夏休み、ユーザーの旅行費用を狙え

脆弱な旅行会社のWebサイトへ挿入され、ユーザーの個人情報を盗むマルウェアを分析したレポートです。

=================================================

8月には会社員が待ちに待った夏休みがある時期である。

夏休みを迎え、韓国国内だけでなく、海外の有名観光地への旅行を計画する人々も多くいる。その際、直接情報を収集して旅に出ることもあるが、その多くは旅行会社のWebサイトを通じて旅先に関連する商品を選択し、代金を支払うことが多い。

旅行会社サイトへのアクセスが多い事から、この様な旅行会社のWebサイトへマルウェアが挿入される事態が発生している。小規模な旅行会社が多い事から、Webサイトへのセキュリティ対策に注力されていないため、旅行会社のWebサイトへアクセスするユーザーはマルウェアの脅威を受ける可能性が多い事も大きな問題だ。
マルウェアの製作者は、ユーザーのアクセスが多い脆弱なサイトを主な攻撃対象としており、数年前に、中国において各国のアクセス統計情報サイトを監視し、アクセス率が高いサイトだけを選別してマルウェアを配布したことをメディアを通じて明らかになった。

[図1]インターネットサイトへのアクセス統計情報を提供する中国サイト - 51YES

今回マルウェアが流布された旅行会社のWebサイトにて以下のファイルがダウンロードされ、そのファイルよりアクセス統計を提供する中国の特定WebサイトのURL情報を確認することができた。

=>http:/ xiangnian.html
<script language=javascript src=http://count38.51yes.com/click.aspx?id=388570138&logo=1 charset=gb2312> </ script>

[図2]マルウェアが挿入された旅行会社のWebサイト

ユーザーが上記のような旅行会社のWebサイトへアクセスした際、挿入されたマルウェアが自動的にユーザーのコンピュータにダウンロードされ、マルウェアに感染する。

=>http://www.**to*r.co.kr 
http:/ server.exe
http://6*2*1*7.2*/238.exe

まず、「server.exe」ファイルは、下記のように「c:\windows\59378472\svchsot.exe」を作成する。その後、タスクマネージャにファイルを登録し、指定した時間ごとにそのマルウェアが自動的に実行される。

[図3] 「server.exe」が生成するマルウェア

さらに、ダウンロードされた「238.exe」はユーザーの財務情報を得るためのマルウェアで、感染時に「hosts.ics」ファイルを作成し、マルウェアの製作者が製作したファーミング(※1)サイトへのユーザーアクセスを誘導する。

[図4]生成された「hosts.ics」ファイルがファーミングサイトへ誘導

このようなファーミングサイトは現在ブロックされているが、未だに多くの亜種がファーミングサイトのIPアドレスを変更して製作されており、ユーザーの金融情報を守るための注意が促されている。

※１ファーミング
インターネットを利用した詐欺の手口の1つ。金融機関や企業などの正規のウェブサイトであることを装った偽のウェブサイトに誘導し、暗証番号・パスワード・クレジットカード番号などの個人情報を詐取すること。

アンラボのV3製品群では、次のように検知・駆除することが可能である。

Trojan/Win32.Qhost（2013.08.06.00）
Win-Trojan/Agent.93696.FE（2013.08.02.05）

※　本レポートは、アンラボコリアより発表された内容を翻訳したものです。