脆弱性攻撃サイト誘導元の8割が「汚染された正規サイト」という話

先日、トレンドマイクロさんが2015年第３四半期セキュリティラウンドアップを公開されましたね。

ZDNETさんでも報道されている通り、経験上、攻撃サイトの誘導元は汚染（＝改ざん）された正規サイトであることがほとんどのように思えます。

改ざんパターンは色々変遷してて一概にいえないのですが、不正なコードは<body>の直後に入るパターンとhtmlソースの一番最初に入るパターンが多い気がします。

不正なコードは、iframeが入っているパターンと、難読化されたjavascriptのパターンが多い印象ですね。
javascriptの場合は仮想環境下でIEのデバッグ使って追いかけると、lacationで飛ばそうとするようです。

困るのはjavascriptのパターンと遷移元がhttpsの場合で、refererが残ってないので改ざんされた遷移元を追いかけるのは、たとえパケットを取っていてもほぼ不可能となってしまいます。
同様に不正広告のパターンの場合、refererがない上に多段の遷移となり、パケットの海の中から１つ１つjavascriptを虱潰しに解析する（難読化やpackerのせいでキーワードに引っかからない）ということになり、基本諦めることになります。

かくして改ざんされたサイトが放置され、被害者が増えていくという感じです。（;´д`）

○○○の知らないCTFの世界

なーんて企画が某番組で放送されたらいいな～と夢見てます。（´∀`）

参考として、piyologさんがまとめられています。

malware解析屋がLowレベルのCPU・メモリを扱えないと商売にならないという例かも。
大学時代、もっとまじめにアセンブリ言語勉強しておくんだった...。orz

初心者向けに、セキュリティ・ダークナイトの記事でこんなのも紹介されてます。
解説されると、ほほ～と思うんですけどね～。(;= =)
要勉強ですな。

最近は、プライスウォーターハウスクーパースってセキュリティ会社がGoTなる似たようなものも発表してて、先日の沖縄での国際会議ではなかなか人気だったそうで。

一度勉強してからチャレンジしてみたいものです。

厚生労働省のホームページがアクセス困難な状態に

厚生労働省のサーバ、アクセスしにくくなってましたね。

どうやら、アノニマスが原因という報道です。
まあ、アノニマスって組織があるわけではないので、名乗ってる、というべきものですが。

DDoS攻撃というのは、複数のネットワーク機器（BOTNET、DNSリフレクション、NTPリフレクション、LOIC等々、手法は色々です）から通信を大量に流して上流回線を逼迫させ、それによってアクセスを妨害すると攻撃手法です。
「サイバー攻撃（物理）」っていうくらいシンプルな攻撃なのですが、故に守りにくさがあります。ISPにお願いして遮断してもらうくらいしか手段がありません。
この手の攻撃が、アノニマスの常套手段になっています。

しかし、この攻撃は、先日のASCII.jpみたいに#OpKillingBayとか#ShutDownTaijiの一環かなぁ？？と思う（ごめんなさい、ちゃんと調べてないです）のですが、主に太地町で行われているイルカの追い込み漁に対する抗議活動だし、それなら厚労省ってより経産省とか農水省なんじゃね？とか思ったりします。
まあ、要は攻撃できるところから手当たり次第という感じなのですかね。