ユーザーPCを支配するGodMode攻撃
本レポートは、アンラボコリアより発表された内容を翻訳したものです。
----------------------------------------------------------------------------------------------
最近、Internet Explorer(以下、IE)環境で発生する「OLE(Object Linking and Embedding)オートメーション配列リモートコード実行の脆弱性〈CVE-2014-6332〉」を利用した攻撃が急増している。Windows 95以上のOSバージョンとIE 3以上のWebブラウザが当該脆弱性の影響を受けるため、被害の発生範囲はかなり広い。さらに、最近、当該脆弱性を利用した攻撃コードが公開され、具体的な攻撃事例が急増している。韓国では、2014年11月に映画チケット予約サイトや旅行サイト、オンライン書店などが当該脆弱性による攻撃を受けた。
CVE-2014-6332脆弱性は、Windows OLE(Object Linking and Embedding)オートメーション配列リモートコード実行の脆弱性であり、IEがOLEオブジェクトを処理する過程でリモートでコードを実行する脆弱性である。攻撃者は、当該脆弱性を利用してユーザーシステムから許可されていないメモリオブジェクトにアクセスすることができる。また、正常なWebサイトを攻撃し、攻撃されたサイトに接続したユーザーを悪性Webサイトに誘導することも可能である。
悪性ページへの誘導
CVE-2014-6332脆弱性による韓国での攻撃事例においても、攻撃者は、Webページ内に悪性スクリプトを挿入してユーザーを脆弱性ランディングページに誘導している。脆弱性ランディングページとは、攻撃コード(Exploit Code)で構成されたページであり、攻撃者はこの脆弱性ランディングページにユーザーを誘導する。攻撃者は、ランディングページに接続したユーザーPCにインストールされているWebブラウザやJava、Adobe Flash Playerなどのバージョン情報を確認し、各バージョンに該当する攻撃コードをリモートで実行する。
[図 1] IE脆弱性を利用した攻撃フロー
韓国の映画チケット予約サイト、旅行サイト、オンライン書店サイトを狙った攻撃事例に使用されたランディングページは、ユーザーが攻撃されたサイトを通じてランディングページに接続すると、ユーザーPCにIEがインストールされているかどうかを確認し、CVE-2014-6332脆弱性を利用して攻撃コードが実行されるように構成されていた。
基本的にIEは、特定の条件が満たされた際にのみVBScriptを実行するように制限されている。すなわち、VBScriptを実行する前にCOleScriptオブジェクト内のセーフモードプラグを参照してVBScript実行の有無を決定するのである。ほとんどにセーフモードプラグが設定されているため、VBScriptの不要な実行を防止することができる。
攻撃者がセーフモードプラグを変更できるようになると、IEでVBScriptを任意に実行できるGodModeを利用可能になる。
マルウェアの流布および悪意ある行為
CVE-2014-6332脆弱性を利用して流布されるマルウェアの種類は非常に多様である。最近、韓国では、ユーザーの金融関連情報を収集してファーミングサイトに誘導する機能を持ったマルウェアが大量に流布された。さらに、毎日のように亜種も発見されている。
マルウェアの主な行為は、次の通りである。
1. 公認認証書の流出
- 公認認証書(NPKI)データの圧縮ファイルをHTTP POSTメソッドを通じてC&Cサーバーにアップロード
2. ファーミングサイトにユーザーを誘導し、金融情報の搾取
- 名前 / 住民登録番号 / 口座番号 / 口座の暗証番号
- 携帯電話番号 / インターネットバンキングIDおよびパスワード / テレフォンバンキングの暗証番号 / 認証書のパスワード
- セキュリティカードの一連番号およびすべてのデータ
マイクロソフト社は、2014年11月にセキュリティパッチ(MS14-064)を通じてCVE-2014-6332脆弱性を解決した。しかし、該当セキュリティパッチを適用していないユーザーが攻撃されたサイトに接続する場合、マルウェアに感染する危険性がある。
CVE-2014-6332脆弱性を始め、脆弱性を利用して流布されるマルウェアに感染しないためには、ユーザーは常に最新のセキュリティパッチを適用しなければならない。また、Weｂサイトの管理者は、定期的にモニタリングを行うことでページ内に意図していないスクリプトが挿入されていないかを確認しなければならない。
