夕刻頃(日本時間)より、正規Webサイトを改ざんし、不正なプログラムが自動でダウンロードされるようにする「Webからの攻撃」に分類される脅威が相次いで確認されています。今回は、その中から一例をとりあげ、現在の脅威動向について分析してみます。malicious.」(不正サイト)として評価が行われていることを確認しています。各国のリサーチエンジニアは、不正サイトクローリングシステムにより自動評価された情報と独自の分析結果を総合的に判断し、担当国における影響を調査しています。今回、私は不正サイト「gr<省略>ad.com」へ自動転送する改ざん被害を受けているサイトの一つとして、ある「日本人プロ野球選手のオフィシャルサイト」を特定しています。Browsing」から「このサイトはコンピュータに損害を与える可能性があります。改ざん被害と聞くと多くの人は昨年より被害が続く「ガンブラー攻撃」を思い浮かべるのではないでしょうか。Gumblar攻撃)や弊社サイト(該当記事:猛威を振るうGumblar(ガンブラー)の脅威とその対策)においてもこれまで何回かその被害を取り上げ、被害実態と対策について紹介してきました。今回新たに確認された被害は従来と同一の攻撃によるものと言えるのでしょうか。被害サイトに対して外部から探りを入れてみたいと思います。手始めに被害サイトのドメイン名を元に「Whois検索」をかけてみたいと思います。(ドメイン更新日)」は注目すべき値です。2009-10-08」。歴史あるサイトに対しては一定の高評価ができます。(レジストラ)」情報。この名前を聞いて「ピンときた」方はかなりの情報通でしょう。Compromise)。なんだか怪しい雲行きになってきました。視点を変えて、被害サイトのヘッダ(HTMLソースコード)に注目しています。そこには、次の記録が確認できます。被害サイトのヘッダ部分に記載されていたコード順当に考えれば、ホームページ作成ソフトにより、2月17日に更新されたページであると推定できます。改ざん被害は更新日以降に行われた可能性が高いとも推定できます。正確な特定はサイト管理者のもつ複数のログを照らし併せて特定する必要があることは言うまでもありません。</head>タグ以下、<body>タグ中に難読化されたスクリプトが確認できます。攻撃者の意図を知ることのできる最も重要な手がかりといえます。被害サイトのHTMLソースコード(抜粋)難読化を解除してみたいと思います。被害サイトの難読化されたコードを可読化(抜粋)赤文字箇所に注目してください。IFRAMタグを使って「gr<省略>ad.com/in.cgi?2」へ転送していることが読み取れます。この転送先は攻撃者にとってのゴールでしょうか。転送サイトの難読化されたコードを可読化(抜粋)やはりそこには、難読化が施されたJavaScriptが潜んでいました。「gr<省略>ad.com」から更に転送された「gi<省略>st.com/grep」。ここが悪の巣窟のようです。IFRAMEタグで指定された「gi<省略>st.com」についてもう少し詳しく見てみましょう。IPアドレス情報から位置情報に変換したところ、「Turkey:トルコ共和国」に位置するサーバに転送されていることが特定できます。Acrobat」の抱える脆弱性を突いてきました。PDFの機能を使って転送を仕掛けるための攻撃です。同時にブラウザ環境情報を送信します。更なる攻撃へのシナリオ作りと行ったところでしょうか。環境情報を送信させている場合、アクセス方法によって異なる結果がもたらされることを意味していると考えて間違いないようです。今回、可読化したスクリプトにヒントを得て、「gi<省略>st.com/grep/?spl=2&br=MSIE&vers=7.0&s=」のパラメータ送信を試みてみました。パラメータを受け取ったサーバの返答は「gi<省略>st.com/grep/load.php?spl=ActiveX_pack」への転送。ソースコード記載の「clsid」を読み解いて行くことで、攻撃者が狙っている脆弱性をあぶりだします。転送サイト「gi<省略>st.com/grep/load.php?spl=ActiveX_pack」のコード(抜粋)図7は、「gi<省略>st.com/grep/?spl=2&br=MSIE&vers=7.0&s=」パラメータを与えた場合の振る舞いです。異なるパラメータ(他のブラウザ環境)である場合、別の脆弱性(例:「grep/load.php?spl=javas」、「/grep/load.php?spl=mdac」、「/grep/load.php?spl=Opera_telnet」、「/grep/load.php?spl=MS09-002」、「/grep/load.php?spl=pdf_2030」)に誘導されることも明らかと成っています。ここですべてを言及することは困難ですが、対策側である我々は、攻撃者がその状況に応じて最適な(攻撃成功確率の高い)脆弱性を狙っていると考えることが重要といえそうです。ActiveXCVE-2008-2551N/A主要なアプリケーションの脆弱性については、「脆弱性フィルタ」による「仮想パッチ」の対策効果が期待できることを確認しました。Security」にて提供されている機能です。「脆弱性フィルタ」による「仮想パッチ」は、公開されている脆弱性を標的にした攻撃をブロックします。攻撃手法の公開からパッチ適用までの間に発生するセキュリティ上の空白時間に対する対策を提供し、正式にリリースされたパッチを検証・適用後に改めて適用をはずすという柔軟な運用が可能になります。脆弱性を抱えている場合、何が起こりうるのか。攻撃者の狙いであるウイルス(実行ファイル)のダウンロードにつながります。今回確認されたのは「TROJ_SASFIS.AJ」(gi<省略>st.com/grep/load/load.exe)でした。これまでの攻撃者の戦略を考えれば、いずれ「TROJ_SASFIS.AJ」は新種に置き換えられるものと推測します。我々は彼らの動向を引き続き監視する必要がありそうです。今回の攻撃を何と呼ぶのか。どこまでの範囲をどの名称で呼ぶのかという判断となるため、ここでの言及は避けたいと思います。「gi<省略>st.com/grep/」をクローリングすると攻撃者のしっぽが見えてきます。1.3.2」の管理画面です。一連の攻撃はこのコンソールから指示が出され企てられた攻撃であると推定されます。Network」や「脆弱性フィルタ」が今回の攻撃においても有効であることを紹介しておきます。