http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

日本セキュリティオペレーション事業者協議会「ウェブ改ざんの実態と対策セミナー」

ウェブ改ざんの観測状況とその概要
警察庁情報通信局情報技術解析課
サイバーテロ対策技術室

1

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

参考
参考：観測業務について
観測業務について正常ではない通信の観測

インターネット定点観測

CFC

警察のセンサーに到達するパケットの観測（H14～）
・通信先（ポート別）攻撃対象の把握・通信元（国別）攻撃元の把握

大規模なサイバー攻撃の早期検知
2

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

講演次第• 改ざん事案の推移
ざ 事推
• 事例
• 閲覧後のメカニズム• ZeuS/Zbotについて• 対策の概要3http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ウェブサイトの改ざん事案の推移（平成25年）4http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ウェブサイトの改ざん事案の推移
20
181614121086
420

その他改ざん
ファイル蔵置難読化javaScript
ififrameタグの挿入
タグの挿入

5

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/事例（フェ ズごとの事例）（フェーズごとの事例）

6

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

ファイル蔵置の事例
ファイル蔵置
社会的、政治的なメッセージ性の高い画像ファイルやテキストファイルが、サー画像 ァキァ
、バに蔵置されていた事案が多かった

20
15
10
507

http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ファイル蔵置の事例• 平成25年１月~２月に多く観測されたファイル蔵置の事例
成 年 月 月 多く観測された
イ 蔵置 事例8

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

ウェブサイトの改ざん（その他の改ざん）の事例
改ざん（その他の改ざん）「285件ウェブサイトがDarkleech
Apache Moduleに感染。IEでアクセスするとマルウェア感染サイトに転送される。」（0day.jp)

20
15
10
509

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

Darkleechのしくみ
改ざんウェブサイト

閲覧者ＰＣ

アクセス

Darkleechに感染＋

誘導
ウェブページの送付<iframe src= “http://（中略）/q.php>
Darkleechに感染したサーバソフトが悪意のあるサ バに誘導するためのタグを挿のあるサーバに誘導するためのタグを挿入し閲覧者に回答する。

誘導先ウェブサイト
10http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ウェブサイト改ざん（その他の改ざん）
• 参考考

11

http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ウェブページの改ざんの事例
改ざん
ウェブページにiframeタグあるいは難読化されたJavaScriptが不正に挿
難読化され
p 不挿
入されていた
20
15
10
5012

http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

挿入された難読化されたJavaScript
d21vd12v

0c089613

http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

挿入された不正なiframeタグ

・ 誘導先のウェブサーバ ：xxxx.yyy.au （オーストラリア）
・ 実行されるスクリプト ：counter.php

14http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ウェブページ改ざん事案の特徴• 外見上変化がないが閲覧者は 気づくことなく悪意あるウェブサイ• 閲覧者は、気づくことなく悪意あるウェブサイ
トに誘導される。
• 誘導されると不正プログラムに感染する可能誘導されると不 プ グ ムに感染する可能性がある。

15

http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

改ざんされたウェブサイトを閲覧閲覧した後のメカニズム後16

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

ウェブサイトを閲覧しただけで感染する不正プログラムウ ブを 覧 ただ感染する
プ グ
攻撃者

Darkleechに感染

改ざんウェブサイト②

誘導先ウェブサイト

ウェブページを改ざん① 改ざんされたウェブサイトを閲覧する。
② 誘導先ウェブサイトに誘導する。

①③③ 不正プログラムがダウンロードされる。
不正プログラムがダウンロ ドされる•

閲覧者のPCにインストールされているブラウザやプラグインのバージョンをチェックする。

•

バージョンに対応した脆弱性を突くファイルをダウンロードし実行する。

•脆弱性を突くことに成功すると不正プログラ
ムをダウンロードし実行する。

④ 不正プログラムにより、銀行等の認証情報窃取やDDoS攻撃等を行う。

④
閲覧者ＰＣ
17

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

感染する不正プログラム• ZeuS/Zbot・Citadel
Z S/Zb t Cit d l– ネットバンキングでの口座番号、パスワード等認証情報が窃取される報が窃取される。

• FakeAV（偽のウイルス対策ソフト）– ウイルス感染を警告し、偽のウイルス対策ソフトを購入させられる• Nymaim– コンピュータが使えない状態にされ、300ドルの身代金を要求される。
金を要求される• etc.
18

http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ZeuS/Zbotについて19http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

通常のログイン画面

20http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

ZeuS/Zbotに感染すると21

http://www.npa.go.jp/cyberpolice/

警察庁情報技術解析課

対策の概要

22

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

対策
改ざんウェブサイト

誘導先ウェブサイト②
攻撃者

ウェブサイトを改ざん①③

Ⅰ.サーバにおける対策④
Ⅱ
Ⅱ.パソコンにおける対策閲覧者ＰＣ23

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

基本となる対策
Ⅰ.サーバにおける対策– ウェブページ改ざんの早期発見
ウェブペ ジ改ざんの早期発見– CMSの管理– FTPアカウントの適切な管理– ウェブページ管理用端末の管理

Ⅱ. パソコンにおける対策– 基本的なパソコンの感染防止– 感染時の対応
24

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

Ⅰ.サーバにおける対策• ウェブページ改ざんの早期発見
ウ ブペ ジ改ざんの早期発見– 改ざんチェックサービス– サーバ・コンテンツ運用管理会社に委託– サイト管理者（自営）• Tripwire等専用ソフトウェアを活用• 改ざんを発見したら– ウェブページの公開を停止– 原因を究明– 対策を検討・実施– 改ざん事実の告知
25

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

Ⅰ.サーバにおける対策• CMS※の管理– CMSの利用の有無を確認
CMSを最新版にする– CMSを最新版にする。
※CMSとはコンテンツ管理システムのことで、WordpressやJoomla!等がある。

• FTPアカウントの適切な管理– 不要なアカウントの削除– パスワードの適切な管理– FTPログ等の定期的な監査– ファイヤーウォール等によるフィルタリング• ウェブページ管理用端末の管理
ウ ブペ ジ管理用端末の管理– 不正プログラム感染防止のためウェブページ管理用端末
からの他サイト のアクセスを制限からの他サイトへのアクセスを制限
26

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

Ⅱ.パソコンの感染防止• ウェブブラウザを最新バージョンに保つ
ウ ブブラウザを最新バ ジョンに保つ• IE(Internet Explorer)• FireFoxe o• etc.

• ウェブブラウザのプラグインを最新バージョンに保つ• Adobe Flash Player• Adobe Reader 及び Adobe Acrobat• Oracle Java• etc.

• OSは更新プログラムを適用する
注） Windows XPのサポート終了（２０１４．４．８）• ウイルス対策ソフトを導入– 定義ファイルを最新版に保つ
27

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

Ⅱ.パソコンの感染防止• 感染したら– LAN等回線から切り離すず– 電源を切らずに、そのままの状態を保持– 連絡・相談• 情報セキュリティ等担当者へ連絡
情報セキ リテ 等担当者 連絡• コンピュータウイルス110番等へ相談• 【参考】相談先• コンピュータウイルス110番（IPA）
03-5978-7509• 具体的な被害相談あるいは被害が深刻な場合
都道府県警察サイバ 犯罪相談窓口
都道府県警察サイバー犯罪相談窓口
28

警察庁情報技術解析課

http://www.npa.go.jp/cyberpolice/

おわり
おわ29