インフォスティーラーの感染確認方法｜盗まれたログイン状態での乗っ取りとセッション失効

インフォスティーラー感染の確認方法は、疑わしい端末をネットワークから切り離したうえで、検知履歴と、入れたソフト・拡張機能の時期を照らし合わせることだ。

その端末でログインしていたアカウントは、パスワードを変えて全セッションを失効させ、サインイン記録で別の接続元からの利用を調べる。

インフォスティーラーが盗むログイン状態と被害事例

盗まれる情報：パスワード・Cookie・端末の情報

Microsoftは2026年6月の分析で、StealCが端末の特徴、ブラウザの認証情報とCookieを集め、設定次第で画面も撮影すると報告した。私用端末の感染で、会社のVPNの認証情報や多要素認証を回避できるセッションCookieが渡りうるという。ログは数時間で出回ることが多く、1件10〜50ドル、銀行や企業のアカウントを含むものは最高100ドル超で売られるという。

デジタルアーツが名前を明かしていないインフォスティーラーを閉鎖環境で動かした検証では、盗まれた情報が1分程度で攻撃側へ送られた。

インフォスティーラーで盗まれた認証情報が使われた被害事例

Mandiantは2024年6月、クラウドのデータ保管サービスの利用企業が狙われた攻撃を報告した。使われた認証情報の多くは、過去のインフォスティーラー感染で盗まれたものだった。

インフォスティーラーのCookie再利用で多要素認証やパスキーを通過される条件

ログイン後に発行されたCookieは、失効させるまで、多要素認証やパスキーの確認を経ずに使われうる。

インフォスティーラーが盗んだCookieがパスキーを経ずに使われる仕組み

Webサービスは、ログイン後に渡したCookieを持つ通信を同じ利用者として扱う。GoogleのChromeチームは2024年4月、窃取はログイン後に起きるので2段階認証を回避でき、マルウェアを駆除した後も盗まれたCookieは使え続けると説明した。

デジタルアーツの検証では、多要素認証を設定した証券会社のアカウントのページにCookieだけで入れ、パスキーも求められなかった。有効期限や取引用のコードがあるので取引までは難しい、と同社は書く。

中継型の偽ログイン（AiTM）との違いとセッション乗っ取りの対策

偽のログイン画面で本物との通信を中継し、ログイン状態を盗む手口がAiTMだ。Microsoftは2022年、1万を超える組織が狙われたAiTMの報告で、FIDO2などフィッシング耐性のある認証を勧めた。

端末への結びつけは、端末の外へ持ち出しにくい鍵でセッションを確かめ続ける方式で、GoogleはDBSCとして2026年5月にWindows向けのChromeで一般提供を始めた。対応していないサービスでは、盗まれたCookieを止める手段は失効になる。

インフォスティーラー感染の確認方法と検知の記録

インフォスティーラー感染の確認では、端末の記録で「いつ、何が入ったか」を決め、その時点以降にログインしていたアカウントを洗い出す。米国のFBIとCISAは2025年5月、インフォスティーラーのLummaC2が難読化でEDRやウイルス対策ソフトを回避しうると注意を促した。検知の記録がないことだけで、感染していないと判断しない。

調べる前に、疑わしい端末はEDRの隔離機能などでネットワークから切り離す。Microsoftの『トークン窃取の調査手順書』も、端末の隔離と調査用データの収集を挙げる。米英など5か国の共同勧告も、データを確保する前に端末を直すと、メモリなど端末上の痕跡が失われうるとする。初期化やファイルの削除は、記録を集めてからにする。

社用端末で確かめるインフォスティーラーの検知履歴・拡張機能・実行ファイル

1. ウイルス対策・EDRの検知履歴を、駆除済みも含めて見る。マルウェア名、日時、ファイルの場所を控える。
2. その前後に入れたソフト、ブラウザの拡張機能、ダウンロードしたファイルを照合する。先のMicrosoftの報告は、検索結果や広告から誘導する人気ソフトの偽物や不正に改造したものを最も多い配布経路に挙げ、Webページの指示で利用者にコマンドを貼り付けて実行させる手口（ClickFix）を増えている派生の手口とする。利用者には、その頃に何を検索し、何を実行したかを聞く。
3. 不審なプロセスから外部への通信を探す。調査手順書も、不審な拡張機能と外部への通信の確認を挙げる。
4. その端末のブラウザでログインしていた業務サービスと、保存していたパスワードを一覧にする。

自社の認証情報が出回っていないかの確認

漏洩情報の照会や監視の手段には、自社のドメインで検索できるものがある。結果に端末の情報や日時があれば、感染端末の絞り込みに使える。

2023年4月に閉鎖された闇市場Genesis Marketの出品数（Europol）と、外から調べたTrellixが確認できた件数には差がある。Trellixには公開された出品しか見えなかったためだという。

照会で見つからなくても、出回っていないとは判断できない。

利用者にコマンドを実行させるClickFixが、実際の攻撃で感染と認証情報の窃取にどうつながったかは、話題のAIハッキングの手口を特定した記事で追っている。

インフォスティーラー感染が疑われたときのセッション失効とサインイン記録の調査

盗まれたCookieによるセッションの乗っ取りを止める対策は、失効だ。疑わしい端末でログインしていたアカウントは、感染していない端末から、パスワードの変更とセッション・トークンの失効を行う。そのうえでサインイン記録を遡る。

パスワード変更とセッション・トークンの失効

失効させる対象は、次の層ごとに確かめる。

サインイン記録で見分ける再利用の痕跡

調査手順書は、サインイン記録で想定外の場所や端末からの利用を、監査記録で新しく登録された端末、追加された多要素認証の方法、受信トレイのルールや転送設定の変更を確かめるとする。盗まれたCookieの利用は多要素認証を経ないので、普段と違うIPアドレスや国からの利用のうち、新たな多要素認証の記録がないものを先に見る。

調べる期間は、端末で決めた感染の時点からだ。不審な接続元が見つかったら、同じIPアドレスやユーザーエージェントから他のアカウントへの認証も探す。サインイン記録に行が残らない検知もあるので、監査記録やサービスごとの操作記録も見る。

サインイン記録が感染の時点まで残っていなければ遡れない。自社の記録が何日分あるかを先に確かめておく。先の共同勧告は、記録を少なくとも1年保存するよう勧める。