Operation Endgame

各国の法執行機関は、マルウェアに感染したWordPressウェブサイト約1万5,000サイトを浄化し、ボットネット「SocGholish」およびロシアのサイバー犯罪グループ「Evil Corp」に関連する100台以上のサーバーを摘発した。

この共同作戦（ユーロポールおよびユーロジャストの支援を受けた）は、サイバー犯罪を標的とした大規模な法執行作戦「オペレーション・エンドゲーム」の一環であり、現在はEvil Corpに関連する主要な感染経路を遮断することを目的としている。

オランダ（NHCTU）、カナダ（RCMP）、米国（FBI）、ドイツ（BKA）の当局は、侵害された14,971のWordPressサイトからSocGholishマルウェアを駆除し、106台のサーバーとドメインをオフラインにした。

image

オランダ警察は、感染したサイトからマルウェアとバックドアを削除するとともに、ウェブサイト所有者に対し、認証情報を変更し、多要素認証を有効にし、不明なWordPressアカウントを削除し、WordPressサイトを常に最新の状態に保つよう助言した。

「これらの措置により、サイバー犯罪者が感染したコンピュータシステムにアクセスする手段を断ち切ることができます。これにより、世界中の市民、企業、組織のデジタルシステムへのさらなる被害を防ぎ、マルウェアの拡散を抑制します」と、オランダ国家ハイテク犯罪対策ユニット（NHCTU）のマイケル・ロールマン氏は述べた。

「また、これらのシステムが重要インフラやその他の不可欠な社会プロセスに対するサイバー攻撃に悪用されるリスクも低減されます。これは、SocGholishに対するさらなる対策の始まりを意味します。」

JavaScriptベースのマルウェアダウンローダー「SocGholish」（「FakeUpdates」や「GhoLoader」としても追跡されている）は、少なくとも2017年以降、攻撃に利用されており、正規のウェブサイト（主にWordPressサイト）を乗っ取り、訪問者を騙して、偽のブラウザ更新プログラムを装った悪意のあるペイロードをダウンロードさせる仕組みとなっている。

ユーザーがこの悪意のある更新プログラムをインストールすると、マルウェアは攻撃者との接続を確立し、感染したシステムへのアクセス権を攻撃者に与えてしまう。また、SocGholishは、Dridex、Doppelpaymer、Empire、Koadic、Chtonic、Azorultといった他のマルウェアファミリーを展開するためにも利用されてきた。

このマルウェアは以前、2007年から活動しているロシアのサイバー犯罪組織「Evil Corp」と関連付けられていました。同組織はZeusやDridexといったマルウェアファミリーに関与しており、WastedLocker、Hades、Macaw Locker、Phoenix CryptoLockerといったランサムウェア攻撃の背後にいたとされています。

「これは、SocGholishに対するさらなる対策の始まりを意味する」と、ロールマン氏は本日発表されたプレスリリースで付け加えた。

11月には、「オペレーション・エンドゲーム」の一環として、法執行機関がRhadamanthys、VenomRAT、Elysiumといったボットネットマルウェア活動で使用されていた1,000台以上のサーバーを摘発した。

これ以前にも、「オペレーション・エンドゲーム」は、ランサムウェアのインフラ、Smokeloaderボットネットの顧客およびサーバー、AVCheckサイト、さらにDanaBot、IcedID、Pikabot、Trickbot、Smokeloader、Bumblebee、SystemBCなど、その他の主要な マルウェア活動を標的にしてきた。