Windows版「Hola Browser」が、クリプトマイナーを配布するために悪用される

Windows版のHola Browserが、サプライチェーン攻撃により侵害されました。この攻撃では、研究者によって仮想通貨マイナーと特定された、宣言されていない実行ファイルが配布されていました。

この侵害は、Hola Browserが以前合格していたAppEsteemの認証テスト手順の一環として実施された定期的な認証チェック中に発覚した。

Holaはイスラエルの企業であり、ユーザーが他のユーザーのデバイスや有料のプロキシインフラを経由してインターネットトラフィックをルーティングし、地理的な制限を回避して他国のコンテンツにアクセスできるサービス「Hola VPN」で最もよく知られています。

Hola BrowserはChromiumをベースとしており、VPNおよびプロキシ機能をブラウザに直接統合しています。

同社とその製品は過去、Luminati Networksと呼ばれる商用サービスの運営に関連する不透明なトラフィック処理手法により物議を醸したことがある。同サービスは無料ユーザーをプロキシとして利用していた。

最新のアプリ整合性チェックにおいて、Sophosおよび評価プロセスに関与した他のサイバーセキュリティ企業は、C:Program FilesHola 配下に「me.exe」という未申告の実行ファイルがインストールされるケースがあることを発見しました。

このファイルは認証されておらず、タイムスタンプもデジタル署名もなく、難読化されたコードを含んでおり、メモリへの書き込みが可能でした。

さらに詳しく調査したところ、ソフォスは、そのバイナリがモネロ（Monero）の暗号通貨マイナーである兆候を発見しました。これには、その真の性質を示唆する文字列も含まれていました。

このマイナーは、Windows Defenderの除外ルールを追加し、自身を「HolaMonitorService.exe」としてProgram Filesにコピーし、「hola_monitor_svc」という名前の自動起動Windowsサービスを作成し、コンピュータがアイドル状態のときに実行されます。

Holasの対応

HolaはAppEsteemからこの調査結果について通知を受け、サプライチェーン侵害を受けたことを確認した。この事実は、サイバーセキュリティ企業Sygniaによっても独立して検出されていた。

それにもかかわらず、同ソフトウェアベンダーは、影響を受けたユーザーは全体の約0.1%に過ぎず、ユーザーデータへのアクセス、盗難、または侵害の証拠はないとしている。

「その後、当社は配布パイプラインを完全に再構築し、高度なコード署名検証を導入するとともに、インフラ全体にわたるより厳格なアクセス制御と継続的な監視を導入しました」と、HolaのCEOであるAvi Raz Cohen氏は保証した。

「これらの措置は、宣言され、認証され、署名されたコンポーネントのみがユーザーに配信されることを保証するために設計されています。」

当サイトは、侵害の発生経緯、犯人の正体、および他のプラットフォームのクライアントも影響を受けたかどうかについて、Holaに詳細情報を求めて連絡を取ったが、本記事の公開時点では回答を得られていない。