GOM Playerのアップデートで不正プログラム実行の恐れ - ラックが注意喚起

 

ラックは1月23日、正規なソフトウェアのアップデートを装ってコンピューターウイルスに感染させる複数の事案を確認したとして、注意喚起を行った。GOM Playerを提供するGRETECHはアップデートサービスを一時中止している。

同社によると、顧客のネットワーク環境からネットに定期的に発信される不正なデータ送信の通信を確認したという。これにより、ラックは原因究明を行ったところ、定期的な通信を行うコンピューターウイルスを確認した。

その後、調査の過程で、感染経路の特定を行った結果、今回の事象「正規なソフトウェアのアップデートを装ったウイルス感染」が明らかになったという。

今回、ウイルス感染に悪用されたソフトは、GRETECHが提供する動画再生ソフトウェア「GOM Player」。通常はGOM Playerの起動時に、「app.gomlab.com」という正規サイトからアップデート設定ファイルを取得する。

しかし、このケースでは正規サイトではない「踏み台サイト」にアップデート設定ファイルを取得するように仕掛けられていた。ラックによると、「DNSキャッシュポイズニングのような通信経路内での改ざん」か「接続がリダイレクトされるように正規サイトが改ざんされた」ケースが考えられるという。

こちらが通常のアップデートの流れ

しかし、偽の設定ファイルをダウンロードしてしまうことで、遠隔操作ウイルスに感染してしまう

これによって、踏み台サイトから、コンピューターウイルスがダウンロードされ、PCが感染。感染したPCは、遠隔操作が可能な状態になって「PC内やネットワークの情報を盗み取られる可能性があった」(ラック)としている。

このケースでは、正規のソフトウェアアップデート機能を悪用した攻撃手法のため、攻撃を事前に回避することは難しいという。ただ、ウイルスに感染したか否かについては、プロキシサーバーと通信した痕跡を確認することで判別できるという。

ラックが把握している遠隔操作サイトは、以下の通り。

  • testqweasd.tk

  • 211.43.220.89

  • 114.202.2.4(IPアドレスは変化している可能性あり)

ほかにもPCにインストールしたGOM Playerの設定ファイル「GrLauncher.ini」を開き、「、VERSION_FILE_URLの項目がhttp://app.gomlab.com/jpn/gom/GrVersionJP.ini以外になっていないか」、「GrVersion.ini」を開き、「DOWN_URL の項目がhttps://app.gomlab.com/jpn/gom/GOMPLAYERJPSETUP.EXE以外になっていないか」を確認することで判別できるとしている。

ラックでは、安全が確認されるまでアップデートを行わない運用か、既存のアップデート機能を使用せず、GOM Playerサイトから最新の実行ファイルをダウンロードするといった運用を推奨している。

また、GOMPlayerを提供するGRETECHはラックの発表を受け、同社としての見解を23日に公開。JPCERTコーディネーションセンターと協力し調査を進めているとし、GOMPlayerを含むGOM製品のアップデートサービスを一時中止している。



転職ノウハウ

あなたが本領発揮できる仕事を診断
あなたの仕事適性診断

シゴト性格・弱点が20の質問でサクッと分かる!

「仕事辞めたい……」その理由は?
「仕事辞めたい……」その理由は?

71%の人が仕事を辞めたいと思った経験あり。その理由と対処法は?

3年後の年収どうなる? 年収予報
3年後の年収どうなる? 年収予報

今の年収は適正? 3年後は? あなたの年収をデータに基づき予報します。

激務な職場を辞めたいが、美女が邪魔して辞められない
激務な職場を辞めたいが、美女が邪魔して辞められない

美人上司と可愛い過ぎる後輩に挟まれるエンジニアの悩み

人気記事

一覧

イチオシ記事

新着記事

小柳歩、"舐め"オンパレードで「セクシーというよりはエロい」
[00:00 8/28] エンタメ
Fカップ松嶋えいみ、2人の男性からマッサージ「私生活でもやって欲しい」
[00:00 8/28] エンタメ
さんま『さんまのまんま』終了理由「制作費」と明かすも、 実は別に理由が?
[23:55 8/27] エンタメ
「PINコード」とは - いまさら聞けないスマートフォン用語
[23:04 8/27] スマホとデジタル家電
[鈴木保奈美]10年後も「元気で身軽な人でいたい」
[22:40 8/27] エンタメ

求人情報