ウェブ改ざんの脅威を理解する
ISOG-J主催セミナー「止まらない！ウェブ改ざんの実態と対策」

2013年8月22日
JPCERTコーディネーションセンター
竹田春樹

Agenda
状況確認

1 ウェブ改ざん状況
事象の確認

2 各改ざんの状況
被害の確認

3 誘導先(攻撃サイト)における被害影響範囲の推測

4 想定される被害
5 対策の検討まとめ

1Copyright©2013 JPCERT/CC All rights reserved.

JPCERT/CCとは一般社団法人JPCERTコーディネーションセンター（JPCERT/CC (ジェーピーサート・コーディネーションセンター)）Japan Computer Emergency Response Team Coordination Center— https://www.jpcert.or.jp/— サービス対象: 日本国内のインターネット利用者やセキュリティ管理担当者、ソフトウエア製品開発者等（主に、情報セキュリティ担当者）— コンピュータセキュリティインシデントへの対応、国内外にセンサをおいたインターネット定点観測、ソフトウエアや情報システム・制御システム機器等の脆弱性への対応などを通じ、セキュリティ向上を推進— インシデント対応をはじめとする、国際連携が必要なオペレーションや情報連携に関する、我が国の窓口となるCSIRT※各国に同様の窓口となる CSIRTが存在する(例えば、米国のUS-CERT,CERT/CC、中国のCNCERT, 韓国のKrCERT/CCなど)

経済産業省からの委託事業として、情報セキュリティ対策推進事業（不正アクセス行為等対策業務）を実施
2Copyright©2013 JPCERT/CC All rights reserved.

- JPCERT/CCをご存知ですか? -JPCERT/CCの活動
インシデント予防

脆弱性情報ハンドリング 未公開の脆弱性関連情報を製品開発者へ提供し、対応依頼
 関係機関と連携し、国際的に情報公開日を調整
 セキュアなコーディング手法の普及
 制御システムに関する脆弱性関連情報の適切な流通

インシデントの予測と捕捉発生したインシデントへの対応

情報収集・分析・発信 インシデントハンドリング
定点観測（ISDAS/TSUBAME）（インシデント対応調整支援）

 ネットワークトラフィック情報の収集分
 マルウエアの接続先等の攻撃関連サイ析
ト等の閉鎖等による被害最小化 セキュリティ上の脅威情報の収集、分析、  攻撃手法の分析支援による被害可能性必要とする組織への提供の確認、拡散抑止
ポートスキャン の上位 5 位を 表示
全セン サーのポートスキャン 合計 （単位：時間）
再発防止に向けた関係各関の情報交換
ポートスキャン の平均値 ＝30
セン サー合計
及び情報共有25（ICM Pは常に表示、o the rはその他合計）
ICM P

TCP 1 3 5

TCP 4 4 520

U DP 1 3 7

15

TCP 1 3 9
TCP 1 0 2 510

o th er50

1 2 /91 2 /1 0

1 2 /1 1

1 2 /1 2

1 2 /1 3

1 2 /1 4Da ta

早期警戒情報重要インフラ、重要情報インフラ事業者等の特定組織向け情報発信

CSIRT構築支援

海外のNational-CSIRTや企業内のセキュリティ対応組織の構築・運用支援

アーティファクト分析

マルウエア（不正プログラム）等の攻撃手法の分析、解析国際連携

各種業務を円滑に行うための海外関係機関との連携
3Copyright©2013 JPCERT/CC All rights reserved.

JPCERT/CC事業の沿革
1998年 1996年 コンピュータ緊急対応センター(JPCERT/CC)発足

2003年

FIRST *1 に日本初のメンバー加盟
APCERT*2 フォーラム発足,事務局担当
2004年
インターネット定点観測システム (ISDAS) 公開
脆弱性情報ハンドリング開始

2005年

早期警戒情報提供開始
FIRST 運営委員会、理事参加

2006年
アーティファクト分析の独立チーム化（分析センター）
総務省、経産省合同ボット対策事業(サイバークリーンセンター：2010年度まで)

2007年 CSIRT構築支援
NCA 発足*3

海外展開
2008年 TSUBAME
フィッシング対策協議会事務局
制御システムセキュリティ
タスクフォース
ITセキュリティ予防接種
実証実験
Secure Codingセミナ

2009年

2010年

ステルス型の標的型攻撃の脅威に関する調査・検討
アーティファクト分析に関する国内外の連携・支援強化
Stuxnetによる制御システムへの攻撃の公表

FIRST ： Forum of Incident Response and Security Teams)

4

日中韓情報セキュリティ
対応覚書調印
制御システム評価ツール
SSAT提供開始

Copyright©2013 JPCERT/CC All rights reserved.

2011年

ICSRの設置
サイバー攻撃解析協議会用
解析環境構築APTインシデント対応体制準備

2012年

APCERT：Asia Pacific Computer Emergency Response Team NCA ：日本シーサート協議会

ウェブ改ざん件数• 2013年2月以降、ウェブ改ざんに関する報告が増加• Gumblarの事例以上の件数の報告をいただく

カラーコード改ざん

Gumblarの事例

5

Copyright©2013 JPCERT/CC All rights reserved.

DarkLeechAgenda
状況確認

1 ウェブ改ざん状況
事象の確認

2 各改ざんの状況
被害の確認

3 誘導先(攻撃サイト)における被害影響範囲の推測

4 想定される被害
5 対策の検討まとめ6

Copyright©2013 JPCERT/CC All rights reserved.

ウェブ改ざん事例
改ざん事案

挿入箇所

誘導先

マルウエアの種類

counter.php

HTMLファイルの末尾

Neutrino Exploit Kit
Styx Exploit Kit

ダウンローダ”ded509”

HTML: </div> or </p>の後ろ
JS: 末尾RedKit Exploit Kit

ボット”0c0896”

HTML: </div> or </p>の後ろ
JS: 末尾Blackhole Exploit Kit

情報窃取”81a338”

HTML: </div> or </p>の後ろ

RedKit Exploit Kit

ボット”f82ce4”

HTML: PHPのコードとして挿入

調査中

調査中

特に不正なJavaScriptのコードと供に、6byteの文字列を付与した改ざん事例をカラーコード改ざんとして、注目し調査・分析を実施

7

Copyright©2013 JPCERT/CC All rights reserved.

カラーコード改ざんとは？
[名前の命名理由]
改ざん時に挿入されているコードに由来

ded5090c089681a338f82ce4??????

8Copyright©2013 JPCERT/CC All rights reserved.

”ded509”
 2013年4月頃から改ざんを確認
 改ざん箇所は、HTMLファイルでは</div> or </p> の後ろ、JSでは末尾に挿入
 挿入されるJavaScriptのコードは難読化されている
 誘導先はRedKit Exploit Kit

挿入されるコードのサンプル

デコードサンプル

9

Copyright©2013 JPCERT/CC All rights reserved.

”0c0896” -- Page 1
 2013年5月中旬頃から改ざんを確認 今回確認されている事象ではもっとも多く改ざんを確認している。
 “ded509”と挿入箇所は類似
 挿入されるJavaScriptのコードは難読化されている
 誘導先の攻撃ツールはBlackhole Exploit Kit

挿入されるコードのサンプル

10

Copyright©2013 JPCERT/CC All rights reserved.

”0c0896” -- Page 2

URLは複数のバリエーションを確認(esd.php、counter.php, dtd.php, clk.php, clicker.php, etc)

デコードサンプル

11

Copyright©2013 JPCERT/CC All rights reserved.

”81a338”
 2013年5月末頃から改ざんを確認
 他のColor改ざんと挿入箇所は類似
 挿入されるJavaScriptコードは難読化されていない 誘導先の攻撃ツールはRedKit Exploit Kit

挿入されるコードのサンプル

12

Copyright©2013 JPCERT/CC All rights reserved.

Agenda
状況確認

1 ウェブ改ざん状況
事象の確認

2 各改ざんの状況
被害の確認

3 誘導先(攻撃サイト)における被害影響範囲の推測

4 想定される被害
5 対策の検討まとめ

13

Copyright©2013 JPCERT/CC All rights reserved.

影響範囲- 脆弱性 -

改ざんサイトから誘導される攻撃サイトでは攻撃ツール(Exploit Kit)が悪用されているケースが多い[脆弱性]
Exploit Kit新しい脆弱性

Blackhole Exploit Kit

CVE-2013-2423

Redkit Exploit Kit

CVE-2013-2423

Styx Exploit Kit

CVE-2013-2423

これらの攻撃で悪用されている脆弱性は既知の脆弱性が悪用されるケースが非常に多い。

14

Copyright©2013 JPCERT/CC All rights reserved.

影響範囲- マルウエア -0c0896 の改ざんについては、情報窃取系のマルウエアに感染した可能性が高い# DarkLeechの事例でも同種のマルウエアが悪用[主な機能]• 情報窃取機能•[窃取対象]Webブラウザの認証情報• FTPクライアントの認証情報• メールクライアントの認証情報• 電子証明書(コードサイニング証明書)• ダウンローダ機能••
15

偽セキュリティソフトウエア
ZeuS系のマルウエア

Copyright©2013 JPCERT/CC All rights reserved.

感染するマルウエア (0c0896)
暗号化された状態で窃取した情報を送信[検知結果: 2013年6月7日時点]

16

TROJ_KRYPTIK.QKF

トレンドマイクロ

Packed.Generic.406

シマンテック

PWS-Zbot-FASM!4033F58A0F47

マカフィー

Trojan-PSW.Win32.Tepfer.jpwv

カスペルスキーPWS:Win32/Fareit.gen!C

マイクロソフトCopyright©2013 JPCERT/CC All rights reserved.

2013年5月に取得した検体をインターネットに接続しない環境でファイル自体のスキャンを実施した結果

Agenda
状況確認

1 ウェブ改ざん状況
事象の確認

2 各改ざんの状況
被害の確認

3 誘導先(攻撃サイト)における被害影響範囲の推測

4 想定される被害
5 対策の検討まとめ

17

Copyright©2013 JPCERT/CC All rights reserved.

想定される被害もしマルウエア感染することによって情報が窃取された場
合、どのような被害が想定されるか想像できますか？

Webサイトのログイン情報

FTPのログイン情報

メールのアカウント情報

18Copyright©2013 JPCERT/CC All rights reserved.

不正アクセスサイトコンテンツの改ざん
不正なファイルの設置

なりすましメール

Agenda
状況確認

1 ウェブ改ざん状況
事象の確認

2 各改ざんの状況
被害の確認

3 誘導先(攻撃サイト)における被害影響範囲の推測

4 想定される被害
5 対策の検討まとめ

19

Copyright©2013 JPCERT/CC All rights reserved.

対策について2013年7月以降、ウェブ改ざん事例は落ち着いてるように見えます。

攻撃対策
いまこのタイミングだからこそ、関係者が協力して根本的な対策を実施していく必要があります。
20

Copyright©2013 JPCERT/CC All rights reserved.

対策について - 状況把握の必要性 攻撃を「侵入」という切り口で考えた場合、協力して対応を行っていくのは？
窃取された情報により改ざんされてしまったら？

ユーザ

環境

コンテンツ作成

運用/保守

21

Copyright©2013 JPCERT/CC All rights reserved.

Webアプリケーションの脆弱性により改ざんされてしまったら？

構築[サーバ側]
OS、ミドルウエア、Webアプリ[クライアント側]
コンテンツ管理PC

対策について - 実施・検討すべき対策 ユーザ

使用する環境を最新の状態にする
ウイルス対策ソフトウエアを導入する

パスワードの使いまわしなどは避ける

管理者

サーバへの接続元の制限を行う

使用しているアプリケーション等を最新の状態にする
サイトコンテンツの定期的なチェック

サービス事業者などに必要に応じて相談する
22

Copyright©2013 JPCERT/CC All rights reserved.

まとめ
現在、表に見える改ざんの被害は落ち着きが見られます。
しかし、Web改ざんの被害は続いています。
※再度被害を受ける可能性も含め拡大

感染

改ざん

情報窃取

暫定的な対策ではなく、攻撃に落ち着きが見られる現段階において、関係者と協力をして対策を実施することで、将来発生する攻撃への対策に繋げることができます。
23

Copyright©2013 JPCERT/CC All rights reserved.

お問い合わせ先JPCERT Coordination Center—Email: office@jpcert.or.jp—Tel: +81-3-3518-4600—Web: https://www.jpcert.or.jp/english/

Incident Reports—Email: info@jpcert.or.jp— Web: https://www.jpcert.or.jp/english/ir/form.html

24

Copyright©2013 JPCERT/CC All rights reserved.

24