2414件となっていました。アクセス数推移これは、トレンドマイクロで改ざんサイトの増加を確認したタイミングと一致するものと言えます。6月4日の時点では以前の水準に戻っており、このアクセス推移からは、今回のケースでは改ざん攻撃が開始されてから早い段階で被害の拡大を防げたことが推測できます。3月のケースとの明確な相違点としては、Web改ざんの方法が挙げられます。3月ケースでは、Linux上のApacheサーバを標的とする、「Darkleech」による改ざんが確認されています。「Darkleech」による改ざんは、Webサーバ上のhtmlファイルなど静的コンテンツの改変を伴いません。改ざんを行うための侵入手法としては、Linux上のWeb管理ツールの脆弱性への攻撃や、FTPサーバのアカウント乗っ取りなどがあったことが、JPCERTの調査などによりわかっています。Webコンテンツへの不正スクリプト挿入であり、静的コンテンツの改変を伴わない「Darkleech」でないことは明らかです。IISサーバを利用していました。Web管理ツールの脆弱性ではないと判断できます。2009年に登場した「Gumblar攻撃」を想起させます。Web改ざん攻撃での攻撃者の目的は何でしょうか。結論から言うと、現在のところ断定できていません。トレンドマイクロで確認した脆弱性攻撃ファイル(エクスプロイト)「TROJ_PIDIEF.MT」などが、脆弱性攻撃後にダウンロードするファイルは、調査時点では実行されない実行ファイル(拡張子EXE)となっており、活動内容が確認できないためです。ファイルがダウンロードされますが、現時点でこれらのファイルの内容は実行できないジャンクコードとなっています。Gumblar攻撃においても、最終的には「偽セキュリティソフト」や「オンライン銀行詐欺ツール」のような金銭目的の攻撃に連鎖していたことが確認されています。それらの前例から考え、今回も同様の目的がある可能性を推測していますが、実際にダウンロードされるファイルが実行不可のために断定ができない状況です。解析チームでは、まだ攻撃のテスト段階でダミーファイルが置かれていた、もしくは、セキュリティベンダーの追及をかわすためにわざと無害なファイルに置き換えられていた可能性を推測しています。今後、また有効な不正プログラムに置き換えられ、本格的な攻撃へ移行する可能性はあります。Webレピュテーション機能によってブロックすることができますす。Web管理者の観点では、今後も同様の改ざん攻撃を受ける危険性が常に存在するものと言えます。Web改ざん被害の2大原因であることを指摘しています。FTPサーバのアカウント乗っ取りへの注意を高めるべきと考えています。観測されているようなブルートフォース攻撃に関しては、ログの監視により試行の段階で気づき、対処することが可能です。攻撃の試行や侵入に少しでも早く気づけるよう、監視により普段と異なるネットワーク内やサーバの挙動を可視化できる体制の構築が重要です。中国の高校のWebページを狙った脆弱性「CVE-2012-1889」CMSの脆弱性を悪用するスパムボット「Stealrat」による感染を確認するには?。