eScan更新サーバの侵害｜ブログ(ほぼこもセキュリティニュース)

eScanは、さまざまな特徴的な要素を持つ製品群として展開されるアンチウイルス製品です。
eScanのフリー版として非常注で他のアンチウイルスソフトと併用して利用できるセキュリティソフトを展開しているなどの取り組みもあり、広く知られ、利用されています。
アンチウイルスのソフトウェアにもいろいろなタイプがありますが、その多くの製品では動作のためにいわゆるパターンファイルを必要とするものがあります。
このeScanは、新しい情報で防御内容を更新していくことが重要な要素となっており、その更新の配布の仕組みを利用者に提供しています。
これが更新サーバです。
この更新サーバが侵害される事件が発生しました。

アンチウイルスソフトウェアそのものは大丈夫
ベンダーの情報によると、今回の件においては、アンチウイルスソフトウェアそのものに問題があったものではなく、更新サーバが侵害されたことが問題であるということです。
更新すると感染
問題がある状態の更新サーバとの更新通信を実施した端末は、感染した状態となりました。
機器のhostsが更新されたり、レジストリが更新されたりし、単に攻撃のための悪意あるファイルが配置されるだけにとどまらない状態に、被害を受けた状態の機器は変更されてしまうことが確認されています。
復旧は手動
ベンダーは復旧のためのソフトウェアを提供していますが、それを使うだけでは完全には復旧できないようで、サポートチームに連絡しながら手動で回復のための操作を実施する必要があるようです。

この問題そのものは、ベンダーの発表によると、ベンダーの運用の中の監視の中で問題検出が行われ、速やかに対応のための活動が開始され、対応がユーザに提供されるように活動を実施したということです。
問題のある状態になってしまった端末に対しては自動更新では対応できませんので、製品サポートに連絡して対応する必要があります。

今回の件にベンダーが対応しているものとほぼ同じ時間軸で、セキュリティ企業が今回の件をブログで公開し、それをSNSで案内するということもありました。
セキュリティ企業の公表している内容が事実とは異なる部分があったということで、eScanのなかではこの対応にも多くの時間が割かれることになったようです。

一つの問題が発生すると、その件から派生してさまざまな問題に発展する場合があります。
発生してしまった問題への対応はとても手間がかかると思わないといけないでしょう。
複雑な事後対応をなるべく回避するということも思いつつ、日々のパッチケイデンスを維持していくことが全体としては私たちのできることということになりそうです。