カスタマー・ポータルサポートを利用カスタマー・サポート疑問を解決プログラムサポートに関するお知らせサポート対象製品コミュニティドキュメント・ポータルサポートFireEyeは、専門家が24時間365日体制で対応するグローバルサポート・ネットワークを構築しています。パートナー様を支援する登録制ポータルサイト。案件登録、トレーニング情報にアクセスできます。FireEyeiOSデバイスのユーザーに対し、XcodeGhostマルウェアによる脅威の警告があったのは、約1カ月前のことでした。Storeから感染アプリを削除し、悪意のあるアクティビティを阻止する新たなセキュリティ機能を公開するなど、アップル社の対応は迅速でした。ファイア・アイの調査チームがお客様のネットワークを継続的に監視した結果、XcodeGhostの脅威は未だ根強く、同マルウェアが進化していることも判明しました。今回判明したのは、主に以下の3点です。Sと呼ぶ亜種から、より高度な未検知のサンプルが検出されたことXcodeGhostのアクティビティを4週間にわたって監視したところ、210の企業でXcodeGhostに感染したアプリケーションが社内ネットワーク上で実行され、2万8,000回以上もXcodeGhostコマンド&コントロール(CnC)サーバーへの接続が試みられていました。攻撃者のコントロール下にこそなかったものの、脆弱性を悪用して攻撃者から攻撃を受け、ハイジャックされやすい状況にあったことになります。同期間中にXcodeGhostがコールバックを試みた上位5カ国を図1に示します。図1:XcodeGhostが4週間中にコールバックを試みた上位5カ国XcodeGhostの感染が検出された210の企業が属する業界は多岐にわたります。CnCサーバーへのコールバックを試みた割合から、XcodeGhostの影響を受けた上位5業界を図2に示します。CnCトラフィックにハイジャックされた場合、以下のようなことが起こることを示しました。Store内の任意のアプリを積極的に宣伝フィッシング・ウィンドウのポップアップ表示ファイア・アイのDTIクラウドが検出した152種類のアプリのうち、最も活動的な感染アプリの上位20種を図3に示します。Storeで自社アプリをアップデートしているものの、下記の図4から多くのユーザーが感染したバージョンのアプリを実際に使い続けていることがわかります。バージョンの分布状況はアプリによって異なります。一般的なアプリである「网易云音乐」と「WeChat」の感染バージョンの状況は図4の通りです。1632.8.230842.8.326642.8.11227図4:感染アプリのバージョンのサンプル感染したiPhoneのiOSのバージョンは、6.x.xから9.x.xです(図5)。特筆すべきは、ファイア・アイの顧客においても、感染が確認された企業の約70%が、現在も旧バージョンのiOSを使用していることです。9へアップデートしてください。DNSクエリをブロックし、ハイジャックを防いでいます。CnCトラフィックの潜在的なハイジャックに対して脆弱な状態であり、特に企業ネットワークの外では脆弱性が高まります。うちに検出された感染デバイスの数を考えると、XcodeGhostは引き続き企業にとって進行中の脅威であると考えられます。Storeから削除しました。9の開発用に公開)を含む、Xcodeの各バージョンに仕掛けられています。9を感染させて静的な検出を迂回するための機能が追加されています。9向けに「NSAppTransportSecurity」を導入しました。この制限により、従来版のXcodeGhostでは、httpを使用したCnCサーバーへの接続は不可能となります。アップル社は、開発者がアプリのInfo.plistに例外(「NSAllowsArbitraryLoads」)を追加することで、http接続を許可することも認めています。Sのサンプルは、アプリのInfo.plistの「NSAppTransportSecurity」エントリ下で「NSAllowsArbitraryLoads」の設定を読み込み、この設定に基づき、異なるCnCサーバー(http/https)を選択します。S内の静的な検出を迂回します。Storeから削除されました。Storeで提供されている旅行者向けのショッピングアプリです。図8の通り、感染アプリのバージョンは2.6.6、更新日は9月15日です。XcodeGhostに感染した数千のiOSアプリケーションを検出し、アップル社によるアプリ削除を支援しています。すべての企業・団体において、XcodeGhostなどの悪意あるiOSアプリの脅威について従業員に注意を促し、すべてのアプリが最新版にアップデートされていることを確認するのを推奨します。Store上で他の感染していないアプリに切り替えてください。MTPの管理コンソールを使用すると、自社のネットワークでどのモバイル・デバイスが感染しているのかを把握できます。お客様は、MTPのアラートを速やかに確認し、感染したデバイス/ユーザーを特定、感染したアプリが削除されるまでデバイスを隔離することを推奨します。NXのお客様は、XcodeGhostの通信に関連したアクティビティについて、アラート・ログを速やかに確認することをお勧めいたします。最新の脅威情報や攻撃者動向、ソリューション解説についての情報をお届けします。