EK)」を介して拡散するマルウェア「PurpleFox」について取り上げました。EK)」と名付けられました。EKの活動が急増していることを捉えました。以下に、強化された点を、一部紹介します。完全に暗号化されたランディングページ偽装リダイレクトCloudflareは、コンテンツデリバリーネットワークやインターネットセキュリティサービスを提供する米国企業です。このようなクラウド関連の正規サービスが、サイバー犯罪者に悪用される事例は後を絶ちません。EKによる悪用の通知を受けると、即刻通信遮断のためのアクションを実行しました。EKのサイトへのアクセスはすべてシャットダウンされました。EKの脆弱性攻撃サイトへの通信を示しています。domain}/?key=700D5E232DF5AA21」にリダイレクトされました。以下の図2は、完全なブラウザセッションを示しています。図2:ブラウザセッションを介したリダイレクトここで使用されるドメインは通常、HTTPS経由でアクセス可能なCloudflareのフロントエンドを示します。EKはCloudflareを利用して、デフォルトでHTTPS通信を実現しているということです。Pランディングページは、HTTPSによる完全な暗号化に加え、コンテンツの難読化も施されています。図4:暗号化および難読化されたランディングページ上述の図4では、復号化を実行する外部のJavaScript(JS)ライブラリへの参照が行われています。暗号化されたエクスプロイトコンテンツも含まれています。この参照された外部ライブラリは、一般に公開されており、多くのWebサイトで広範的に使用されている人気のJSライブラリです。この特定のセクションでは、対象のユーザをGoogle検索エンジンにリダイレクトします。この挙動は、これまでに確認されたことのない動作です。以下の図から分かるように、復号の流れは単純なものとなっています。図5:難読化されたEKサイトコンテンツの複号の流れランディングページには、脆弱性「CVE-2019-1367」を悪用するのに必要な「Jscript.Encode」セクションが存在します。このセクションでは、上記の流れにより難読化されたエクスプロイトコンテンツ変数を復号し、実行します。Foxは、正規サービスを悪用してHTTPS経由でランディングページを拡散する最新の脆弱性攻撃ツール(エクスプロイトキット、EK)に進化しています。暗号化されたランディングページの使用はエクスプロイトキットにおいては目新しいものではありません。Cloudflareのようなパブリッククラウドを悪用する手口も、現在のサイバー犯罪の1つの傾向となっています。一方で、エクスプロイトキットを使用した攻撃で上述のようなページを利用すると、多くの既存の保護を回避可能にします。■被害に遭わないためには今回解析した検体から分かるように、PurpleFoxは既存の脆弱性を利用した攻撃を行います。脆弱性は攻撃者にとって攻撃のインフラとなっていますが、対象となっているOSやアプリケーションのアップデートやパッチ等により修正することでふさぐことができます。個人にとっても法人にとっても脆弱性対策はとても重要です。個人利用者においては、OSやソフトウェアのアップデートを欠かさず行い、最新バージョンの使用を保ってください。Explorerは既に古いソフトになっています。インターネットのWeb閲覧の際には、Edge、もしくはサードパーティ製のChrome、Firefoxなどの最新ブラウザを利用してください。法人利用者において脆弱性対策とは、計画的なパッチ適用だけではなく、適用できない期間に脆弱性の影響を回避する代替手段を考慮することも必要不可欠です。トレンドマイクロでは、オンラインインフラストラクチャを保護するために、多層防御を講じることを推奨します。本記事で紹介した脅威を防ぐために、以下のベストプラクティスを採用することが可能です。OneTM」や「ウイルスバスターTMビジネスセキュリティサービス」では、複数の対策技術による多層防御により本記事で紹介したような脅威からユーザと企業を保護します。Webサイトの安全性をページ単位で評価する「Webレピュテーション(WRS)」機能では、EKを含む不正サイトへのアクセスをブロックします。「不正スクリプト対策」機能により、Webサイトに埋め込まれたプログラムコードを解析し、脆弱性を突いた攻撃を行うような危険なコードの実行をブロックします。EKの脆弱性攻撃により侵入するマルウェアに対しても、機械学習型スキャン、不正変更監視を含む複数の技術により検出し活動をブロックします。Compromise、IoCs)は、こちらを参照してください。Fox」の検出回避手法Windows標準機能WMIを利用するファイルレス仮想通貨発掘マルウェア「GhostMiner。