カスタマー・ポータルサポートを利用カスタマー・サポート疑問を解決プログラムサポートに関するお知らせサポート対象製品コミュニティドキュメント・ポータルサポートFireEyeは、専門家が24時間365日体制で対応するグローバルサポート・ネットワークを構築しています。パートナー様を支援する登録制ポータルサイト。案件登録、トレーニング情報にアクセスできます。Inc.のブログにて公開された内容の翻訳です。本内容は予告なく更新されている可能性があることをご了承ください。Store経由でインストールされた別の正規アプリが不正アプリに置き替わる可能性があることを発見しました。この脆弱性は、両方のアプリが同一のバンドル識別子を使用している場合に発生します。Bird”等)が付けられた組織内(=InHouse)アプリのインストールが促され、インストールしてしまった後に端末内にある別の正規アプリが不正なアプリに置き替えられてしまう可能性があります。Safariなど、iOSのプリインストール・アプリを除く、すべてのアプリが置き換えられる可能性があります。この脆弱性は、バンドル識別子が同一のアプリに対し、iOSが証明書の一致を強制していないことが原因です。7.1.1/7.1.2/8.0/8.1/8.1.1ベータ版のいわゆる脱獄(=Jailbreak)版の端末と、非脱獄版の端末の両方で、こうした脆弱性を確認しました。今回の脆弱性は無線ネットワーク経由とUSB経由のアプリダウンロードの両方で悪用されうることを確認しています。Attack(マスク攻撃)」と命名するとともに、実際の攻撃を模した以下のデモ動画を作成しました。※マスク攻撃のデモ動画アップル社に対しては、7月26日付けで今回の脆弱性を通知しています。Attackの一部を悪用し、USB経由でiOSデバイスへの攻撃を開始したことを特定しました。AttackはWireLurkerよりもより大きなものになる可能性があります。Attackはインターネット経由で銀行アプリや電子メール・アプリなど、さまざまな正規アプリを攻撃者のマルウェアに置き換えることができます。同一のUIを持つマルウェアを使用し、正規の銀行アプリを置き替えることができれば、ユーザーの銀行関連の証明書を盗み出すことが可能となります。驚くべきことに、正規アプリが置き換えられた時点で、ローカルデータを削除することなく、不正アプリのアクセスを許すこともできてしまいます。したデータの内容には、電子メールのキャッシュやログインのトークンも含まれる可能性があり、マルウェアはこれを悪用することで、ユーザーのアカウントに直接ログインできます。私たちは、この問題が拡散しつつあることを示す証拠を特定しています。セキュリティ・ベンダーに見つかっていない既存の攻撃であることも考えられるため、このような状況下では、今回の問題を広く周知することが急務であると考えています。このほか、iOSユーザーが自身でできる対策についても以下に共有します。Bird”等)を使って、攻撃対象にアプリをインストールするよう誘導できます。iOSシステムは、バンドル識別子が同じ正規アプリとこれを置き換えてしまいます。Store経由でインストールしたアプリは置き換えることができます。Attackがもたらす被害は以下の通りです。攻撃者は、正規アプリのログイン・インターフェイスを模倣することで、攻撃対象のログイン証明書を盗み出す可能性があります。FireEyeでは、複数の電子メール・アプリや銀行アプリでこれを確認しており、マルウェアは正規のアプリと同一のUIを使用することで、ユーザーが本物のログイン証明書にアクセスするよう仕向け、情報をリモートサーバーに送信します。私たちは、正規アプリが置き換えられた後のマルウェアのローカル・ディレクトリに残っているローカルデータのキャッシュなどに、正規アプリのディレクトリ下にあるデータがあったことも確認しています。マルウェアは、これらの機密情報を盗み出すことができます。電子メール・アプリによるこうした攻撃の場合、マルウェアが重要な電子メールのローカルキャッシュを盗み出し、リモートサーバーにアップロードできることも確認しています。同一のバンドル識別子を使用していることから、MDMインターフェイスでは、正規アプリとマルウェアの区別がつきません。APIは存在しません。そのため、MDMがこうした攻撃を検知することは困難です。attack」に記載されていますが、エンタープライズ・プロビジョニング・プロファイルを用いて配信されるアプリ(私たちがEnPublicアプリと呼ぶもの)は、アップル社の検証プロセスを経ていません。IDとパスワードを盗み出すことが可能です。Bird」の組織内アプリを使用しました。アプリの署名には、エンタープライズ証明書を使用しました。このアプリをWebサイト経由でインストールすると、iPhone上の正規のGmailアプリが置き換えられました。図1は、このプロセスを示しています。図1の(a)、(b)では、iPhone上にインストールされた、22通の未読メールがある正規のGmailアプリがあります。Bird」というタイトルの組織内アプリをWebサイトからインストールするよう誘導されている様子を示しています。Bird」はアプリのタイトルであり、攻撃者はアプリを作成する際に任意に設定できますが、このアプリのバンドル識別子には「com.google.Gmail」が付けられています。図1の(d)は、攻撃対象が「Install」をクリックした後の様子で、インストール中に組織内アプリが正規のGmailアプリに置き換わっているところを示しています。図1の(e)は、組織内アプリによって正規のGmailアプリが置き換えられた様子です。インストール後に、ユーザーが新しいGmailアプリを開くと、これまでとほとんど変わらないUIに自動的にログインします。pwned(=はい、あなたの負け)」と書かれていますが、これは攻撃の存在をわかりやすくするため、私たちがデザインしたものです。実際の攻撃者は、これほど親切ではありません。図2に示す通り、前からあった正規のGmailアプリのローカルキャッシュは「sqlite3」データベース内でクリアテキストとして保存され、リモートサーバーに送信されます。Attackは端末をコンピュータに接続する必要はなく、完全に無線ネットワーク経由で発生することです。Attackから自らを保護できます。Storeやユーザー自身の所属団体以外の、第三者のソースからのアプリをインストールしない。アプリが表示するポップアップのメッセージがなんであれ、図1の(c)のような、サードパーティのWebページから表示されるポップアップ上の「Install」をクリックしない。ポップアップは攻撃者が工夫をこらして作成しているため、ついクリックしたくなるものです。Trust(信頼しない)」をクリックし、アプリを直ちにアンインストールする。Attackの提供する潜在的なマルウェアの署名IDを示すものとして、iOS端末にインストールされたエンタープライズ・プロビジョニング・プロファイルを確認するという手段があります。「プロファイル」から確認できます。7ユーザーはこれを自社のセキュリティ部門に報告してください。プロビジョニングプロファイルを削除することで、特定のプロファイルを使用するエンタープライズ署名アプリの実行は回避されます。8端末の場合、端末にインストール済みのプロビジョニングプロファイルは表示されないため、アプリのインストール時には最新の注意を払う必要があります。私たちは、今回の脆弱性を7月にアップル社に告知しました。アップル社による既存の標準的な保護対策やインターフェイスのすべてがこうした攻撃を防げるわけでないので、エンタープライズ・ユーザーを今回のような高度な攻撃から保護できるよう、アップル社に対してはセキュリティ対策の専門企業各社による強力なインターフェイスを提供するよう依頼中です。最新の脅威情報や攻撃者動向、ソリューション解説についての情報をお届けします。