ブラックハットとデフコンのハッカーカンファレンスで明らかになった、最も恐ろしいセキュリティの悪夢10選

今年もこの時期がやってきました。ハッカーやセキュリティの達人たちがラスベガスに集結し、その腕前を披露し、恐ろしいエクスプロイトを次々と披露する、素晴らしくも恐ろしい一週間です。今年も例外ではありません。先週は、不正コードによって飛行機が墜落したり、監視カメラを覗き見するスヌープがいたり、USBドライブを制御不能なマルウェアの巣窟に変えてしまう、秘密裏に検知されないコードが使われたりといった話が飛び交いました。

過去の事例から判断すると、こうしたエクスプロイトのほとんどは理論上の方が実際よりも恐ろしいものです。しかし、それでもなお、ますます繋がりが増す世界に内在する危険性を垣間見せてくれる、驚くべきものです。2014年のBlack HatとDef Conで明らかになった、最も不気味なセキュリティ関連のニュースをご紹介します。

まずは、衝撃的な新事実の一つから始めましょう。Security Research Labsの研究者たちは、USBメモリ自体のファイルではなく、ファームウェアを標的とする概念実証攻撃を開発したと発表しました。感染したUSBメモリをPCに挿入すると、キーボードを装ってマルウェアをダウンロードします。

ほとんどのUSBメモリメーカーはファームウェアを一切保護しておらず、マルウェア対策ソリューションもファームウェアの悪質なアクティビティをスキャンしないため、この攻撃は理論的には、発見も阻止も困難なマルウェアをPCやPCに接続するUSB​​メモリに拡散させるために使用される可能性があります。詳細はこちらをご覧ください。幸いなことに、この種の攻撃は実際に確認されたことはありません。

新たな概念実証攻撃は、はるかに大きな物理的影響をもたらす可能性がある。IOインタラクティブの研究者であるルーベン・サンタマルタ氏は、航空機のWi-Fiや機内エンターテイメントシステムを介して衛星通信にハッキングできる脆弱性を発見したと主張している。これにより、攻撃者は航空機の航行システムや安全システムに干渉することが可能となる。

通信機器メーカーはロイター通信の取材に対し、攻撃の可能性も被害も「最小限」だと述べ、脅威を軽視した。しかし、サンタマルタによって明らかにされた脆弱性を補う作業に既に取り組んでいると述べている。

Dropcam のライブフィードを他の人が視聴していますか?

SynackのPatrick Wardle氏とColby Moore氏は、200ドルのセキュリティカメラの1台を分解し、その仕組みを解明しました。その結果、ハッキングされたDropcamに保存された動画を攻撃者が閲覧したり、そのカメラから送信されたように見える第三者の動画をアップロードしたりできる多数の欠陥を発見しました。「攻撃者は基本的に動画ストリームを乗っ取ったり、乗っ取ったりできるのです」とWardle氏はPCWorldに語りました。

幸いなことに、この恐ろしげなハッキングには大きな落とし穴が一つあります。ハッカーはDropcamに物理的にアクセスする必要があるのです。そして、もし攻撃者がこのハッキングを実行するのに必要な時間、既にあなたの家に自由にアクセスできる状態であれば、盗聴された動画フィード以上の大きな問題に直面することになるでしょう。

シルクロードの麻薬取引拠点の崩壊と、NSAの機密情報をリークしたエドワード・スノーデンの支持表明により、Torネットワークはここ1年、脚光を浴びてきました。Torは、トラフィックを中継ノードから中継ノードへと中継し、最終目的地に到達するまで、ウェブ閲覧時の匿名性を確保します。各ノードは、直接接続するノードのIDのみを認識します。しかし、カーネギーメロン大学の研究者アレクサンダー・ヴォルインキン氏が、最小限のコストでTorネットワークの匿名性を破ることが可能だと発表しました。これはヤバいですね。

どのようにして？それはまだ明らかではありません。ヴォルインキン氏はCMUの要請を受け、Black Hatのデモを突然中止しました。しかし、Torの運営者は、ユーザーの匿名性を解読しようとする悪意のあるリレーノード群を発見しており、これらのノードは中止されたデモに関連していると疑われています。詳細はこちらをご覧ください。

皮肉なことに、Offensive Securityの主任トレーナー兼開発者であるMati Aharoni氏は、SymantecのEndpoint Protectionに3つの脆弱性を発見しました。これらの脆弱性により、攻撃者は被害者のコンピュータに高度なアクセス権を取得できる可能性があります。つまり、攻撃者はセキュリティソフトウェア自体を通じて防御を突破できる可能性があるのです。

良い面としては、シマンテックがすでに穴を塞いでいます。よかったですね?

しかし、ソフトウェアのことは忘れてください。自宅のネットワーク機器自体が、セキュリティ崩壊の原因になっている可能性があります。In-Q-Telの最高情報セキュリティ責任者であるダン・ギア氏は、Black Hatの基調講演で、ルーター（そう、ルーターです）は攻撃者にとって最も容易な（そして最も魅力的な）標的の一つだと述べました（Ars Technicaによる）。ルーターはオンラインスキャンで簡単に発見され、ログイン情報はデフォルトのままになっていることが多く、ほとんどの人はルーターを最新のファームウェアにアップデートすることなど考えもしません。

もちろん、PCWorldの読者なら、ホームネットワークが2014年の脆弱性の話題になっていることはすでによくご存知でしょう。Def Conでは、電子フロンティア財団（EFF）主催のルーターハッキングコンテストも開催されます。「SOHOplessly Broken（SOHOplessly Broken）」という愛らしいネーミングです。

しかし、ある研究者によると、ネットワーク接続型ストレージデバイス（NAS）はルーターよりも多くの欠陥を抱えているという。Independent Security Evaluatorsのセキュリティアナリスト、ジェイコブ・ホルコム氏は2013年にルーターの脆弱性に関する大規模な調査を主導し、今年のBlack Hatでの講演ではNASボックスに焦点を当てた。

「文字通り、乗っ取れなかったデバイスは一つもありませんでした」とホルコム氏は述べた。「少なくとも50%は認証なしで攻撃可能です。」NASデバイスに侵入することで、攻撃者はARPスプーフィングなどの手法を用いて、同じネットワーク上の他のデバイスからトラフィックを乗っ取ることも可能だとホルコム氏は述べた。

さらに恐ろしいのは、ホルコム氏がNASボックスメーカーにすべての脆弱性を報告したにもかかわらず、展示会で実演した脆弱性はまだ修正されていないことだ。NASの修正プログラムが顧客に届くまでには数ヶ月かかることもあるとホルコム氏は語った。

Carrier IQが発見され、大騒動になったことを覚えていますか？ 当初は通信事業者がユーザーのトラフィックをすべて監視するためのルートキットだと思われていましたが、実際はもっと平凡なものでした（それでも不気味ではありますが）。通信事業者がネットワーク容量を管理するのに役立つ診断ツールだったのです。しかし、AccuvantのMathew Solnik氏とMarc Blanchou氏がBlack Hatで説明したように、通信事業者が端末に搭載するデバイス管理ツールは、スマートフォンを攻撃に対して脆弱にする可能性があります。この脆弱性を悪用すれば、リモートコードが実行され、OSのネイティブ防御を回避される可能性があります。

研究者によると、世界中で販売されている携帯電話の70～90%にこのデバイス管理ソフトウェアが搭載されているという。ノートパソコン、無線ホットスポット、IoT機器など、その他のデバイスも、脆弱なOMA-DMプロトコルの危険にさらされている。

今週末、モノのインターネット（IoT）の脆弱性はハッカーの間で間違いなく話題となるでしょう。しかし、無線接続を内蔵した日常的な機器のセキュリティは、Dropcamスパイやツイート機能付きコーヒーポットだけにとどまりません。Qualsysの研究者であるシルヴィオ・チェーザレ氏は、安価で入手しやすい部品を使って、自動車のキーレスエントリーシステムを突破できるツールを組み立てる方法を紹介します。

「これを使えば、トランクの施錠、解錠、開け閉めができます」とチェーザレ氏はWiredに語った。「キーレスエントリーのセキュリティを効果的に破ります」。しかし、彼はこの技術を自分の10年落ちの車でしか試しておらず、攻撃者は最大2時間範囲内に留まる必要がある。つまり、カージャッカーがバールをコンピューターに取り替える日はまだ来ていないということだ。

セキュリティコンサルタントのヘスス・モリーナ氏がBlack Hatで詳細に指摘したIoTの脆弱性は、はるかに現実的で、かつ衝撃的だ。中国の5つ星ホテル、セントレジス深圳に滞在中、モリーナ氏は宿泊客に提供されるiPadアプリ「デジタルバトラー」のリバースエンジニアリングを解明した。アプリを動かすKNX/IPホームオートメーションプロトコルの脆弱性を悪用したのだ。モリーナ氏は、廊下にある複数の「おやすみモード」ライトを作動させる程度にとどめたが、この脆弱性を利用すれば、照明、テレビ、室温、室内音楽、さらには200室以上の自動ブラインドまで制御できる可能性があると述べている。しかも、攻撃者はホテルと同じ国にいる必要すらない。

セントレジスホテルは、この主張は「根拠がない」としたものの、サウスチャイナ・モーニング・ポストに対し、「システムアップグレードのため、客室内のiPadリモコンの制御システムを一時的に停止している」と語った。

しかし、今週最も恐ろしいセキュリティニュースはラスベガスの砂漠から来たのではない。ロシアのハッカーたちが盗んだ12億件のユーザー名とパスワードの組み合わせと5億件のメールアドレスを含む膨大なデータベースをアジアから入手したと、Hold Securityのアレックス・ホールデン氏は述べている。

この報告書には、明白な疑問がいくつか残されており、さらにホールド・セキュリティ社が、データベースに自分の名前が登録されたかどうかを知らせてくれる月額120ドルのセキュリティサービスを発表したことも相まって、セキュリティ業界で高い評価を得ているホールデン社にもかかわらず、報告書の真偽を疑問視する声も上がっています。しかし、著名なセキュリティ研究者でジャーナリストのブライアン・クレブス氏は、ホールデン社のデータと調査を直接確認し、「間違いなく本物だと言える」と述べています。これは恐ろしい話です。普段実践していない重要なセキュリティ習慣を改めて見直してみるべき時です。

ええ、ええ、ここまで読んで、隅っこで胎児のような姿勢で丸くなりたくなっても無理はありません。でも覚えておいてください。Black HatやDef Conで出てくる怖い話のほとんどは確かに不安をかき立てるものですが、ほとんどは学術的な性質のもので、悪意のある人物によって実際に利用されているわけではありません。言い換えれば、実際にはもっとひどいように聞こえるのです。

しかし、2014年（今のところ）の最も恐ろしいデジタルセキュリティ関連の8つの出来事はどうでしょうか？どれも本当に現実の出来事です…