どのようにしてホームページはウイルスに乗っ取られるのか

Categories: ITなニュース, セキュリティ 2009/5/8 金曜日

データが改ざんされウイルスや悪意のあるプログラムを含んだサイトが増大していることを認識しているようで、2009年版の各社ウイルスソフトには、有害サイトチェックの機能が装備されています。

以前からウェブサイトを使った詐欺の様子などは報じられてましたが、実際増えていて、フツーの個人のネットブラウズでも危険は高くなっているようです。

公共機関だから安全と限らない

5月8日現在、たとえばルーマニア政府観光局のサイトはジャックされているようで、閲覧しようとするとウイルスソフトにブロックされてしまいました。

上はIEでのときですが、興味深いのはブラウザによって見えるもの、googleが反応するもの、ロックがかからないものもあるようで、これからはブラウザのセキュリティ実装レベルも判断基準になっていくということでしょうか。

最近では以下のニュース。

岐阜国道事務所のサイト改ざん　サーバー停止 -岐阜新聞web (2009年4月28日)

国土交通省中部地方整備局岐阜国道事務所は２７日、道路状況ライブカメラのウェブサイトなどが不正に改ざんされていたことが分かった、と発表した。２３日夕から、同サイトのサーバーを停止している。

同事務所によると、ウイルスチェックをしたという一般ユーザーの指摘などで発覚。同事務所が確認したところ、８、１４日にウェブの更新履歴が残っていたことから、２回にわたり、何者かによって改ざんされていたことが判明した。

本末転倒なのが、ウイルス対策ソフトを販売している会社までが被害に。

トレンドマイクロのウイルス情報ページが改ざん　-ITmedia(2008年3月12日)

トレンドマイクロは3月12日、同社のウイルス情報ページが11日午後7時ごろから改ざんされ、アクセスしたユーザーに、ウイルスをダウンロードさせる状態になっていたと発表した。同社は、12日午前11時30分にウイルス情報ページを閉鎖した。

改ざんされたのは、日本語・英語のウイルス情報ページ。日本語ページは「ADW_BRUNME.A」「TSPY_AGENT.HS」など11のウイルス情報ページで、英語は「ADWARE_BHO_WEBDIR」「TROJ_CLAGGER.D」など21のページで改ざんを確認した。

どのようにしてサイトの改ざんが行われるのか

4月24日、薬事日報社のサイトがHP改ざんの被害に遭い、その内容について報告していますが、そこからサイト改ざんの手口が少しわかります。

サイト改ざんの経緯、薬事日報社が詳細説明　-ITmedia(4月24日)

医療業界専門誌の薬事日報社は4月24日、同社サイトの改ざん被害について経過説明を行った。同社サイト「薬事日報ウェブサイト」が4月17日に不正アクセスを受け、閲覧者をウイルスに感染させる狙いで一部ファイルが改ざんされた。

ウイルスの種類は特定されておらず、現在も調査中。感染すると、sqlsodbc.chmファイルが改変されるほか、ウイルススキャンやコマンドプロンプト、レジストリエディタを実行できなくなる。Internet Explorerの動作が著しく不安定になる症状も発生。FTP通信の監視や設定情報を盗聴し、設定情報を取得したWebサーバの改ざん行為を行う可能性もあるという。

調査の結果、不正アクセスは以下の手順で自動的に行われた可能性があることが分かった。

薬事日報ウェブサイトを管理していたPCの1台がウイルスに感染

ウイルスが感染PCのFTP通信を監視

ウイルスは感染PCがFTP通信で使用した設定情報を記録

ウイルスが記録した設定情報を外部のサーバに転送

外部サーバは設定情報を利用して、薬事日報ウェブサイトへFTP通信で不正アクセス

外部サーバが薬事日報ウェブサイトのhtml、php、jsなどのファイルの一部をダウンロード

外部サーバはダウンロードしたファイルに悪意のあるスクリプトを挿入

外部サーバはスクリプトを挿入したファイルを薬事日報ウェブサイトにアップロード（改ざん）

サイト管理していたパソコン一台に、通信情報を盗み出すウイルスが入りこんだことが原因なようです。

通常は外部から書き換えが行えないようにパスワードや暗号化、その他詳細な設定を施しますが、大元の情報が盗まれてしまっては対策も無意味。

ウイルス駆除機能も大事ですが、まずウイルスがPCやネットワークに入り込まないよう防衛する機能をしっかりもったウイルス対策ソフト、OS,アプリケーション、そしてそれを無理なく稼働させられるスペックのパソコンが必要といえます。