Blackhole Exploit Kitアップグレードされる
ある業界では有名な「Blackhole Exploit Kit」ですが、どうやら最近アップグレードが行われたようです。 Symantec : BlackHole 悪用ツールキットがアップグレード: 擬似ランダムなドメイン Slashdot : Blackhole Exploit Kit Gets an Upgrade で、今回の目玉は「疑似乱数によるドメインの動的生成」らしいです。 何のことかと言うと、まず、Exploit Kit によるマルウェアサイトに誘導する主な手法はサイト改竄です。 その理由は、セキュリティベンダなどが提供しているブラックリストベースの検出を回避するため。 また、既存のサイトを改竄することで、特に何もすることなくユーザーが怪しむことなく集まります。 攻撃者にとってはホイホイな訳で。 そこで、改竄時に挿入される難読化されたJavaScriptについてが本題です。 大まかな動作としては、攻撃用サーバーにアクセスさせるために不可視のiframe(インラインフレーム)を埋め込みます。 んで、そこからJavaやらAdobe Flash / Reader やらのExploitが送り込まれて、それらが成功すればドライブバイダウンロードでマルウェア感染ってなことが一連の流れです。 ただ、従来の方法には一つ欠点がありました。 それはiframeとして埋め込んだURLがダウンした（ブラックリスト入りしたり、対策された）時です。 攻撃用サーバーにアクセスさせるためには、当然新しいURLに差し替える必要があります。 ただ、大量の改竄サイトを更新するのは困難であると。 そこで、もしダウンした場合でも自動的に更新するために、日付などの情報を基にして疑似乱数を基にドメイン名を動的に生成しようという訳です。 ...