アドビ、Windows用コードサイニング証明書を無効化へ

　Adobe Systemsは米国時間9月27日、同社のWindows用コードサイニング証明書を用いてデジタル署名されたマルウェアが発見されたことを受け、同証明書を無効化すると発表した。

　Adobeにおいてセキュリティ関連のシニアディレクターを務めるBrad Arkin氏は同社ブログへの投稿のなかで「Adobeは現在、当社のWindows用コードサイニング証明書の不適切な使用と考えられる事象を調査している。われわれは、この影響を受けた証明書を2012年10月4日に無効化する予定だ。今回の措置により、2012年7月10日以降に同証明書で署名されたすべてのソフトウェアが影響を受ける」と述べている。

　また、Arkin氏は「われわれが把握している限り、この証明書で署名された悪質なユーティリティが2つ発見されただけであり、幅広く流通しているマルウェアにこの証明書が用いられているわけではないと理解している」と述べている。さらに同氏は、現時点では「Adobeのソースコードや顧客データ、財務データ、従業員データといったものを含むその他の機密情報が流出した形跡は認められない」と述べている。

　基本的に、何者かがAdobeソフトウェアの開発に使われる、いわゆる「ビルド」サーバにアクセスし、そこからAdobeのコードサイニングサーバへのリクエストを送ることができるようになっていた、とAdobeの広報担当者のWiebke Lips氏は米CNETに述べた。コードサイニング証明書は、マルウェアがAdobeからのものであるかのようにデジタル署名つまり認証するために使われていた。このことは、マルウェアが正規のAdobeプログラムになりすますことを可能にすることを意味するが、Lips氏によると、そのようなことは発生していなかったという。