認証情報紛失！インターネット上でプレーンテキスト認証情報を検索する

論説・協力：Tricia Howard

プライバシーの観点から、画像やコピーに含まれる情報は大幅に修正しています。

脅威ハンターといえども、インターネット上でプレーンテキストの認証情報を見つけることは、そうあることではありません。

Akamai Huntチームは、お客様のネットワークにおける異常、脅威、リスクの検知のみに特化した事前対応型の脅威ハンターで構成されています。サイバーセキュリティの世界における最大のリスクの1つはデータ漏えいであり、Akamaiはこれを防ぐことを目標としています。それが予防であれ、検知であれ、緩和であれ、私たちはお客様のために専門的な目となり耳となる方法論を確立しています。

調査の行き着く先は分からないものですが、この記事で取り上げるケースは特殊なものでした。不審なPythonスクリプトを検知して逆コンパイルした結果、金融機関のプレーンテキストのドメインユーザー認証情報というとんでもないものが見つかりました。金融機関において攻撃者がこのレベルのアクセス権を持てば、どんなことでも可能です。（先に言っておきますが、悪い結果には至っていません。）

人的要素は、組織にとって最大のサイバーセキュリティの脅威と考えられています。このブログ記事では、調査と調査結果について説明し、他のセキュリティ専門家向けに補足的なガイダンスを提供します。

その結果、そのファイルはPyInstallerのパッケージ化されたバイナリだと分かりました。そこでこのバイナリを逆コンパイルしてPythonのソースコードを取得し、手作業で調べました。

これで作業対象が判明したので、ファイルの調査を開始できます。このファイルによって行われた接続、実行したユーザー、攻撃者がダウンロードした可能性のある他の不審なファイル、さらに不審なアセットに対するその他の検知方法をチェックしました。

このファイルは、サードパーティのプロバイダーに紐づく多くのデバイスと通信していました。これは、サードパーティのデバイスによってある程度の正当性が確認されているということですが、このことで警戒フラグが立ちました。このスクリプトは、VirusTotalで多数の悪性を示すサインとともに検出されたため、非常に気がかりです。

このファイルを、pycdcを使用して逆コンパイルしたところ、見た目はいたって普通のITファイルのようでした。ところが、このスクリプトは、次の3つのステップを実行するバックアップスクリプトであることが判明しました。

1. スクリプトがIPアドレスのリストを読み取る 

2. 各IPに接続する

3. 設定とバージョンをバックアップする

セキュリティの世界でハッピーな話をすることはあまりありませんが、幸いなことに、この話は良い結果に終わりました。この状況はHuntチームによって24時間以内に発見され、改善され、報告されました。インターネット上でプレーンテキストの認証情報を見つけたら、大惨事にならないよう、とにかく迅速に対処することが大切です。

お客様に連絡した後、緩和策をいくつかお勧めしました。

• 晒されたユーザーと、ファイルがアクセスした、被害を受けたデバイスのユーザーのパスワードを変更する

• この種のアクティビティ用の管理システムを展開する

• セキュリティ意識を向上させる。個人情報が盗まれる可能性があるため、信頼できないソフトウェアは導入しないこと

お客様は、迅速かつ積極的に対応しました。

ヒューマンエラーと開発者のセキュリティは、サイバーセキュリティで最もホットなトピックの2つであり、この話はその両方に該当する好例です。もちろん、このような状況が誰にも見つからず、しばらく放置される可能性があったことは十分に考えられますし、それが最善のシナリオであったでしょう。しかしその逆は悲惨です。ゲーム・オブ・スローンズのファンでなくとも、不正な存在が（特に金融機関の高位の認証情報を使った場合）どのような損害を与えるか、想像に難くありません。

積極的な脅威ハンターとして、Akamai Huntチームは、今回のような実際に観測されたシナリオを分析、公表し、セキュリティコミュニティ全体を支援していきます。