フィリピン0ユーザが毎日行うインターネット活動のうち多くの時間を占めるのが、検索エンジンの使用および動画の視聴ではないでしょうか。これらの活動は、今日の脅威状況において、「SEOポイズニング」や動画共有サイト「YouTube」に見せかけた不正なWebページの表示といった手法による脅威に導くきっかけとなってしまっています。「TrendLabs(トレンドラボ)」で今回確認した攻撃のうち、1件目の攻撃では、以下のようなトピックに関する動画の検索結果が、脅威への誘導の最初のステップとなりました。Davidson・英BPによるメキシコ湾原油流出事故これらのトピックに関する動画の検索結果をクリックすると、YouTubeを装ったWebページへ誘導され、この偽YouTubeページに表示された動画を見ようとすると、とてもよく見慣れた偽の感染警告が表示されます。検索結果には、ユーザが用いた検索キーワードが組み込まれており、ユーザに閲覧を促すよう巧妙かつ悪質に誘導しています。図2.:偽の「YouTube」ページ図3.:偽のウイルス感染警告トレンドラボで今回確認した2件目の攻撃も、SEOポイズニングとよく知られた不正プログラムの攻撃方法を組み合わせたものです。Player」のインストーラをダウンロードするように促す偽のメッセージウィンドウが表示されます。Playerが必要だ、と思ってしまいます。Playerのインストーラを使用したばかりでなく、Adobe関連の正規Webサイトを装うURLも使用していたとのことです。従来のSEOポイズニング攻撃においては、偽セキュリティソフト型不正プログラム「FAKEAV」に誘導する事例が大半でしたが、今回の攻撃では、偽アプリケーションのインストールを促す新たな手法が用いられています。確認された変更点は、これだけではありません。従来は、大きなニュースに便乗し攻撃を仕掛けていましたが、現在はそれに限らず、検索結果を悪質に操作し、不正プログラムをもたらしながら日々実行されています。前述の攻撃のうち、1件目の攻撃に関連した不正プログラムは、「TROJ_FAKEAV.MVA」として検出され、2件目の攻撃に関連した不正プログラムは、「TROJ_MONDER.RON」として検出されています。別の事例では、サイバー犯罪者による偽の「YouTube」ページの利用に変化が起きていることを確認しました。偽の「YouTube」ページの利用においても、セキュリティソフト型不正プログラム「FAKEAV」をダウンロードすることを目的としていましたが、新たに、トロイの木馬型不正プログラムのダウンロードを目的とするように変化してきているようです。サイバー犯罪者は、この事例において、前述の事例と同じような手法を用いていますが、ユーザが複数回異なるページに誘導される代わりに、動画を見るために必要なコーデックのダウンロードを促される点で異なっています。図5.:偽のオンライン動画共有サイトユーザは、最終的に偽のオンライン動画共有サイト(必ずしもYouTubeのサイトに似ているというわけではない)に誘導され、動画プレーヤ(「TROJ_MONDER.AEM」として検出)のダウンロードおよび実行を促されることとなります。トレンドマイクロのウイルス解析者およびエンジニアがこれらの脅威について引き続き調査を続けており、これまでに以下のような調査報告が公開されています。FAKEAV(「FAKEAV」の正体を暴く!:英語情報のみ)「SEOポイズニング」による攻撃は依然として続いていくことが予想されるため、ユーザは、インターネットで検索を行う際に細心の注意を払う必要があります。トレンドマイクロの製品ご利用のユーザは、クラウド型技術と連携した相関分析により、今回の脅威から保護されています。レピュテーション」技術により、ユーザがアクセスする前に、不正なWebサイトへの接続をブロックし、「ファイルレピュテーション」技術により、関連するファイルを検出し削除します。Incorporated現在、トレンドラボにてスレット・レスポンス・エンジニアとして不正コードの解析を担当。