BOLDMOVEとは｜サイバーセキュリティ.com

BOLDMOVE｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. BOLDMOVE
             

BOLDMOVE

BOLDMOVE は、中国のサイバー犯罪グループと関連があるとされるマルウェアで、特に防衛、政府機関、テクノロジー企業などを標的にしたサイバー諜報活動に用いられています。BOLDMOVEは、カスタムメイドのバックドア型マルウェアであり、標的のシステムにリモートからアクセスし、情報収集や遠隔操作を可能にします。Windows環境向けに作られている一方、Linux版も存在し、複数のプラットフォームでの攻撃が確認されています。

BOLDMOVEは、攻撃対象のネットワークに潜入後、密かに情報収集や横展開を行い、特定のデータを盗み出すことを目的としています。このように、組織内に長期間潜伏し、情報収集と攻撃の準備を進める「持続的標的型攻撃（APT）」の一環として使用されています。

BOLDMOVEの特徴

BOLDMOVEには、以下のような特徴があり、非常に高度なスパイ活動に適したマルウェアとされています。

1. 多プラットフォーム対応

BOLDMOVEは、Windows版とLinux版の両方が確認されており、異なるOS環境に対応しているため、多様なシステムでの情報収集が可能です。このため、企業や政府機関のネットワークに対して広範に攻撃を行えるのが特徴です。

2. リモートアクセスとバックドア機能

BOLDMOVEはバックドア機能を備えており、攻撃者が遠隔から感染したシステムを操作することができます。ファイルの作成や削除、コマンド実行、ネットワーク設定の変更などが可能で、標的のシステムを完全に制御する能力を持っています。

3. 情報収集とデータ窃取

BOLDMOVEは、感染したシステムからの情報収集を主な目的とし、システム情報、ネットワーク設定、ファイル構造など、攻撃に必要なデータを収集して外部に送信します。これにより、攻撃者は標的のネットワーク全体の構造やセキュリティの弱点を把握しやすくなります。

4. 高度な検出回避機能

BOLDMOVEは、セキュリティソフトウェアや監視システムによる検出を回避するための高度な技術を備えています。コードの難読化や、特定の条件が揃わない限り動作を開始しない機能を持ち、標的のセキュリティ対策をすり抜けることが可能です。

5. 持続的標的型攻撃（APT）の一部

BOLDMOVEは、APT（Advanced Persistent Threat）の一環として、特定の組織や政府機関に長期間潜伏し、必要なデータ収集やシステム監視を行います。このため、感染したシステムは長期間にわたって攻撃者の監視下に置かれ、情報漏洩のリスクが高まります。

BOLDMOVEの攻撃手法

BOLDMOVEによる攻撃は、以下のような段階を踏んで実行されます。

  1. 初期アクセスの取得
    攻撃者は、フィッシングメールや脆弱性の悪用を通じて、標的システムに初期アクセスを取得します。この段階でBOLDMOVEが標的のシステムにインストールされ、バックドアが作成されます。
  2. システムの情報収集
    BOLDMOVEは、感染後にシステム情報を収集し、攻撃者のC2（コマンド&コントロール）サーバーに送信します。この情報には、OSのバージョン、ネットワーク設定、インストールされているソフトウェアなどが含まれ、後続の攻撃の足がかりになります。
  3. C2通信とリモートコマンドの実行
    BOLDMOVEは、攻撃者のC2サーバーと暗号化された通信を行い、リモートからの指示を受け取ります。これにより、攻撃者は感染システムを遠隔操作し、ファイルの取得、削除、システム設定の変更などを実行できます。
  4. 持続的な監視とデータ窃取
    BOLDMOVEは、感染したシステムに持続的に潜伏し、データ収集や監視を継続します。攻撃者は、必要に応じて追加のマルウェアをインストールしたり、新たな指令を送信したりすることで、長期間にわたって標的システムの制御を維持します。
  5. 追加攻撃や横展開
    必要に応じて、BOLDMOVEは標的のネットワーク内の他のシステムにも感染を広げ、攻撃範囲を拡大します。これにより、企業や組織全体のネットワークが脅威にさらされ、機密情報が漏洩するリスクが増加します。

BOLDMOVEのリスクと被害

BOLDMOVEに感染したシステムやネットワークには、以下のような深刻なリスクが発生します。

  1. 情報漏洩とスパイ活動
    BOLDMOVEは情報収集が主な目的であるため、感染したシステムから機密情報が漏洩し、企業や政府機関の秘密が外部に流出するリスクがあります。これにより、国家や企業の安全保障に影響を及ぼす可能性もあります。
  2. デバイスとネットワークの完全な制御
    BOLDMOVEはリモートからのコマンド実行機能を持つため、攻撃者がシステム全体を制御できるリスクがあります。これにより、システムの運用妨害や内部データの改ざんが行われる恐れがあります。
  3. 長期的な潜伏とセキュリティの脅威
    BOLDMOVEは持続的標的型攻撃の一環として長期間潜伏するため、感染が発覚しない限り、攻撃者はシステムを監視し続けることが可能です。これにより、将来的な攻撃や追加のマルウェア感染のリスクが継続的に発生します。

BOLDMOVEへの対策

BOLDMOVEのような高度なマルウェアからシステムを守るためには、以下の対策が有効です。

  1. 多層的なセキュリティ対策の導入
    ファイアウォール、侵入検知システム（IDS）、アンチウイルスソフトウェアなどの多層的な防御対策を整え、マルウェアの侵入を防ぎます。特に、C2通信をブロックする設定が有効です。
  2. 脆弱性管理とパッチ適用
    OSやアプリケーションの脆弱性を定期的にチェックし、早急にセキュリティパッチを適用します。これにより、既知の脆弱性を悪用した初期アクセスのリスクを軽減できます。
  3. EDR（Endpoint Detection and Response）ツールの導入
    EDRツールを用いて、システム内での不正な動作や異常な通信をリアルタイムで監視し、即座に対応する体制を整えます。EDRは、持続的標的型攻撃に対する防御に効果的です。
  4. 従業員教育とフィッシング対策
    フィッシングメールや不審なリンクへの警戒心を高めるため、従業員に対する定期的なセキュリティ教育を実施します。これにより、フィッシング攻撃による初期感染を防ぎやすくなります。
  5. ネットワークのセグメンテーション
    ネットワークを分割して、感染が拡大しにくい構成にします。重要なシステムやデータがあるセグメントにアクセス制限を設け、横展開のリスクを軽減します。

まとめ

BOLDMOVEは、中国のサイバー犯罪グループと関連するとされる高度なバックドア型マルウェアで、特に政府機関や企業の機密情報を収集するために使用されることが多いです。多プラットフォーム対応で、WindowsやLinux環境のデバイスに感染し、長期間潜伏して情報収集やシステム制御を行う特徴があります。

BOLDMOVEからの防御には、多層的なセキュリティ対策や脆弱性管理、EDRによるリアルタイム監視、ネットワークセグメンテーションなどの対策が効果的です。また、従業員教育を通じて、フィッシングなどの初期感染経路への対策も重要です。これらの対策により、BOLDMOVEによる情報漏洩リスクやシステムの不正制御から組織を守ることが可能です。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。