大手ウェブサイト上の悪質な広告がランサムウェアにつながる

シスコシステムズは、ディズニー、フェイスブック、ガーディアン紙などのドメイン上の悪質な広告が、身代金が支払われるまでコンピューターのファイルを暗号化するマルウェアに人々を誘導していることを発見した。

この発見は、テクノロジー企業と米国の法執行機関が協力して、オンラインバンキングのマルウェアや、昨年急増した非常に利益率の高い詐欺であるいわゆる「ランサムウェア」を配布するボットネットを閉鎖する大規模な作戦を開始した直後に発表された。

シスコの調査により、多数のコンピュータをランサムウェアに感染させる技術的に複雑かつ非常に効果的な方法が解明され、同社はブログで詳細を説明した。

「これは本当に陰険だ」と、元シークレットサービスのエージェントで現在はシスコの脅威調査分析部門の技術リーダーを務めるレヴィ・ガンダート氏は金曜日の電話インタビューで語った。

シスコは、顧客のウェブ閲覧状況を監視し、悪意のあるドメインへの閲覧が疑われる場合に報告するクラウド・ウェブ・セキュリティ（CWS）という製品を提供しています。ガンダート氏によると、CWSは1日に数十億件ものウェブページリクエストを監視しています。

同社は、CWS 顧客の 17% 以上に対して、90 のドメイン (その多くは WordPress サイト) へのリクエストをブロックしていることに気付いたという。

さらに調査を進めると、CWS ユーザーの多くは、「apps.facebook.com」「awkwardfamilyphotos.com」「theguardian.co.uk」「go.com」（ディズニー所有）など、アクセス数の多いドメインで広告を見た後に、これらのドメインにたどり着いていたことが判明しました。

しかし、これらのドメインに表示される一部の広告は改ざんされており、クリックすると90のドメインのいずれかにリダイレクトされるようになっていた。

マルバタイジングの問題

「マルバタイジング」と呼ばれるこの攻撃手法は、長年問題となってきました。広告ネットワークは、自社のネットワーク上に掲載される悪質な広告を検出するための対策を講じてきましたが、セキュリティチェックは万全ではありません。

時折、悪質な広告が紛れ込み、ネットワークやその関連会社に登録している多数のウェブサイトに表示されることがあります。広告が表示されるウェブサイトは、悪用されていることに気づいていないことが多いのです。

「マルバタイジングが深刻な問題であることを示しています」とガンダート氏は述べた。「人々はティア1のウェブサイトにアクセスする際、そこは信頼できる場所だと期待しますが、サードパーティの外部リンクが多すぎるため、実際にはそうではありません。」

ガンダート氏によると、悪質な広告がトラフィックを誘導していた90のドメインもハッキングされていたという。WordPressサイトの場合、攻撃者はブルートフォース攻撃（ログイン認証情報の推測）を用いてサイトのコントロールパネルにアクセスしたようだ。その後、「Rig」と呼ばれるエクスプロイトキットが挿入され、被害者のコンピュータが攻撃されたとガンダート氏は述べた。

Rigエクスプロイトキットの仕組み

暗号壁 — シスコは、Cryptowallと呼ばれるランサムウェアプログラムを使用した非常に効果的な攻撃と、主要ウェブサイトに埋め込まれた悪質な広告との関連性を明らかにしました。（クリックして拡大）

Kahu Securityが4月に初めて発見したRigエクスプロイトキットは、ユーザーがパッチ未適用のFlash、Java、またはマルチメディアプログラムSilverlightを実行しているかどうかを確認します。誰かのコンピューターにパッチが適用されていない場合、「即座に攻撃を受ける」とGundert氏は述べています。

攻撃の次の段階では、「Cryptowall」と呼ばれるランサムウェアプログラムがインストールされます。これは悪名高いマルウェア「Cryptolocker」の類似品です。このプログラムはユーザーのファイルを暗号化し、身代金を要求します。この攻撃の巧妙さを示すもう一つの兆候として、身代金を支払うためのウェブサイトはThe Onion Router（TORネットワーク）を利用した隠しウェブサイトとなっています。

TORで隠されたウェブサイトにアクセスするには、TORがインストールされている必要があります。Cryptowallはインストール方法について分かりやすく解説しています。身代金の支払いを遅らせると、時間の経過とともに身代金が増額されます。

TORの使用と技術的に複雑な攻撃チェーンのため、シスコはまだ攻撃の背後にいるグループを特定できていない。

ガンダート氏は、マルバタイジング、トラフィックリダイレクト、エクスプロイト作成、ランサムウェア攻撃など、異なるスキルを持つ複数のグループや人物が協力している可能性が高いと述べた。

「脅威の主体がこれらすべてを独自に組み合わせる可能性もありますが、この攻撃チェーンには非常に多くの異なる専門分野が関わっています」と彼は述べた。