天気のバナーに隠されたマルウェア

 

最近、Webサイトに挿入された無料の天気バナーからマルウェアが流布され、ユーザーの注意が促された。

アクセスしたWebサイトが正常であっても、ハッキングされたバナーを通じてマルウェアに感染する可能性がある。

 

このようなマルウェアの拡散方法は、1ヶ所のWebサイトをハッキングするだけで、同じバナーを使用するすべてのWebサイトにマルウェアを拡散させることができる。

 

[図1]Webサイトに挿入された天気バナー広告

 

 

無料の天気バナーは、以下のようなバナー等を提供しており、簡単に個人のブログやWebサイト等へ設置することが可能である。

 

[図2]天気バナー広告

 

 

［図3］は、天気のバナーに挿入された悪性スクリプトを示す。

 

[図3]バナーに挿入された悪性スクリプト

 

 

「baner.js」ファイルにエンコードされた部分を解析してみると、以下のようなURL情報が確認できる。

 

[図4] 「baners.js」デコード

 

 

このWebページは、ゴンダパック（Gongda pack）ツールキットで、内部のコードが難読化されている。

 

[図5]不正なHTMLファイル

 

 

難読なコードを解除すると、JAVA脆弱性に関連するコードやマルウェアを流布するURLを確認することができる。

 

[図6]難読化解除

 

 

マルウェア（1.exe）に感染すると、次のようなファイルが生成される。

 

[図7]ファイルの作成について

 

 

このマルウェアは「bankiマルウェア」で、通常の金融機関サイトのアドレスを入力しても、マルウェア作成者が設定したファーミングサイトへアクセスするように構成されている。

 

[図8]ファイル生成情報

 

 

 

AhnLabのV3製品群では、次のように検知・駆除することが可能である。

 

Trojan/Win32.Banki（2013.07.08.01）
Java/ Exploit（2013.07.05.05）
JS/ Iframe（2013.07.05.05）
 

 

 

※　本レポートは、アンラボコリアより発表された内容を翻訳したものです。