76265


Q1  
[ラッキービジター詐欺で使用されるPHPマルウェア](https://blogs.jpcert.or.jp/ja/2021/06/php_malware.html)の意味が分からないのですが、どうやってPHPスクリプトを第三者のWebサイトへ不正に設置するのですか？

Q2  
不正なページはどこに設置されるのですか？  
・第三者のWebサイト？  
・攻撃者のWebサイト？


CC BY-SA 4.0
2021-06-01T15:42:40.363
76258
2021-06-06T22:01:18.233
7886
question
php
ラッキービジター詐欺で使用されるPHPマルウェアについて


まあ既にコメントにある通りなのですが、混乱を避けるために用語定義を先にしておきましょう。

  * 攻撃者：ラッキービジター詐欺を行う人物
  * 被害者：閲覧者のうち、ラッキービジター詐欺でクレジットカード情報などを盗まれる人物
  * 第三者：なんらかの web site を立ち上げ維持している人物

ラッキービジター詐欺ってのはそもそも

  * 第三者の web site がある（改ざんされていなければ無害なサイト）
  * 攻撃者がその「第三者の web site 」を改ざんする
  * 閲覧者（攻撃者とも第三者とも異なる）が当該「改ざんされた web site 」を訪ねるとまれに本来のコンテンツ（第三者の書いた内容）でなくてラッキービジター（攻撃者の書いた内容）にすりかわります。
  * この時点で閲覧者がおかしいと思って web UA のページを閉じれば被害はありません。
  * 閲覧者から被害者になるのは、先に進んでクレジットカード番号などを入力したとき

というものと理解すればよいでしょう。

A1. [wordpress](/questions/tagged/wordpress "'wordpress' のタグが付いた質問を表示") などの
CMS (コンテンツマネジメントシステム：俗にいう web background application) の脆弱性を利用して、当該「第三者の web
site 」を維持管理しているプログラムに改ざんがなされます。「どうやって」は既知の脆弱性を利用します。例えば URL のクエリ部 (`?foo=bar`)
に長い文字列を書いて (改ざん前) web site にアクセスすると CMS のバッファオーバーフローバグによって web site
の管理者権限を得ることができたりします。そうすれば web page の管理機構を通して設定ファイルを書き換えることができます（＝改ざん）

A2. 改ざんされるのは「第三者の web page 」つまり質問文でいうところの前者

全く違う内容に改ざんしてしまうと即バレしてしまいますが、特定条件でのみ改ざんページが表示されるように工夫してあるところがラッキービジター系の上手なところですね。なかなかばれないので被害が長く出たり。

「第三者」も web page 内容を書き換えられてしまった被害者ではあるのですが、同時に CMS
のセキュリティアップデートを怠っていた責任は問われます（攻撃者に加担したとみなされてもしかたない面がある）

* * *

コメントで質問が追加されたので（元質問にも追記していただけると幸い）

ラッキービジター詐欺は google だの bing だので検索して「初訪問」(=visit)
してきた閲覧者に「ラッキーなあなた」云々を信じ込ませるものなので

  * 検索エンジンから到達できるよう、検索エンジンが過去にクロールしたときの URL をそのまま維持し
  * リファラが検索エンジンである等、いくつか条件を満たしたときだけ
  * 本来のコンテンツでなく詐欺コンテンツを見せる

ということなので URL は変わりません、というか、少なくとも詐欺サイトへの導入を行う入口 URL は「第三者」のもののままです。検索エンジンでヒットする
(=過去にクロールされた) URL として `774RR.example.com/archive/1234.html`
があるとき、ここにアクセスしたら普通は元コンテンツが見えるのですが、まれにコンテンツを書き換えて詐欺コンテンツを見せてもいいし詐欺サイトへリンクしてもいいわけです（最終的にクレジットカード情報等が詐欺者に渡ればよい）

URL 中のドメイン名を乗っ取るには DNS ポイズニングが必要ですので話が大掛かりになります。脆弱性のある CMS
をツールでポチポチ探すだけで（書き換えが当該サイトのごく一部の設定ファイルにとどまる）達成可能、かつ、発動することがまれ（改ざんがばれにくく長期間維持できる）なのがこの詐欺の良いところです。攻撃者としては
DNS ポイズニングみたいな即全世界バレするような目立つことはしたくありません。低確率でもばれなきゃ長期間維持できる＝期待値が高い、です。

コメント Q1 : URL は以前と変わりませんか → Yes  
コメント A2 :
改ざんされたサイト自体にラッキービジター内容がおかれているかもしれませんし、単に入口として機能してラッキービジター内容そのものは攻撃者のサイトに置かれているかもしれません。第三者サイトの管理人に気づかれにくいよう不審なファイルが増えないようにするには後者のほうがよさそうです。こういう詐欺に引っかかる被害者は
URL の詳細まで見ていなかったりするので。


CC BY-SA 4.0
2021-06-02T03:32:17.313
76265
2021-06-06T22:01:18.233
2021-06-06T22:01:18.233
8589
8589
76258
answer