最近の攻撃に利用された改ざんサイト

5月中旬以降、春先から大量に観測されていた一般サイトを改ざんしてリダイレクタ「xxx.html」を設置して、マルウェア感染や広告サイトに誘導するタイプの攻撃がやっと弱まっているようです。

この攻撃の基本的な原理は去年

「盗まれたアカウント情報の行方」

に書いた以下の図と同じ。

こんな場合も。

要は、トリガーとなる誘導に利用するためにspamメールの文中に書き込んだりして晒されるURLは、特別なものではなく改ざんされた一般のサイトのURLを利用し、調べても攻撃者の正体がわからないとか、一般サイトなので対策をうたれにくくしたりとか、対策をうたれたとしてもいくらでも代わりが準備できるような形になっています。

で、この改ざんサイトというのがインジェクションやいろいろなアカウント情報を盗まれたうえで改ざんされているのですが、最近はWordpressを利用しているサーバーのアカウントがのっとられている例が非常に多かったという状況です。

とりあえず文面にさらされた改ざんサイトはここ3ヶ月で3483サイト。

サイトの設置場所を国別に見るとこんなグラフになります。

48.55%がUSです。

とりあえずASで分類。

ユーザーの端末とかサーバーではなく、ホスティングサービスが改ざん対象となる例が圧倒的に多いのですが、その状況が見えますかね？

日本は5サイトでした。

ただ４月の攻撃例では二段目以降の攻撃本体サイトとして日本国内のサービスも利用されていまいした。

基本的に簡単に利用できるホスティングサービスがやられちゃってる例が多いわけです。簡単だからゆえにセキュリティ対策も甘いということにはならないように、サイト管理はしっかりしないとだめですね。

攻撃に利用されていたドメインのほとんどがNXDOMAINとなっていますので、攻撃は一段落したということでしょうかね？

ただ、このパターン４年間繰り返されつづけているわけで、改ざん用のアカウントの収集とか準備が整ったら再開されるのでしょう。

[カテゴリ:spam観察日記]

by jyake