Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

IEゼロデイ攻撃は国内20組織限定の「水飲み場攻撃」 - 低露出と未知の攻撃で発覚まで時間稼ぎ

8月以降発生していた「Internet Explorer」における未解決の脆弱性を悪用した標的型のゼロデイ攻撃について、具体的な内容が徐々に明らかになってきた。特定の組織に対して効果的にマルウェアを送り込む巧妙な攻撃だった。

20131010_la_001.jpg
説明を行ったラックの西本氏

ゼロデイ攻撃に悪用された脆弱性「CVE-2013-3893」を最初に検知し、マイクロソフトに報告したラックが、報道関係者向けに実施した記者説明会で、その一部詳細について解説したもの。

今回の攻撃では、8月後半より、特定分野の関係者からアクセスが多い複数のウェブサイトで改ざんが発生。改ざんされたサイトを特定の環境で閲覧すると「IE」がクラッシュし、その背後でコードが実行され、情報漏洩の原因となるマルウェアに感染するおそれがあった。

改ざんサイトの閲覧をきっかけにマルウェアへ感染する点では、従来のドライブバイダウンロード攻撃と同様だが、特定の組織を未解決の脆弱性を用いて狙っていた点が異なる。説明会で登壇した同社取締役兼最高技術責任者の西本逸郎氏は、今回の攻撃について「おそらく日本で最初の『水飲み場攻撃』」であると紹介した。

「水飲み場攻撃」は、オアシスに水を求めて集まる多くの動物のなかから、特定の種類を捕食対象として待ち伏せ、狩りを行う肉食動物になぞられて海外で命名された「攻撃手法」。攻撃者の捕食対象ではない動物は、同じオアシスを訪れても、まったく影響を受けないのが特徴だという。

今回の攻撃では、改ざんされたサイトのサーバサイドのスクリプトに、20種類のIPアドレスを指定するコードが存在。これらIPアドレスを発信元とする場合のみ、脆弱性攻撃を実施していた。またIEのバージョン、言語などによって動作を変更する機能も備えている。

同社は、攻撃対象のIPアドレスや改ざん被害が発生したサイトの具体的な名称について言及を避けたが、重要インフラに関連する複数の中央官庁や企業が対象だったことを明らかにした。これら組織以外の閲覧者にはまったく影響なく、セキュリティベンダーはもちろん、外部から改ざんを検知するサービスなどを普段から利用していても、改ざんに気が付くことができない状態だった。

「水飲み場攻撃」では、攻撃対象を限定し、露出を低く抑えることが、発覚を遅らせるひとつのテクニックとなっているが、さらに未知の脆弱性やマルウェアを組み合わせることで高い相乗効果を生み、ゼロデイ攻撃が成立する期間をより長くしているのも特徴だった。

20131010_la_002.jpg
今回の攻撃の特徴

(武山知裕/Security NEXT - 2013/10/10 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

MS、「Microsoft Edge 103.0.1264.49」を公開 - ゼロデイ脆弱性に対処
先週注目された記事(2024年3月10日〜2024年3月16日)
ランサムリークサイト、年間約4000件の投稿 - 身代金支払うも約2割で反古
先週注目された記事(2024年3月3日〜2024年3月9日)
Apple、Macやスマデバのアップデート公開 - ゼロデイ脆弱性を解消
「iOS」「iPadOS」のゼロデイ脆弱性について注意喚起 - 米当局
2月修正のWindows脆弱性、北朝鮮グループがゼロデイ攻撃に悪用
Ivanti、「外部整合性チェックツールICT」の機能強化版を公開
IvantiのVPN製品脆弱性、限定的な攻撃から多様な攻撃へと発展
米当局、「Cisco ASA」など悪用が確認された脆弱性4件について注意喚起