zaininの日記： Linuxでマルウェア的なものによる被害に遭った

　以前、Debian(sid)を使っていて被害に遭った記録と注意喚起です。
　分類は、ウィルスではなくマルウェア/トロイの木馬などになると思います。　　

　2017年末〜2018年1月の初旬、ブラウザでは更新可能と表示されるパッケージが、レポジトリを更新してもaptitudeに表示されないなど、変調を感じ始めました。昨年末に突然、ネット回線が切断されたことも、マルウェアなどを使った攻撃者の行動の結果だったのかもしれません。
　コマンドのcpやviが異様に重く感じ、パソコンの処理能力の低さが原因かと思っていましたが、マルウェアなどによる攻撃の結果だったようだと被害に気付きました。
　clamavでは何も異常が発見出来ませんでしたが、debsumやtripwireやaideなどで探してみたところ、OSの多くの基礎的なファイルが書き換えられていました。他には、ブラウザの設定に入れた覚えのないアドオンの名前があったことに加えて、私はsshを使えず使ったことが無いにも関わらず、攻撃者の鍵らしいものが/etc/sshにあったので、攻撃者が私のパソコンで思い通りにできる状態にあったんだと考えています。
　2018年1月後半〜2月の上旬、以前のカーネルとinitrdではパソコンが起動できなくなりました。ここで誰かが『ベンダーのパッチを当てましょう』と私に言ってくれた気がして、カーネルをブラウザでダウンロードした直後だったので助かりました。
　他人の発言は、頭の中を観察されているようで不気味な反面、勉強させてもらえることが多く、有名な被監視妄想はやはり当人の感じ方が次第で、些細な事やありがたい事などを被害と感じてしまう気持ちの状態があると思います。だから、弱い自分自身の弱った気持ちや誤った考えなどに流されない事はとても大切だと改めて考えさせられます。

　侵入経路や方法などは不明ですが、リスクとして思い当たった所は、次のものが挙げられます。
・Firewallの再設定が先送りになり、ルーター任せだった。
・追加レポジトリを(httpで)利用するため、セキュリティが弱まる設定にしたまま使ってしまっていた。
・各パッケージのアップデートそのものを疎かにしてしまっていた。
・btrfs recieveしたファイルが全部読み込み専用になり、書き込み可能にする際にパーミッション設定を間違えていた可能性がある。
・強すぎる権限（？）を持つ旧式拡張機能と監査(？)されていないアドオンが使えるPaleMoonを使っていた。

　感染した時期も不明ですが、FirefoxのESR版の45.0が重たいと感じてPaleMoonに乗り換えたはずが、ESRの52.0でも案外快適に動いたので、1年ほど前からブラウザ経由で感染していた可能性もあります。
　最終的に、汚染が広がらないようにとOSごと削除してしまいましたが、警察に届け出る際などには証拠として残しておけた方が良かったようです。私が被害者であるだけでなく、パソコンが踏み台にされて不正な遠隔送受信が行われ、加害者になった可能性に思い至り、その件でも警察に自首に行きましたが、また、日時や具体的行為などが明らかでないと捜査や逮捕はできないと告げられました。他の方々の迷惑になっていなければいいのですが、いつ頃どこで何ににどう感染しどんな通信が行われたかなどは、私には把握出来ないので、結果に委ねる以外にどうしようも無い気がしています。

　今も今後も絶対にずっと安定する安全な環境や確証などは無く、不安要素は考え出せばキリが無く、病的な被害妄想が悪化しやすく、もしかすると今でも攻撃者が私のパソコンと接続できる可能性があり、何らかの方法や経路やタイミングで通信されているかもしれず、あまり詳細に対策を書くのも危険な気がするため、詳細は省いて対策の概要を書きます。
　不便でも安全側を優先し、Firewallを多段構えにし、細めにアップデートし、あまりネットに接続しないようにしています。それらに加えて、一定の目処として、ようやくセキュリティとプライバシーとネットサービスへの適合の兼ね合いのとれそうな、仮想化技術を活用した閲覧環境は作れました。

　この件で、私のローカルのファイルは改竄されていましたが、Debian公式レポジトリのファイルの異変ではなく、おそらく私個人の使い方の悪さが組み合わさり重なった結果によるものです。Debianや他のディストリの利用者は不必要に大きな心配をしないでも大丈夫なはずですが、『◯◯を使っているから大丈夫』などとと安心せず、これを通じて他の方が今一度セキュリティ設定などを見直してみるキッカケになることを願っています。