史上最も奇妙で、最もワイルドで、最も衝撃的なセキュリティエクスプロイト10選

ブラウザをアップデートしましょう。Javaはやめましょう。変な人からの変なリンクはクリックしないでください。まあ、どうでもいいでしょう。PCセキュリティの基本原則は、今ではほとんどのウェブサーファーの脳に焼き付いています。昔のマルウェア対策は、もはや通用しません。

驚きです！ 悪者たちはますます創造的になっています。（貪欲、退屈、そして賢さの組み合わせの恐るべき威力を決して侮ってはいけません。）彼らは今、Internet Explorer を狙うのではなく、仮想マシン、ビデオゲーム、そして Web に接続されたサーモスタットを狙っています。

「私たちの生活がデジタル化すればするほど、サイバー犯罪者がデータを盗み出し、大混乱をもたらそうとする、従来とは異なる侵入口の可能性が増えています」と、マカフィー・ラボのセキュリティストラテジスト、トラルブ・ディロ氏は述べ、ここで紹介した驚くべきエクスプロイトのいくつかを紹介してくれた。さあ、アルミホイルの帽子をかぶって、奇抜なハッキングの世界をのぞいてみよう。

まず最初に、このコレクションに含まれるより特殊なエクスプロイトの多くは、セキュリティ研究者によって特定されたものの、実環境では確認されていません。しかし、これらの危険性を研究室だけに限定された悪ふざけとして片付ける前に、米国商工会議所の恐ろしい事例を考えてみてください。

2010年、商工会議所は深く複雑な侵入を受けました。侵入はあまりにも徹底的だったため、当局が問題を発見すると、商工会議所はPCをきれいに掃除するよりも、完全に破壊する方が簡単だと判断しました。

恐ろしい話ですが、問題が「解消」された後に起こったことはさらに恐ろしいものです。商工会議所のサーモスタットの1台が中国のサーバーと通信していることが判明し、幹部のプリンターから中国語で書かれたページが次々と出力され始めたのです。さて、これが次の驚くべき事態へと繋がります…

ネットワークやWebに接続されたプリンターの利便性は、いくら強調してもし過ぎることはありません。どこからでも印刷できるのは素晴らしいことです。しかし、多くのWeb接続プリンターはファイアウォールの外側に設置されており、野心的なハッカーの侵入を待ち構えています。1月に発表された2つのレポートでは、プリンターに潜む潜在的な危険性が強調されていました。

まず、ViaForensicsの研究者セバスチャン・ゲレロ氏が、HPのJetDirectテクノロジーに脆弱性を発見しました。ハッカーがこれを攻撃すれば、ハードウェアをクラッシュさせたり、さらに悪いことに、過去に印刷された文書にアクセスされたりする恐れがあります。アプリ開発者のアンドリュー・ハワード氏は、ブログ記事で「迅速かつ巧妙に設計されたGoogle検索」によって、Webアクセス可能な数万台のHPプリンターを特定できる仕組みを詳しく説明しました。うわー、ラギー！

プリンターの脆弱性は目新しいものではありませんが、従来の脆弱性が効果を失っていくにつれ、セキュリティの脆弱なオフィス機器が大きな標的になっています。

インターネット対応の「スマートテレビ」に悪いことが起き始めている。いや、ここで私が言っているのは、『Here Comes Honey Boo Boo』のエピソードをストリーミング配信することではない。

「現代のテレビは、特に高度な攻撃者にとって魅力的な標的です」とマカフィーのディロ氏は述べている。「侵入の疑いがある場合にチェックされるシステムの中で、テレビはおそらく最後にチェックされる場所でしょう。12月には、マルタのセキュリティ企業でゼロデイエクスプロイトを販売している企業が、（サムスン製スマートテレビに）リモートコード実行の脆弱性を発見したと発表しました。」

大したことじゃないって？インターネット接続可能なテレビの中には、ウェブカメラとマイクを内蔵しているものもあり、それらはすべてウェブ接続アカウントのログイン情報を保存できるのです。前述のゼロデイ脆弱性を悪用すれば、ハッカーはテレビにルートレベルのアクセス権を取得し、テレビに接続されたUSBドライブから情報収集することも可能です。

世界中のPCゲーマーは、「デジタル著作権管理（DRM）」という言葉が口にされるたびに、しばしば口をつぐんでしまう。特に、ゲーマーたちはUbisoftのDRM実装のひどさを指摘することが多い。昨年7月、UbisoftのUplayサービスが、ハッカーがゲーマーのコンピュータを乗っ取るために悪用できる、ずさんなコードで書かれたブラウザプラグインを密かにインストールしていたことが発覚し、そのひどさはかつてないほど深刻化した。ああ、ありがとう、アサシン クリード2。

幸運なことに、Ubisoft は発見からわずか数時間後に (もちろん謝罪もなしに) この脆弱性を修正し、誰かが悪意を持ってこれを利用したという証拠はない。

Ubisoftの脆弱性は、ビデオゲームにおける型破りな脆弱性の1つに過ぎません。昨年末、スマートテレビの脆弱性を発見したReVuln社は、ValveのSteamアプリケーションのsteam://プロトコルを悪用することで悪意のあるコードを実行できることを発見しました。

問題は、確認警告なし（Safari）または最小限の情報のみ（Firefox）で steam:// コマンドを自動的に実行するブラウザにあります。悪意のあるコードが実行許可を得ると、Steam の正当な機能や既知の脆弱性を利用して、ハードドライブにあらゆる種類の悪質なものを詰め込むことができます。この話の教訓は？ブラウザで Steam プロトコルの実行を自動的に許可するように設定しないことです。

ほんの数週間前、カスペルスキーの研究者は Google Play ストアで 2 つのアプリ、DroidCleaner と Superclean を発見しました。これらは携帯電話で実行中のサービスをすべて再起動すると謳っていますが、Android 端末をディスク ドライブとして Windows PC に接続すると (音楽や写真を転送するためなど)、問題を引き起こします。

パソコンでAutoRunが有効になっている場合、スマートフォンのSDカードのルートディレクトリの奥深くに隠されたアプリのコードが実行され、マルウェアがインストールされます。マルウェアは侵入すると、マイクを監視します。音声を検知すると、録音を開始し、暗号化してマルウェアのマスターに送信します。

壊滅的？おそらくそうではないでしょう。古いAutoRunの脆弱性に新たなひねりを加えたものでしょうか？確かにそうです。

仮想化PCを稼働させる大きなメリットの一つは、セキュリティ強化です。回転ブレードにゴミが詰まったとしても、ディスクイメージを消去して最初からやり直すだけで済みます。しかし、「Crisis」と呼ばれるマルウェアが、この概念を覆します。

シマンテックの報告によると、Crisisがコンピュータに侵入すると（まず悪意のあるJARファイルをダウンロードする必要があります）、ハードドライブに保存されているVMware仮想マシンイメージを探します。イメージが見つかると、VMware Playerツールを使用して仮想マシンに自身を埋め込みます。これは実際にはVMwareの脆弱性ではなく、仮想マシンの性質（つまり、物理マシン上に保存されたコード行）に起因する残念な副作用です。VMwareは、VMwareイメージを暗号化することでCrisisを阻止できると述べています。

会社が導入したあの豪華なビデオ会議システムは、悪者にとってまさに「壁のハエ」になりかねません。「一部のビデオ会議システムはインターネット経由でアクセス可能で、企業の秘密のビデオ会議を盗聴する格好の標的となります」とマカフィーのディロ氏は言います。

2010 年、セキュリティ研究者はシスコの統合ビデオ会議製品の複数の脆弱性を悪用してデバイスを完全に侵害し、ハードウェアだけでなく、ハードウェアが接続されているすべてのネットワークへの完全なアクセスを許可しました。(シスコはすぐにこの欠陥を修正しました。)

2012年1月、セキュリティ研究者は、15万台ものビデオ会議システムが自動応答するように設定されていることを発見しました。これは、強力なマイクとズームレンズを備えた、悪意のある人物が建物内で自由に耳と目を盗むことができることを意味します。設定を確認してください。

2007 年、ZDNet の George Ou 氏は、コンピュータが正確に従う Windows 音声認識コマンドを音声で読み上げるオーディオ ファイルを作成できることを発見しました。

なぜネットには、甘美なワードハックを囁くウェブサイトが溢れていなかったのか？それは、このエクスプロイトが単純に現実的ではないからだ。Windows音声認識機能を有効にし、スピーカーとマイクを正常に動作させ、 PCが意図的なナビゲーションコマンドを吐き出す間、静かにじっと傍観していなければならない。たとえそれら全てが実現したとしても、WindowsのUAC保護によって、特権機能の実行はブロックされるだろう。

私の知る限り、この脆弱性はまだ修正されておらず、ファイルを削除したり、ブラウザを悪意のあるウェブサイトに誘導したりする可能性があります。それでも、Microsoftのセキュリティ対策チームが基本的に心配する必要はないと述べていることに私は同意します。

もしガジェット警部がハグしようとしてきたら、叫びながら逃げてください。『デウスエクス』などのゲームやフィクション作品ではとてもクールに見えるサイバネティクスも、他の電子機器と同じように悪用される可能性があります。コンピューターウイルスに感染した最初の人間、マーク・ガッソンの不吉な物語がその証拠です。

レディング大学のサイバネティクス専門家であるガッソン氏は、自分の手に埋め込まれたRFIDインプラントを特注のウイルスに感染させた。このウイルスはガッソン氏の研究室のコンピュータに感染し、さらに施設に入った同僚のRFIDスワイプカードにも感染した。

この科学者による原理実証攻撃は、既に人工心臓や脳深部刺激装置を装着して生活している人々がいる社会において、注意を払う必要があることを浮き彫りにした。「ペースメーカーへのサービス拒否攻撃は、もしそのようなことが可能であれば、もちろん非常に大きな損害をもたらすでしょう」とガッソン氏はTechNewsDailyに語った。