PR

 今年5月の大型連休をはさみ,JSRedir-Rと呼ばれるウイルス(GENOウイルス,Gumblarなどとも呼ばれる)が世界的に流行した。このウイルスによる攻撃の被害は,Webサイト管理者のパソコンに目立った。2008年秋ころ,国内では原因不明のWeb改ざん事件が頻発したが,実はこれがJSRedir-Rに関連しているのではないかと推測する。全貌が明らかにされていないのは,“感染した端末”の解析サンプルの数が少ないからだ。

 その理由は幾つか考えられる。一つはウイルス本体が自身を消去してしまうことだ。もう一つ,企業のサーバー管理者が感染したケースが多かったことも理由の一つに挙げられるだろう。彼らの口から「私のパソコンが感染していました」とは言いづらく,被害が表面化しなかった例もある。

 攻撃の特徴は二つ。Webページ改ざんによりウイルス感染を広げたことと,Adobe Reader(PDFファイル)やFlash Playerのぜい弱性を悪用したことである。アプリケーション・ソフトのぜい弱性を狙う点は,最近流行の攻撃と言える。Adobe Readerなどのぜい弱性を悪用したファイルを送り込んで,パスワード・スティーラに感染させ,そのユーザーが管理するWebサイトのFTPアカウント情報を奪取。盗み出したパスワードを使って,Web改ざんを繰り返し,そこからさらにJSRedir-Rの感染を広げていた。結果的に,攻撃を受けたWebサイト管理者が管理するWebサーバーが,JSRedir-Rの感染拡大に加担することになった。

 攻撃の流れを簡単に説明すると,次のようなになる(図1)。
(1)パスワード・スティーラにより,WebサイトのFTPアカウント情報を詐取
(2)FTPのアカウント情報の該当サーバーに不正ログイン
(3)Webコンテンツに悪意あるJavaScript(写真1)を挿入
(4)悪意あるJavaScriptがユーザーを悪性サイト(写真2)に誘導
(5)悪性サイトから,悪質なコードを含んだPDFファイル(写真3)などを送付し,パスワード・スティーラに感染

図1●JSRedir-R感染とWeb改ざん攻撃の流れ
[画像のクリックで拡大表示]

写真1●Webページに埋め込まれた不正なJavaScript
[画像のクリックで拡大表示]

写真2●悪性サイトに潜ませた悪質コード
[画像のクリックで拡大表示]

写真3●悪質なコードを含んだPDFファイル
写真3●悪質なコードを含んだPDFファイル

 今回利用されているパスワード・スティーラはws_32.dllをフックしているという。ws_32.dllを悪用すると,例えば通信が発生した場合だけキー入力を取得するように仕込むことができる。つまり,システムがデータを暗号化する前に情報を詐取しているということだ。このためSFTP(セキュアFTP)を利用していても,安全というわけではない。さらに,図1とは異なる攻撃パターンも確認されている。詐取される情報も,FTPのアカウント情報だけではなく,クレジットカード情報などの詐取も考えられる。このことから,今後の被害の拡大も懸念される。