じが私個人としてはあるので。
そうだね、なんか今までのインフォスティーラーって感染しても気づきにくいとか、ある程度時間経ってから悪用されるから、
どこが根本原因かわかりにくいとか、そういうようなリスクはあったし、
でも気づいたタイミングですぐに全部のその入所認可をリセットすれば、場合によったら未然に防げるかもしれないっていう希望もあったわけだけど、
ちょっとそういうものではなくなってしまうよね、なんかね。
そうなんですよね、なんかシステム寄りの脅威っていう風に認識を向きすぎてしまうと、
ちょっと実際のその身の回りに起きえる脅威とのギャップっていうのが、ちょっと今後の使われ方次第っていうのは多分あるんですけど、
なんかその辺りのギャップを今度ついてくるんじゃないかなっていう気はちょっとしてはいるので、
いやこの動きは嫌、ちょっと嫌だなっていうのはあってですね。
あとまあ今回1個例が見つかったけど、1個例が見つかって、もしこれがアイディアとしてうまくいきそうだってなったらいろんなところやるだろうからな。
そうなんですよね、成功モデルとしてね、あのクリックフィックスじゃないですけど、本当にいいなと思ったらどんどんどんどん採用されていくっていう時代ではあるので。
実際その最近国内だけでなく海外も含めてさ、なんか急にそのエージェンティックAIのフレームワークを使った攻撃と呼ばれるようなやつが、なんか急に増えたよね。
そうなんですよ、こんなガラッと変わるかぐらいなね。
本当にびっくりした、1個出たと思ったらもうわさわさといろんな、しかもなんか見るとさ、いわゆる国家背景のアクターだったり、
犯罪者グループっぽいアクターだったり、なんかいろんなアクターがいろんなツールを使っていろんなところを攻めていて、
いやそうなんですよね。
その一部が日本にも向いている感じだけど、ていうのがなんかあれちょっと前、2,3ヶ月前までこんなのなかったじゃんみたいな感じ。
なんか2,3ヶ月前はクリックフィックスしてたんだよやろうみたいな感じが。
なんかそういう急激な変化が今非常に起きやすいから、こういうところもなんかちょっと1個の例だけでしょとはちょっと思えないよね。
なんかもうこんなのたまたまでしょみたいな風に捉えてほしかないなっていう感じはしますね。
確かにちょっとこういう変化はなんか嫌な変化だねこれね。
いやそうなんですよ。
これでももしこれが状態化するようになったら、感染してからの事後対応ではちょっと間に合わない。
いやそうなんですよね。どうしたらいいんでしょうね。
感染を防ぐ対策をするしかないのかな。
私ちょっとさっき力技でっていうような話はしたんですけど、感染直後に実際にGmailとかにアクセスするっていう機能がマルヤそのものがやってるんであれば、
それこそもう端末が感染したその端末そのものでアクセスしてるっていうだけでしかないので、見え方としては普通のアクセスと全く変わらんというところがあって。
それがすごい嫌だなと思って。
多分その悪用と見抜けにくい、見抜けにくいっていうか見抜けないよねこれね。
本当多分そうでどうするんだろうこれとかってちょっと思いますよね。
ただでさえさ、エージェントがその人間の代理でいろいろなサービスにアクセスするようになっていく時代、
今その過渡期でエージェントにアクセスを許していないサービスもあるけど、みんなあの手でこの手でなんとかしたというところをやろうとしてるじゃない。
いずれは多分そういうふうになっていくとすると、ますますなんかそのこれは本当のその人間の代わりにエージェントがやってるのか、攻撃者が勝手にやってるのか。
わかんないですよね。
見分けつかないよね。
だから不正な通信飛べるってのは難しいでしょ。
何をもって不正とするかですよね。
だからその本人の意図したものかどうかっていうだけでしかないし、今までの考え方でなんかその感染はしょうがないよねとか、入ってくるのは防げないけどその後でなんとか対応しようっていうのだとちょっともう。
そうですね。間に合わないかもしれない。
あるよね。その辺のスピード感がちょっと今までのその我々の防御の考え方とちょっと合わなくなってきてるというか。
AIを攻撃側が活用してくるっていうことを前提とした場合には、ちょっと今までみたいな考え方だとこうなんていうか大火傷しちゃうというか。
いや本当にね。
そういうのをこのインフォスティラの例からも感じるな。
ですよね。本当にセキュリティに限らずかもしれないんですけども、やっぱり攻撃する側のそのAIの活用能力たるやもう本当に凄まじいなっていうのがやっぱり見ていて思いますね。
そうね。その守る側はさ、仮にそのAIによるセキュリティの運用でも監視でも何でもいいけど、仮に防御側に生かそう、ログの分析でもいいけどさ、生かそうと思った時に何かその失敗があってそれが何かに影響を及ぼ
したらまずいから。
そうなんですよね。
まあ慎重にやらざるを得ないじゃない。
なんていうかその辺りが非対称性というか。
そうなんだよね。それに対して攻撃がいくらでも試せるからさ。
ねー本当に失敗なんかね別に気にしなくていいですよね。
そうテストでやってみたらうまくいっちゃったでも全然いいわけで、やっぱそこら辺のアプローチが全く異なっているのがちょっとね我々としてはハンデというか。
そうですよね。はがやいとこですよねそこがね本当に。
ただそのギャップは埋めていかないとこのままだとますます引き離されちゃうんで。
いつまで経っても。
いやちょっとこれはいろいろなところに出ている変化の一つだなぁとは思うけどちょっとこれも注意が必要なところですね。
はいということで紹介をさせていただきました。
はいありがとうございました。
はいというわけで辻さんいないので私とカンコさんの2つの話をしてきましたけども。
LLMで作る自作ブラウザー拡張機能
いつもだったら最後に辻さんからおすすめのあれをやってもらうんですけども。
今日僕最初にiPad mini紹介しちゃったからな。
特にないんですけど。
あれおすすめだったんですね。
カンコさんなんかおすすめありますか?
そうですねじゃあせっかくなのでおすすめのなんか製品とかなんかそういうなんかお菓子とかそういうものではないんですけど申し訳ないんですが。
いいですよ。
私今年の夏ぐらいからずっと取り組んでいることが一つあって。
まさにねさっきAIだって話した直後であれなんですけども。
LLM使って自分なりにバイブコーディングっていう言い方でいいのかな。
必要としているものを自分で作るっていうのを結構続けてまして。
もう半年近くは経たないかな。
まあけどそれぐらい経つかな。
なんかだいぶ前からやってるなという感じはしてたけど。
そうそうそうやってて。
なんかたまにいい感じのができたら辻さんとか辻さんにもこんなのできましたみたいなの。
で見せてもらってたけど。
はいこととお話はしてたんですけど。
今日ちょっとその話をできればなと。
いいですね。
はい。
私が今主にその開発している開発って言っていいのかな。
LLMに作ってもらっているものは主にやっぱりブラウザーの拡張機能っていうのを作ってもらっているのが中心でして。
前見せてもらったのもそうだったよね。
そうですそうです。
っていうのも私なんか特にそうなんですけどやっぱりインターネットを中心に情報収集したりとか分析したりとかっていう作業をしていくと
どうしてもそのブラウザーベースでの作業っていうところが比較的中心になるっていうところがあって。
でその作業をする中で正確性を高めるとか効率性を投げていくっていうところで拡張機能を使ったりっていうところが当然これまでもあったのかなと思うんですけども。
やっぱり拡張機能を使っている中で大きくは2つはLLMで使うっていうところのポイントがあって。
一つはやっぱり当然他人というか私たちが直接関係してない方が作ったものを自分のブラウザーに組み込んで使うリスクっていうところがやっぱあるわけで。
これまでもそういったところでいろいろインシデントっていうか事件事故っていうところも起きていたところはあったので、
何でもかんでもちょっと使えそうだからっていうところで入れて使うっていうのがどうしてもよろしくないというか、
企業によったらそれこそもう拡張機能そういうのがあるから使っちゃダメっていうところもあったりはするのかなっていうところも当然ある中で。
じゃあ最初から自分で作ってしまえばそのリスクっていうのはある程度はカバーできるんじゃないかなというところがあったので、
なので私今使っている拡張機能はもちろんそれこそEvernoteのWebClipとかそういうものは別ですけど、
全員の第三者の方が作ったっていう言い方がいいのかな。そういった方々が公開をされていた拡張機能は全部自分で作った拡張機能に置き換えをしてみました。
同じような機能を持つものを作り直して自分用にしたわけね。それはいいね。
加えてちょっとここもう一歩二歩なんとかならんかなみたいなところがどうしてもこれまで拡張機能の中では感じていたところではあったんですけど、
そこに関しても当然自分オリジナルって言ってもいいような拡張機能ではあるので、本当にサクッとこういうのちょっと足らないんだけどっていうような形でリクエストを出すと、
いいっすよみたいな感じでそれこそ数分レベルで実装してくれるっていう感じではあったので、実は夏頃からそれ結構やっていてもういくつ作ったかな。
もう2,30個ぐらい作ったんですけど、かなり操作性というか効率がですね、かなりブラウザベースでの操作ってめちゃくちゃ上がってですね。
当然やっぱりこれちょっと実装として本当に大丈夫かなっていう懸念は当然出てくるところではやっぱあるので、
コードの中身ってことね。
そうですそうです。
それは何、かんこさん的にはコードの中見てるの?自分では。
で、ちょっとそこができれば一番いいんですけども。
なかなか難しいよね。
いやしかもまあまあ書くんですよね。あのLLMのコードって。
要求する機能によってはね。
ここまでやるっていうレベルで結構ガッツリ書いてくるんで、ちょっとこれをその人間の目だけでカバーするっていうのは現実的じゃないかなっていうところもあるので、
今はそのやり方としては、例えばそうだな、オープンAIで例えば作ったものがあったとしたら、
それをクロード側に渡して、そのセキュリティ上のリスクがないかを厳密にレビューしてくださいっていうような。
はいはいはい。
まあ別の第三者じゃないんですけども、そういう感じでクロスチェックをして使うっていうような感じで。
なるほどなるほど。
だからそれでそのあたりのリスク、全部がカバーできているとは正直思えないんですけど、
まあとはいっても多少なり安心はして使うことはできるかなっていうところがあったので、
そういう意味ではかなりQOLじゃないんですけども、夏以降のそのあたりの操作性っていうところに関してはストレスなくできてはいるので、
これちょっとやったことがある方がどれぐらいいらっしゃるかわからないんですけど、やっぱり夏前後で、
それこそ評価中のモデルが暴走してとか、いろんな話があった背景としてはもうAIそのもののモデルっていうのかな、
モデルそのものの性能がガラッと上がったっていうところがあってですね。
そうね、しかもそのもちろんその最先端のフロンティアAIのモデルが素晴らしいのはそうとして、
まあでも使うにはちょっとお高かったりとか、
まあなんとか一般人が手を出すにはちょっとなーみたいなのはあったけど、
なんか今その下のっていうかさ、普通の人が使えるレベルのものの性能が上がってるよねもうね。
いやもう全然なんていうか普段使いであればね、遜色ないレベルというか。
だよね、なんかそこら辺のレベルがだいぶ変わったよね。
そう、もうなんていうか全体的なレベルがグワッと上がったので、
なんかよくね、なんていうか、それこそちょっと前だとプロンプトエンジニアリングみたいなキーワードありましたけど、
今はもうあれ時代遅れって言われていて、もうプロンプトは別に気にしないでいいと。
もうそういうレベルに今はもうモデルはない状態に今はもなっているので、
そのどういう投げかけ方をするかっていう、なんかそのプロンプトを必死に考えるっていうところは、
もう今は気にする状況にないっていうところは。
実際私もその、まあ開発というか、そのLMを使って作っているっていうシーンにおいては、
割と感じるところではあって、なんか細かい指示をまあなんかいきなりバババッと投げるよりも、
お互いにキャッチフォールしながらこれやってるねとかこれ無理だねとかっていう話で、
まあ割とフランクに、まあ緩めの会話で自分が使いたいものがどんどんどんどん出来上がっていくっていう感じでやり取りができるので。
なんかそういう意味で言うと、以前はさバイブコーディングも、もともとコーディングをやっていたそのプログラマーとかエンジニアとか、
まあ多分そういう人からこう使い始めたっていうか。
そうですね。
入り口は多分そこからだと思うんだけど、まあ今はそれがこう全然そういうコーディングとか今までやったことありませんみたいな人が、
いちからそういうそのLMと対話をしながらアプリ作っちゃうとかさ、まあ平気で普通にできるぐらいにまでなんかモデルの性能が上がってきているよね、なんかね。
だからそういう意味ではだいぶその方が広かったよね。
いやそうなんですよね。またなんていうかその大きな、大規模なシステムを作るとかってなると、
まあそりゃあね。
やり方はね、ちゃんとやらないといけないというところはあるんですけど、拡張機能ぐらいのレベルであれば本当にサクッと本当に自分が欲しい機能できてしまうというような状況ではあるので、
ちょっとこれ拡張機能とかね、開発されている方にはちょっとこういうことを言うのもあるんですけども、自分が使っている拡張機能とかをぜひちょっと見直していただいて、
あーなるほど。
はい。置き換えができるようなものは積極的に置き換えて、自分オリジナルっていうものにひたすらチューニングしていくと、
より自分自身の作業効率性とか性格性というところが上がっていくんではないかなっていうところが、
私がこの半年近くやっていた中で、かなり体験としては得られたので、ご紹介をさせていただいたという感じですね。
拡張に限らず既存のアプリとかサービスなんでもそうだけど、本当に自分でやりたいとか欲しいものはこうなんだけど、
それを完全には満たしてないけどまあこれでいいかみたいなそういうものって世の中いっぱいあるじゃん。
結構ね妥協というかまあまあしょうがないよねっていうのが。
あるものはこれしかないからしょうがないかみたいなのって、まあ細かいことを言えばそういうのいっぱいあるもんね。
確かに普段使っているその毎日のように使うツールとかそういうものでそういうものが満足できたらだいぶ違うよね確かにね。
いやかなり自分の中では変わりましたね。
これは確かに皆さんにもオススメしていただいた。
それでオススメってことねなるほど。
今日はなんかあの、別についさんのオススメがダメなわけじゃないけどさ。
非常にためになるオススメだったな。
本当ですか。よかったです。
じゃあ看護師さんはこれからもそういうのをどんどん続けていくって感じなわけね。
もうひたすら続けていこうかなと思っています。
いやあ参考になりました大変。
ありがとうございます。
はいありがとうございます。
というわけで今週はここまででしたと思います。また来週お目にかかりましょうバイバイ。
バイバーイ。
