【ITニュース解説】New YiBackdoor Malware Shares Major Code Overlaps with IcedID and Latrodectus

サイバーセキュリティの世界では、日夜、新しい種類のサイバー攻撃やマルウェアが生まれては姿を変え、企業や個人のシステムを脅かしている。最近、セキュリティ研究者たちが「YiBackdoor（イーバックドア）」という新しいマルウェアを発見し、その詳細を公表したことは、業界内外で大きな注目を集めている。このYiBackdoorが特に注目されているのは、悪名高いマルウェアとして知られる「IcedID（アイスドID）」や「Latrodectus（ラトロデクテス）」と、そのプログラムの「ソースコード」に「重大な重複」が見られる点だ。このコードの共通性は、単なる偶然ではなく、これらのマルウェアが同じサイバー犯罪グループによって開発されている可能性や、異なる攻撃ツールが密接に連携している可能性を示唆している。システムエンジニアを目指す皆さんにとって、このようなマルウェアの動向を理解することは、将来のシステム構築や運用におけるセキュリティ対策を考える上で、非常に重要な基礎知識となるだろう。

まず、発見された「YiBackdoor」について解説する。その名前の通り、これは「バックドア型」のマルウェアである。バックドアとは、攻撃者が一度システムに侵入した後、正規の認証プロセスを経ることなく、いつでも自由にそのシステムへ再アクセスするための「裏口」を仕込むマルウェアの総称だ。YiBackdoorがコンピュータに感染すると、攻撃者はこのバックドアを通じて、感染したコンピュータを遠隔で操作したり、機密情報を盗み出したり、さらに別の悪意あるプログラムを送り込んだりすることが可能になる。提供された情報では「YiBackdoorは実行可能（able to execute...）」とされているが、具体的な機能は明記されていない。しかし、一般的なバックドア型マルウェアの機能として、リモートからのコマンド実行、ファイルの送受信、プロセス管理、キーロギング（キーボード入力の記録）などが含まれる可能性が高いと推測できる。

次に、YiBackdoorとコードの重複が見られる「IcedID」について説明する。IcedIDは、その悪名で広く知られる情報窃取型トロイの木馬だ。これは主に金融機関のオンラインバンキングシステムをターゲットにし、利用者の認証情報、クレジットカード情報、その他の機密情報を盗み出すことを目的としている。IcedIDは、感染したコンピュータからインターネットバンキングのログイン情報を盗むだけでなく、ウェブブラウザの動作を監視したり、正規のウェブサイトに偽のログインページを重ねて表示させたりする「ウェブインジェクション」と呼ばれる手法を使うことがある。これにより、利用者が正規のサイトと信じて入力した情報が、そのまま攻撃者の手に渡ってしまうのだ。IcedIDは、その強力な情報窃取能力と、多様なサイバー攻撃キャンペーンで利用されてきた実績から、非常に危険なマルウェアの一つとして認識されている。

そして、もう一つの関連マルウェアである「Latrodectus」についても触れておこう。Latrodectusは、比較的最近確認された新しいマルウェアだが、その性質は非常に特徴的だ。これは主に「ローダー（Loader）」として機能するマルウェアである。ローダーとは、その名の通り、他のマルウェアをインターネットからダウンロードして感染したシステムに「ロード（読み込み・実行）」させる役割を持つ。つまり、Latrodectus自体が直接的な情報窃取や破壊活動を行うことは少なく、攻撃者が別のマルウェア、例えばIcedIDや今回のYiBackdoorのようなマルウェアを、ターゲットのシステムに送り込むための「橋渡し役」として利用されることが多い。Latrodectusは、システムへの最初の侵入を成功させた後、攻撃者が次にどのような攻撃を仕掛けたいかに応じて、様々な種類のマルウェアを柔軟に展開できるため、サイバー攻撃のエコシステムにおいて重要な初期段階のツールとなっている。

YiBackdoorがIcedIDやLatrodectusと「重大なコードの重複」を持つことは、セキュリティ対策を考える上で重要な意味を持つ。一つは、これらのマルウェアが同じサイバー犯罪グループによって開発されている可能性だ。犯罪グループは、一度成功したコードベースや技術を使い回し、新しいマルウェアを開発することで、効率的に多様な攻撃ツールを生み出しているのかもしれない。もう一つは、「マルウェア・アズ・ア・サービス（MaaS: Malware-as-a-Service）」というビジネスモデルの存在だ。これは、マルウェアの開発者がそのツールやサービスを他の犯罪者に販売・貸与する形で提供するもので、共通のコンポーネントが多くのマルウェアに利用されることがある。いずれにしても、コードの重複は、これらのマルウェアが孤立した存在ではなく、何らかの形で連携し、より広範な攻撃キャンペーンの一部として利用されている可能性が高いことを示唆している。これは、セキュリティ対策を講じる上で、個々のマルウェアだけでなく、背後にある攻撃グループの全体像や、マルウェア間の関連性にも目を向ける必要があることを教えてくれる。

Zscaler ThreatLabzの研究者たちが指摘するように、YiBackdoorがLatrodectusやIcedIDと「連携して攻撃中に使用される可能性」は非常に高い。この連携攻撃の典型的なシナリオは、次のように考えられる。まず、攻撃者は「Latrodectus」を使って、標的のシステムへの最初の侵入を試みる。これは、フィッシングメールの添付ファイルや悪意あるウェブサイトの訪問など、様々な初期侵入経路を通じて行われる。Latrodectusがシステムに感染すると、それは攻撃者にとっての「足がかり」となる。次に、Latrodectusは攻撃者の指示を受けて、より専門的な情報窃取機能を持つ「IcedID」をシステムにダウンロードし、実行させる。IcedIDは、ここから銀行情報などの機密情報を窃取する活動を開始する。そして、さらに重要な段階として、Latrodectusや場合によってはIcedIDが、今回発見された「YiBackdoor」をシステムにインストールする。YiBackdoorは、攻撃者が一度情報を盗み出した後も、長期間にわたってシステムへのアクセスを維持するための「永続的な裏口」を提供する。これにより、攻撃者は情報を盗み続けるだけでなく、将来的に別の攻撃を仕掛けたり、システムを乗っ取ったりするための基盤を構築できるのだ。このような多段階にわたるマルウェアの連携は、個々のマルウェアが持つ機能を補完し合い、より複雑で発見されにくい、効果的な攻撃を実現することを可能にする。

システムエンジニアを目指す皆さんにとって、このようなマルウェアの発見は、サイバーセキュリティの重要性を改めて認識する良い機会となる。システムを設計・構築・運用する上で、セキュリティは常に最優先事項の一つだ。まず、マルウェアの進化の速さと巧妙さを理解し、常に最新の脅威情報にアンテナを張ることが重要だ。Zscalerのようなセキュリティベンダーが発表するレポートは、そのための貴重な情報源となる。次に、システムに「多層防御」の考え方を取り入れる必要がある。これは、単一のセキュリティ対策に頼るのではなく、ファイアウォール、侵入検知システム、アンチウイルスソフトウェア、エンドポイント検出応答（EDR）など、複数の異なるセキュリティ対策を組み合わせることで、たとえ一つが破られても、次の層で防御できるようにすることだ。また、従業員へのセキュリティ教育も極めて重要だ。フィッシングメールや不審なウェブサイトの見分け方など、基本的な知識を身につけることで、最初の侵入経路となるヒューマンエラーを防ぐことができる。さらに、システムやソフトウェアは常に最新の状態に保ち、既知の脆弱性を悪用されないようにすることも不可欠だ。パッチ適用やアップデートを怠らないことが、多くの攻撃を防ぐ第一歩となる。最後に、万が一システムがマルウェアに感染した場合に備え、適切なインシデントレスポンス計画を策定しておくことも重要だ。感染の早期発見、封じ込め、駆除、そして復旧のプロセスを明確にしておくことで、被害を最小限に抑えることができる。YiBackdoorの発見は、サイバー犯罪グループが既存の技術やマルウェアを巧みに組み合わせ、より強力で持続的な攻撃を仕掛けてくる現状を浮き彫りにしている。システムエンジニアは、技術的な知識だけでなく、このような脅威の全体像を理解し、常に先手を打つ姿勢が求められる。