パスワードを変更してもGmailを盗み見？ マルウェア「Remus」が新機能を宣伝

Hudson Rockは11月9日(現地時間)、「Remus Stealer Markets Persistent Gmail Access: Hudson Rock Investigates」において、情報窃取型マルウェア「Remus Stealer」(以下、Remus)の新たな機能について調査結果を公開した。

同社はRemusバージョン1.3.9の販売告知を調査するとともに、開発者と利用者に取材した。その結果、感染端末から取得した認証情報などを利用して、マルウェアの実行終了後もGmailにアクセスできる可能性が浮かび上がった。

• 

  「Remusが宣伝するメール傍受機能の画面。Pinterestの認証メールが表示されている（出典：Hudson Rock）

Gmailのメール閲覧機能を月額1000ドルで販売

Remusの販売告知では、WebブラウザのCookieファイルを収集せずに、メールで届く認証コードを取得できると宣伝している。さらに、パスワード変更やセッション無効化後もアクセスを継続でき、メールボックスを第三者と共有するリンクも提供可能だという。

この機能はEnterpriseプラン限定で提供され、同プランの販売価格は月額1000ドルとされている。

公開された画像には、送信者、件名、日時、検索機能、本文などを表示するWebメール風の管理画面が写っている。認証コードだけでなく、メールボックス内のメッセージを閲覧できる機能として宣伝されている。

Remusは暗号資産サービスやYouTubeアカウントを主な標的としているが、Gmailには業務サービスなどの認証コードやパスワード復旧用リンクも届く。このため、メールへのアクセスが奪われれば、ほかのサービスのアカウント侵害につながる恐れがある。

パスワード変更後もアクセス可能？ 開発者と利用者の証言

Hudson Rockの取材に対し、Remusの開発者は、Webブラウザのメモリとの相互作用によって機能を実現していると説明した。また、マルウェアは実行後に終了し、Googleの不正対策も回避できると主張したが、具体的な技術情報は明らかにしなかった。

機能を支持する利用者も、Webブラウザの終了やセッションのリセット後もメールを閲覧できたと証言した。さらに、マルウェアを繰り返し実行しなくても、その後のメールを管理画面から閲覧できるとの見方を示した。

Googleアカウントのパスワード変更後もアクセスできるかという質問にも肯定的に回答した。ただし、パスワード変更の時刻やセッション無効化の状況など、主張を裏付ける証拠は提示されていない。

Hudson Rockは、感染端末のサインイン済みWebブラウザから、再利用可能な認証情報を取得している可能性を指摘する。こうした情報を外部から利用できれば、マルウェアの実行終了後もアクセスが続くことは説明できる。

一方、Googleの公式資料によると、パスワード変更時にはGmailへのアクセス権限を持つOAuthトークンが原則として無効化される。一部の接続方式には例外があるものの、Remusがどのような仕組みを利用しているかは不明だ。

過去に取得したメールを表示している可能性や、別のアクセス経路を利用している可能性も排除されていない。Hudson Rockは、Gmailの未知の脆弱性を悪用しているとの証拠も得られていないとしている。

Gmailの不正アクセスが疑われる場合の対処法

Remusが宣伝する機能によって新着メールを継続的に取得できる場合、感染後に届いた認証コードや復旧用リンクが、さらなるアカウント侵害に悪用される恐れがある。ただし、今回の調査では、多要素認証の回避やメール送信などの機能は確認されていない。

Hudson Rockは、感染が疑われる場合の対策として、次の対応を推奨している。

• 感染端末をネットワークから切断し、必要に応じて証拠を保全する
• セキュリティソリューションなどを利用してマルウェアを駆除する
• 安全な別の端末から、侵害された可能性のあるアカウントのパスワードを変更する
• 不審なログインセッションやアプリケーションのアクセス権を無効化する
• Gmailの転送設定、フィルター、委任設定、最近のアクティビティーなどを確認する
• Gmailをログインやアカウント復旧に利用している関連サービスも調査する

Hudson Rockは、Remusにメール閲覧機能が組み込まれていることを確認した一方、具体的なアクセス手法や、十分な復旧措置を講じた後も新着メールを取得できるかどうかは確認していない。

感染が疑われる場合は、パスワードの変更だけでなく、端末の安全性やアカウントのアクセス権、メールの設定も併せて確認することが重要となる。