わずか2週間で、電子商取引のWebページを狙ったマルウェアの注入により、感染ページが9万ページから600万ページ以上に膨れ上がった。
サンフランシスコのウェブアプリケーションセキュリティプロバイダーArmorizeによると、「willysy」と呼ばれるこのマルウェアは、人気のオンライン商取引プラットフォームosCommerceの脆弱性を悪用するとのこと。
同社が7月24日に最初にインジェクションを報告した際、感染ページは9万ページに達した。8月3日にマルウェアを再度調査したところ、インジェクションが約630万ページに拡散していたことが判明した。
Armorize 社はマルウェアによる攻撃の実行者の身元を特定できなかったが、侵入経路を 8 つの IP アドレスまで追跡した。これらはすべてウクライナにある。
Armorizeは、今回の攻撃はosCommerceバージョン2.2に存在する3つの既知の脆弱性を悪用するものだと説明しました。これらの脆弱性を悪用することで、攻撃者はページに目に見えないフレーム（iFrame）を配置し、悪意のあるコード（JavaScript）をページに挿入することで、オンラインストアの訪問者に感染させることができます。
感染が消費者のコンピュータに到達すると、Java、Adobe Reader、Windows Help Center、Internet Explorerの脆弱性を狙うようになります。これらのプログラムの脆弱性は既知であり、すでに修正プログラムがリリースされていますが、攻撃者はユーザーがすべてのプログラムに修正プログラムを適用していないと見込んでいます。
osCommerce自体の脆弱性を突く攻撃は、ショッピングサイト側のパッチ管理の甘さに大きく依存しています。攻撃者が利用したプログラムの脆弱性は、昨年11月にリリースされたバージョン2.3で修正済みです。その後、バージョン2.3.1と3.0.1の2つのバージョンがリリースされています。
osCommerce によれば、このオープンソース ソフトウェアは約 249,000 人のストア所有者、開発者、サービス プロバイダー、愛好家によって使用されています。
Armorize によって発見されたような攻撃は、特に中小企業 (SMB) に悪影響を及ぼす可能性があると、元ガートナー社のアナリストで、レキシントンのファイル転送セキュリティ企業 Ipswitch のグローバル戦略担当副社長であるフランク・ケニー氏は主張する。
これらの企業は通常、大企業のような資金力を持たないため、osCommerceのようなオープンソースプログラムに魅力を感じ、業務に市販ソフトウェアを使用しています。「市販ソフトウェアを使用する場合は、データの問題やあらゆる種類のセキュリティ脆弱性が存在することを理解する必要があります」と彼はPC Worldに語っています。
市販ソフトウェアのメーカーは頻繁にプログラムにパッチを当てているものの、企業は適切なパッチ適用を確実に行うためのリソースに投資する必要があると彼は続けた。「そのためには多額の資本支出が必要となり、中小企業はそれに対応しようとしない、あるいは余裕がないのです」と彼は言う。
このような注意不足は、長期的には企業に悪影響を及ぼす可能性があると彼は説明した。セキュリティ侵害はクレジットカード会社の精査を招く可能性があるからだ。クレジットカード会社は、企業が財務的、時間的、リソース的な観点から達成不可能な一定レベルのセキュリティコンプライアンスを示すまで、サービスの利用を拒否する可能性がある。
それは中小企業にとって悲惨な結果をもたらすだろうと彼は主張する。「カード処理能力こそが、中小企業や家族経営のチェーン店にとって、今日営業していても明日閉店してしまうかの違いなのです」と彼は言う。
