メタバースでパンデミック ソーシャルVRをハッキングする攻撃 ヘッドセットを乗っ取り、ユーザー間でも感染：Innovative Tech

チェコのBrno University of Technology、米Louisiana State University、米University of New Havenに所属する研究者らは、他人のVR HMDとコンピュータに侵入してソーシャルVRを介した攻撃が可能なことを実証した研究報告を発表した。

[山下裕毅，ITmedia]

Innovative Tech：

このコーナーでは、テクノロジーの最新研究を紹介するWebメディア「Seamless」を主宰する山下裕毅氏が執筆。新規性の高い科学論文を山下氏がピックアップし、解説する。

　チェコのBrno University of Technology、米Louisiana State University、米University of New Havenに所属する研究者らが発表した論文「Rise of the Metaverse’s Immersive Virtual Reality Malware and the Man-in-the-Room Attack & Defenses」は、他人のVR HMD（ヘッドマウントディスプレイ）とコンピュータに侵入してソーシャルVRを介した攻撃が可能なことを実証した研究報告だ。

　バーチャル環境で他の人とやりとりできるソーシャルVRアプリケーションで実験を行った。その結果、VRヘッドセットを乗っ取り、画面を見るやマイクをオンにする、コンピュータにウイルスをインストールすることなどが着用者に知られずに実行できたという。

　またユーザーが滞在（通信）するバーチャルルームに、その部屋にいる全員から見えない透明アバターで進入し、こっそりと動き回りのぞき見る攻撃ができた。さらに、同じバーチャルルームを共有しているユーザー間で感染を広げる感染拡大にも成功した。

（左）被害者の視点、（右）後ろに被害者アバター、手前に攻撃者の透明アバター、被害者から攻撃者のアバターは見えていない

　アバター同士がバーチャル空間でやりとりできるソーシャルVRには、Metaの「Horizon Worlds」（旧名：Facebook Horizon）、Microsoftの「AltspaceVR」「vTime」「VRChat」「Bigscreen」などのプラットフォームが存在する。これらは最近の技術であり、セキュリティへの対策が不十分な分野といえる。

　VRは他の乗っ取りと違い、特有の情報が含まれており悪質な攻撃が行える。例えば、別の悪意ある映像を見せることで、HMD着用者を誘導し壁に激突させたり階段から落下させたりができる。

　今回はVR HMDとそのコンピュータを通して、ソーシャルVRをハッキングする攻撃「MitR」（Man-in-the-Room）を提案する。MitRは、VRワームとbotネットを注入することで、Bigscreenプラットフォームを介して攻撃を行う。

　マルウェアを仕込むことで、UnityスクリプトAPIのセキュリティ上の欠陥を悪用して、リモートでプログラムを実行したり、フォルダやファイルを開いたりできるようになる。攻撃者は、任意のパブリックまたは検出されたプライベートルームをターゲットとし、Bigscreenアプリケーションを制御する。

　独自のC&Cプロトコルを開発し、C&Cサーバから被害者を制御する。これによって、攻撃者のアバターを不可視にしてバーチャルルーム内にいる被害者アバターの行動を気が付かれずにこっそりと盗み見ることができる。

攻撃の基本シナリオ

　さらに攻撃者は、ペイロードを混入して別のユーザーにペイロードを広げる攻撃ができる。そのため、被害者が他のユーザーと接触すると感染し、ペイロードが拡散される。このことからも、実世界のパンデミックのように何百万人ものユーザーに影響を与える可能性を持った重大な脆弱性といえる。

VRワームの初期感染（Alice）と、VRルームで出会ったユーザーから他のユーザー（Bob）へ広がるシーケンス図

　研究者らは今回の脆弱性を関連企業（Bigscreen社やUnity Technologies社など）に勧告し、技術水準を向上させるためにFOSS（Free and Open Source Software）で公開している。

Source and Image Credits: M. Vondrek, Ibrahim Baggili, Peter Casey, Mehdi Mekni, Rise of the Metaverse’s Immersive Virtual Reality Malware and the Man-in-the-Room Attack & Defenses, Computers & Security (2022), doi: https://doi.org/10.1016/j.cose.2022.102923