Rig Exploit Kitによるドライブ・バイ・ダウンロード攻撃の検知状況

記事をシェアする:

Tokyo SOCでは、2016年9月中旬頃から「Rig Exploit Kit」と呼ばれる攻撃ツールによる攻撃が増加傾向にあることを確認しています。下図は2016年7月1日から11月2日における、「Rig Exploit Kit」によるドライブ・バイ・ダウンロード攻撃検知数の推移です。

Rig Exploit Kitによるドライブ・バイ・ダウンロード攻撃の日別検知数推移
(Tokyo SOC調べ　2016年7月1日～2016年11月2日)

攻撃は、改ざんされた一般のWebサイトを閲覧することをきっかけに発生しています。特にCMSを利用しているWebサイトが改ざんされているケースが多く見受けられ、Tokyo SOCで確認した誘導元サイトの80%以上がCMSを利用したサイトとなっていました。内訳として、国内（日本語）のサイトではWordPress、海外のサイトではWordPressまたはJoomlaを利用したサイトを多く確認しています。

改ざんされたサイトの閲覧により「Rig Exploit Kit」で構築されたサーバーへ誘導された場合、Internet ExplorerおよびAdobe Flash Playerの脆弱性を狙う攻撃が行われ、マルウェアに感染する可能性があります。Tokyo SOCではこの攻撃によりマルウェア感染に至った事例は確認していませんが、金融マルウェア”Ursnif”や、ランサムウェア”Locky”などへの感染が試みられることが報告されています[1]。

ドライブ・バイ・ダウンロード攻撃については、「2016年上半期 Tokyo SOC 情報分析レポート」において、2016年上半期は減少傾向にあったことを報告しました。現在のところ、「Rig Exploit Kit」による攻撃検知数も2015年の検知数と比較すると特別に多い状況にはありません。しかし、今後しばらくは攻撃が継続することも考えられるため、クライアントPCのアップデートの実施やブラウザ・プラグインの無効化、Click-to-Play機能の利用などの対策を引き続きご検討いただくことを推奨します。

ドライブ・バイ・ダウンロード攻撃の月別検知数推移
(Tokyo SOC調べ　2012年7月1日～2016年6月30日)

【参考情報】
[1] Rig Exploit Kit 観測数の拡大に関する注意喚起(IIJ-SECT)

https://sect.iij.ad.jp/d/2016/10/178746.html

=========================

【Appendix】
Tokyo SOCで確認した「Rig Exploit Kit」が稼動する不正サーバーのIPアドレス、およびURLパターンを掲載いたします。Proxyサーバーのログ等に該当するアクセスログが存在する場合、攻撃が行われた可能性がありますので影響をご確認ください。

• 「Rig Exploit Kit」が稼動するサーバーのIPアドレス（Tokyo SOC調べ）

• 「Rig Exploit Kit」が利用するURLパターン（Tokyo SOC調べ）

■ パターン1
URLパラメーターの値として、「l3SKfPrfJxzFGMSUb-nJDa9」または「l3SMfPrfJxzFGMSUb-nJDa9」で始まる長い文字列が指定されている。

例：
k5le[略].top/?zniKfrGfKRfODYY=l3SKfPrfJxzFGMSUb-nJDa9GP0XCRQLPh4SGhKrXCJ-ofSih17OIFxz[略]
k5le[略].top/index.php?zniKfrGfKRfODYY=l3SMfPrfJxzFGMSUb-nJDa9GP0XCRQLPh4SGhKrXCJ-ofSih17OIFxz[略]

■ パターン2
URLパラメーターに「q」「oq」「sourceid」「es_sm」「ie」「aqs」が指定されており、「q」および「oq」の値としてランダムな長い文字列が指定されている。
※ 上記のパラメーターはGoogle検索時に利用されるパラメーターと同様であるため、調査時にはドメイン名等より検索による通常のアクセスは除外してください。

例：
fre[略].com/?q=z33QMvXcJwD[略]vvHPRAP7tgW&sourceid=msie&oq=CelvV_fZ5L[略]iW9UU4HupE&es_sm=112&ie=UTF-16&aqs=msie.74l67.406f5o9
acc[略].info/?sourceid=mozilla&q=w37QMvXcJx[略]-qoVjcCgWR&ie=Windows-1251&oq=xfB-eOBSbw[略]KlJLN_mhj2&es_sm=131&aqs=mozilla.72e68.406h4h3

【著者情報】

窪田 豪史

2007年日本アイ・ビー・エム株式会社入社。Tokyo Security Operation Center(SOC)アナリストとして監視・分析業務や脅威情報発信を行う。2018年よりX-Force Incident Response and Intelligence Service 日本チームメンバーとしてセキュリティー・インシデント対応支援に従事。CISSP、GREM。