blogセキュリティで気になった事をダラダラと。2019-12-28金融機関を装ったフィッシングについてはじめに2019年8月以降、金融機関を装ったフィッシングによるインターネットバンキングの不正送金が急増しています。サイバー犯罪対策プロジェクトが12月19日に注意喚起を公開しました。Webサイトより抜粋)8月末以降、少なくとも6グループが国内の金融機関を装ったフィッシングサイトを手掛けていたことが確認できています。本記事では、各グループの概要を示すとともに、8月~12月の期間において同種の犯行を継続的に手掛けていた3グループについて、その特徴を見ていきたいと思います。8月末から12月28日までの期間で観測された470件程度のフィッシングサイトについて、ドメイン、IPアドレス(CNAMEレコード)、ターゲットとなった金融機関、グループ名を本記事の文末に記載しています。参考情報としてご確認頂ければと思います。各グループの概要を見ていきたいと思います。グループAスマートフォンユーザのみをターゲットとし、SMSからフィッシングサイトに誘導する。1サーバ上で複数金融機関のフィッシングサイトを公開し、時折内容が変わるPC用のカモフラージュ画面を使用する点が特徴。フィッシングサイトの外観の一例:グループAが手掛けるフィッシングサイトの例グループBメール、SMSからフィッシングサイトに誘導する。スマートフォンユーザのみをターゲットとしており、PC用のカモフラージュ画面を使用。フィッシングサイトを複数サーバに配置し、それらのサーバを隠ぺいする目的でリバースプロキシを使用する点が特徴。9月後半に初めて観測され、その後継続的に活動を行っていたものの、12月5日頃から金融機関を騙ったフィッシングの活動は休止中。UFJ銀行フィッシングサイトの外観の一例:グループBが手掛けるフィッシングサイトの例グループCPCユーザ、スマートフォンユーザ双方をターゲットとし、メールからフィッシングサイトに誘導する。今回の不正送金急増以前(3月頃)からゆうちょ銀行を装ったフィッシングを手掛けており、8月末に一旦終息したものの、10月半ばから活動を再開中。ThinkPHPのエラー画面とAESによる暗号化でコンテンツの難読化を図る点が特徴。ターゲットとなった銀行:三菱UFJ銀行みずほ銀行ジャパンネット銀行フィッシングサイトの外観の一例:グループCが手掛けるフィッシングサイトの例グループDSMSからフィッシングサイトに誘導する。キャリア決済やカード情報の詐取を手掛けていたグループが10月上旬に一時的に銀行フィッシングを仕掛けていたものと思われる。後述するグループFと共通点あり。ターゲットとなった銀行:三井住友銀行ジャパンネット銀行フィッシングサイトの外観の一例:グループDが手掛けるフィッシングサイトの例(webint.ioより)グループEフィッシングサイトへの誘導手段は未確認。サイト閲覧時に「お待ちください...」というメッセージを表示する点が特徴。11/22~12/4の期間にフィッシングサイトを観測。UFJ銀行フィッシングサイトの外観の一例:グループEが手掛けるフィッシングサイトの例グループEが手掛けるフィッシングサイトの例(お待ちください...のメッセージ)グループF佐川急便をテーマとしたAndroidマルウェアに感染した端末をフィッシングサイトに誘導するものと思われる。グループDが使用していたフィッシングサイト、インフラを流用。12月17日頃から観測。次に、各グループの最新の動向についてまとめてみます。現在の銀行フィッシングの状況について12月13日に三井住友銀行から一連のフィッシングに対する対抗措置が開始されました。www.smbc.co.jpこれは、ワンタームカード有効化後の利用開始を翌日1時まで保留するというものです。有効な対抗措置だったためか、これ以降暫くは三井住友銀行をターゲットとしたフィッシングをほとんど見かけませんでした。いった地方銀行をターゲットしたフィッシングを展開した後、12月19日にいったん活動を終えました。12月25日にdアカウント、Amazon、楽天、Yahoo!ジャパンといった他業種のブランドを悪用したランディングページから銀行フィッシングサイトに誘導する手法で再び活動を再開しています。グループCは引き続き活動を継続しており、12月28にも三菱UFJ銀行のフィッシングサイトに誘導するメールがばら撒かれています。感染したAndroid端末からの誘導を狙ったものと思われますが、複数の金融機関を装ったフィッシングサイトの稼働が時折観測されています。9月後半から活発に活動していたグループBは12月5日を最後に活動を休止しており、グループD、グループEは一時的な活動のみで現在では新たな活動を見ることはありません。不正送金被害が急増した期間中、特に活発な動きを見せていたグループA、グループBと合わせて、直近で継続した活動が観測されているグループCについて詳細を見ていきたいと思います。)期間中最も活発な活動を行っていたのがグループAです。後発組の参入が9月末から始まったことを考えると、9月に発生した被害額、4億円の大半はこのグループに流れたものと思われます。このグループは、元々クレジットカード情報の詐取やキャリア決済の悪用を狙ったフィッシングを国内で手掛けていました。いう不思議なキーワードが度々観測されています。その当時のキャプチャをいくつかご紹介します。urlscan.ioスキャン日時は8月23日となっています。一連の不正送金の急増は8月後半から始まったと推測できます。彼らはその後複数の金融機関を騙ったフィッシングを手掛け、これまでに30もの金融機関を騙った活動が確認されています。いう特徴的な名称が使われていました。/static/yahulogin/10月13日頃には、トップページにdアカウントの偽ページを配置し、本人認証と称してユーザが口座を所有する金融機関を選択させた上で閲覧者を該当のフィッシングサイトに誘導するという手法が用いられました。NTTドコモを模したドメインのサブディレクトリ配下に各銀行フィッシングサイトを格納する構成でしたが、トップのdアカウントのフィッシングサイトは、このグループが銀行フィッシングを手掛ける前に使用していたものでした。さんのツイートをご覧ください。ID/PW/NW暗証番号入力後の各金融機関の口座登録サイト情報です。何らかの理由により、この方式は数日で姿を消しました。その後、yahuloginの文言が使用されることはなくなり、銀行名を示すディレクトリ名が使用されるようになりました。彼らのもう一つの特徴が、PC用のカモフラージュ画面の存在です。彼らはスマートフォンユーザのみをターゲットにしており、PCユーザは対象外でした。HTTPリクエストのUserAgentヘッダを検査し、ターゲットデバイスに該当しない場合にはカモフラージュ画面を表示します。このカモフラージュ画面はこれまで何度か変更されています。(urlscan.ioより)カモフラージュ画面(2019年10月)カモフラージュ画面(2019年11月)カモフラージュ画面(2019年12月)銀行フィッシングの現状についての説明で触れた通り、他業種のブランド(dアカウント、Amazon、楽天、Yahoo!ジャパン)を悪用したランディングページから金融機関のフィッシングサイトに誘導する手法が12月25日に再度観測されました。これらのランディングページで認証情報を入力後にログインボタンを押下すると、金融機関を選択する画面に遷移します。このような異業種のブランドのランディングページを設置するケースは10月にも見られましたが、12月の構成ではランディングページでユーザが入力した認証情報が一切活用されないことが確認できました。GETで取得するため、入力した情報は捨てられます。よる画面遷移ランディングページで入力される情報には興味を示さず、不正送金に必要な情報のみを狙っていることがわかります。12月25日の構成変更では信用金庫を含む新たな金融機関のフィッシングサイトの存在が確認されていますが、これらは何れも関西の金融機関であることが判明しています。いった地方を対象としたフィッシングが展開されていましたが、SNSでの反応を見る限り、異なる地域のユーザに対して誤ってSMSが配信された形跡がなく、フィッシングのターゲットとなった金融機関が存在する地域のユーザに対してピンポイントでSMSが配信されたものと思われます。グループAの手元には住所と携帯電話番号がセットになった情報があり、地域を絞ったSMSが配信ができる状況にあるのではないかと推測します。今回関西の金融機関がターゲットとなっているため、該当の地域にお住いの方は十分にご注意頂ければと思います。ここには書ききれなかったグループAの詳細情報は以下のTwitterスレッドをご参照下さい。関してチョロチョロとツイートしてきましたが、今後はこのスレッドに統一します。過去のスレッドをいくつか。)9月末から12月上旬にかけてグループAに次いで活発だったのがグループBです。グループBは9月25日に初めて観測されました。フィッシングを手掛けていましたが、フィッシングサイトに広告表示が存在しないなど、グループAとは異なる画面構成だったことから、別グループによる犯行とみなされました。このグループの特徴を示すものの一つにceshiというリソースパスがあります。ceshi二つ目の特徴は、入力フォームの各要素に設定された名称です。"g_wangyin"といった中国語のピンイン表記のような文字列が設定されています。フォーム要素グループAと同様、グループBもスマートフォンユーザのみをターゲットとしていました。PCブラウザからアクセスした場合に表示されるカモフラージュ画面も彼らの特徴を示すものとなっています。カモフラージュ画面グループBの最大の特徴は、フィッシングサイトが稼働するインフラです。リバースプロキシを配置することで、コンテンツを配置するWebサーバ(オリジンサーバ)を隠ぺいするという構成を取ります。このインフラ構成は、9月末の初観測以降何度か変更が加えられていますが、次にこのインフラ構成の変遷について触れたいと思います。配下のオリジンサーバを使用する構成でした。複数台のリバースプロキシはDNSラウンドロビンによる冗長構成を取ります。このリバースプロキシに直接アクセスすると、このような画面が表示されます。いう文字列が見て取れます。Fikkerという中国製のリバースプロキシ/Webキャッシュ用のソフトウェアが使用されていたものと思われます。公式サイト前述したように、フィッシングサイトの入力フォームの要素には特徴的な名称が使用されていました。検索すると、いくつかのオリジンサーバを見つけることができました。その一つがこちらです。検索したオリジンサーバオリジンサーバにはSSLサーバ証明書が格納されており、httpsでアクセスするとフィッシングサイトのドメインと同名のコモンネームが設定されたサーバ証明書を確認することができます。オリジンサーバのSSLサーバ証明書10月28日頃からこの構成を観測することがなくなり、オリジンサーバを直接公開するという構成変更が行われました。本日観測分からリバースプロキシを挟まず、オリジンサーバを直接公開するという構成変更を行ったようです。三井住友銀行のフィッシングサイト情報です。誘導メール/SMSにご注意ください。2019年11月4日11月半ばからは、香港のCDN事業者(di1cdn.com)のサービスを利用するようになります。CNSERVERSのサーバ群でした。2019年11月17日この構成は1週間程度で姿を消しました。使用したりと、何度か構成変更が行われました。グループBのインフラ構成の変遷を図示します。複数のインフラが使用されていることから、筆者自身グループBの中には複数のアクターが存在するのではないかと考えていました。時系列でインフラ構成の変遷を並べることで、複数のインフラ方式が並行して稼働することがほとんどなかったことがお分かり頂けると思います。このことから、グループBは単一のアクターにより構成されている可能性が高いと思われます。一部でフィッシングキットが出回っているという報道もなされていますが、現在では筆者はこの意見を否定的に捉えています。ここには書ききれなかったグループBの詳細情報は以下のTwitterスレッドをご参照下さい。検知やテイクダウンを回避する仕掛けがあるようです。(secret)グループBの活動が終息する一方で、グループAと並んで現在でも活発に活動を行っているのがグループCです。このグループCを特徴づけるのが、ソースの難読化です。/static/aes.jsコンテンツの復号を行うsecret()関数はこのような形で呼び出されています。実装に従って復号すると、HTMLの出力が確認できます。)に配置した難読化コンテンツをロードするなど、若干の実装の違いがあるようです。ジャパンネット銀行フィッシングサイトのソース検知回避などの目的で難読化が行われているものと推測しますが、皮肉なことにこの取り組みにより自らの特徴を示す結果となっています。意図的に存在しないコンテンツをリクエストすると、このようなThinkPHPのエラーが表示されます。ThinkPHPエラー画面これもグループCを特徴づけるものとなっています。ここには書ききれなかったグループCの詳細情報は以下のTwitterスレッドをご参照下さい。誘導するメールが今朝ばら撒かれたようです。User-Agentを見て、スマホとPCで異なる偽サイトを表示します。2019年11月4日まとめ今回は、金融機関を装ったフィッシングを手掛ける各グループの特徴をまとめてみました。ここ数年は各金融機関の対策が奏功したことによって不正送金の被害は年々縮小する傾向にありましたが、一連の犯行グループはどのようにして金融機関の対策をすり抜け、不正送金の急拡大をもたらしたのでしょうか。さんが以下のツイートで答えを導き出しています。当初は何をしているのか把握できなかったのですが、これはアプリにログインしてワンタイムパスワード機能を有効化する手続きをなぞったものでした。騙されて指示通りに操作すると、裏で仕掛け人がアプリを操作し、騙された利用者の口座を24時間いつでも自由に操作できるようにしてしまいます。2019年10月14日インターネットバンキングの安全性を高める目的で各金融機関が導入するワンタイムパスワードアプリを乗っ取ることで、犯行グループが正々堂々と不正送金を行っているものと思われます。ワンタイムパスワードアプリの有効化が行われるということは、これまで銀行アプリやソフトウェアトークン等を使ったことがないユーザが標的になっていることを示しています。被害者は不正送金が発生したことをすぐに気づくことができず、暫く時間が経過した後に通帳記帳などのタイミングで被害が発覚するケースが多いのではないかと推測します。年末のこの時期でも、金融機関を装ったSMSやメールが日々配信されています。この記事をご覧いただいた皆様の中には、年末年始の帰省などで人に会う機会が増える方もいらっしゃるかと思います。この機会に「金融機関を騙ったリンク付きのSMSやメールには気を付けましょう」という話を広めて頂ければと思います。この記事を書くにあたって、日ごろよりフィッシングを追っている以下の方々の情報を参考にさせて頂きました。いつもありがとうございます。@NaomiSuzuki_@KesaGataMe0@ozuma5119@taku888infinity@d4k40最後までご覧いただきありがとうございました。グループB、グループCの詳細を追加。グループAの詳細その他諸々修正。暫定版)はじめに本記事は2019/12/25に暫定的に公開したものです。完全版は別のURLで公開しておりますので、こちらもご覧ください。tike.hatenablog.com金融機関を装ったフィッシング詐欺によるインターネットバンキングの不正送金がこの4カ月で急増しています。サイバー犯罪対策プロジェクトが12月19日に注意喚起を公開しました。Webサイトより抜粋)8月末以降、少なくとも6グループが国内の金融機関を装ったフィッシングサイトを手掛け、そのうち4グループがメールやSMSによるフィッシングサイトへ誘導を行っていたことが確認できています。8月~12月の期間において同種の犯行を継続的に手掛けていた3グループについて、その特徴を見ていきたいと思います。12月25日時点で、後述するグループAが29もの金融機関のフィッシングサイトを稼働させていることが確認できたため、グループAの詳細のみを記載した状態で本記事を先行して公開します。グループB、グループCについては、日を改めて公開したいと思います。各グループのザックリとした特徴を以下に記載します。(比較のため、三井住友銀行のフィッシングサイトのキャプチャを掲載します)グループASMSからフィッシングサイトに誘導する。スマホのみをターゲットとしており、1サーバ上で複数金融機関のフィッシングサイトを稼働させ、時折内容が変更されるPC用のカモフラージュ画面を使用する点が特徴。フィッシングサイトの外観の一例:グループAが手掛けるフィッシングサイトの例グループBメール、SMSからフィッシングサイトに誘導する。スマホのみをターゲットとしており、固定的なPC用のカモフラージュ画面を使用。フィッシングサイトを複数サーバに配置し、それらのサーバを隠ぺいする目的でリバースプロキシを使用する点が特徴。インフラの違いから複数のグループに分かれている可能性あり。9月後半に初めて観測され、その後継続的に活動を行っていたものの、12月5日頃から金融機関を騙ったフィッシングの活動は休止中。UFJ銀行フィッシングサイトの外観の一例:グループBが手掛けるフィッシングサイトの例グループCメールからフィッシングサイトに誘導する。今回の不正送金急増以前(3月頃)から銀行フィッシングを手掛けており、8月末に一旦終息したものの、11月から活動を再開中。ターゲットとなった銀行:三菱UFJ銀行みずほ銀行ジャパンネット銀行グループDSMSからフィッシングサイトに誘導する。キャリア決済やカード情報の詐取を手掛けていたグループが10月上旬に一時的に銀行フィッシングを仕掛けていたものと思われる。後述するグループFと共通点あり。ターゲットとなった銀行:三井住友銀行ジャパンネット銀行ゆうちょ銀行フィッシングサイトの外観の一例:グループDが手掛けるフィッシングサイトの例(webint.ioより)グループEフィッシングサイトへの誘導手段は未確認。サイト閲覧時にお待ちくださいというメッセージを出す点が特徴的。11/22~12/4の期間にフィッシングサイトを観測。UFJ銀行フィッシングサイトの外観の一例:グループEが手掛けるフィッシングサイトの例グループEが手掛けるフィッシングサイトの例(お待ちください...のメッセージ)グループF佐川急便をテーマとしたAndroidマルウェアに感染した端末をフィッシングサイトに誘導するものと思われる。グループDが使用していたフィッシングサイト、インフラを流用。10月26日頃から観測。楽天銀行セブン銀行フィッシングサイトの外観の一例:グループFが手掛けるフィッシングサイトの例(画面崩れあり)次に、これら各グループの最新の動向についてまとめてみます。現在の銀行フィッシングの状況について12月13日に三井住友銀行から一連のフィッシングに対する対抗措置が開始されました。www.smbc.co.jpこれは、ワンタームカード有効化後の利用開始を翌日1時まで保留するというものです。有効な対抗措置だったためか、これ以降三井住友銀行をターゲットとしたフィッシングをほとんど見かけなくなりました。これを受けてグループAは、新たに地方銀行をメインターゲットとした活動に移行しました。12月19日に沖縄での被害がWebニュース等に掲載され世間がザワついたことが影響したのか、北海道銀行のフィッシングが観測されたのを最後に12月20日以降目立った活動が見られません。2019年12月25日に再びグループAがフィッシングサイトを稼働させていることが確認できました。項目で触れたいと思います。グループCについては引き続き活動を継続しており、12月23日、12月24日、12月25日にはジャパンネット銀行のフィッシングサイトに誘導するメールがばら撒かれています。感染したAndroid端末からの誘導を狙ったものと思われますが、複数の金融機関を装ったフィッシングサイトの稼働が時折観測されています。9月後半から活発に活動していたグループBは12月4日を最後に活動を休止しており、グループD、グループEは一時的な活動のみで現在では新たな活動を見ることはありません。期間中特に活発な動きを見せていたグループA、グループBと合わせて、直近で活動が観測されているグループCについて詳細を見ていきたいと思います。(yahulogin)期間中最も活発な活動を行っていたのがグループAです。後発組の参入が9月末から始まったことを考えると、9月に発生した被害額、4億円の大半はこのグループに流れたものと思われます。このグループは、元々クレジットカード情報の詐取やキャリア決済の悪用を狙ったフィッシングを国内で手掛けていました。いう不思議なキーワードが度々観測されています。その当時のキャプチャをいくつかご紹介します。urlscan.ioスキャン日時は8月23日となっています。一連の不正送金の急増は8月後半から始まったと推測できます。彼らはその後複数の金融機関を騙ったフィッシングを手掛け、これまでに15もの金融機関を騙った活動が確認されています。らが仕掛けるフィッシングサイトには、同一サーバ上で複数ブランドを稼働するという傾向がありますが、各サイトの画像やCSS、jsなどのリソースを格納するフォルダ名に特徴があります。いうフォルダ名を好んで使用していました。/static/yahulogin/static/yahulogin1/static/yahulogin210月13日頃には、トップページにdアカウントの偽ページを配置し、使用中の銀行を選択させた上で閲覧者を該当のフィッシングサイトに誘導するという構成変更が行われました。各銀行フィッシングサイトはDoCoMoを模したドメインのサブディレクトリ配下に格納するという構成で、トップのdアカウントのフィッシングサイトは、このグループが銀行フィッシングを手掛ける前に使用していたものでした。さんのツイートをご覧ください。ID/PW/NW暗証番号入力後の各金融機関の口座登録サイト情報です。展開に無理があることが明らかだったため、この方式は数日で姿を消しました。その後、yahuloginの文言を使用することはなくなり、銀行名を示すディレクトリ名を使用するようになりました。彼らのもう一つの特徴が、PC用のカモフラージュ画面の存在です。彼らのターゲットはスマートフォンユーザであり、PCユーザは対象にしていませんでした。UserAgentを検査し、ターゲットデバイスに該当しない場合にカモフラージュ画面を表示するというテクニックを使います。このカモフラージュ画面はこれまで何度か変更されています。(urlscan.ioより)カモフラージュ画面(2019年10月)カモフラージュ画面(2019年11月)カモフラージュ画面(2019年12月)グループAがフィッシングサイトに誘導する最新のSMSの文面をご紹介します。その212月25日の活動再開について12月19日の北海道銀行のフィッシングを手掛けて以降、静かな状態を維持していたグループAが12月25日に新たな手法で29もの金融機関を装ったフィッシングサイトを稼働させていることが確認できました。注目すべきは、過去観測されていなかった13件の新たな金融機関のフィッシングサイトが稼働している点です。この13件は何れも地方銀行や信用金庫で、ワンタイムパスワードアプリを提供している金融機関でした。13件の金融機関は何れも関西地方の金融機関である点は見逃すことができません。10月中旬に観測された手法を発展させたもので、dアカウント、Amazon、楽天の各フィッシングサイトをランディングページとし、ログイン後に金融機関を選択させた上で該当の金融機関のフィッシングページに遷移するというものでした。金融機関のフィッシングサイトはサブディレクトリ配下に格納されるという構成を取ります。詳細を見てみたいと思います。各ランディングページは以下の通りです。ここには11の金融機関がリストアップされていますが、ここに掲載されていない金融機関も含めて、29もの金融機関のフィッシングサイトがサブディレクトリで稼働しています。触れましたが、今回新たにフィッシングサイトの存在が確認できた金融機関は何れも関西地方の金融機関です。いった地方を対象としたフィッシングを展開しています。SNS等を見ても、異なる地方の住人に対して誤ってSMSが配信されたというような反応はなく、フィッシングのターゲットとなった金融機関の所在地近辺の住人に対してピンポイントでSMSが配信されているように見受けられます。グループAの手元には住所と携帯電話番号がセットになった情報があり、地域を絞ったSMSの配信ができる状況にあるのではないかと推測します。今回関西地方の金融機関がターゲットとなっているため、関西にお住いの方は十分にご注意頂ければと思います。ここには書ききれなかったグループAの詳細情報は以下のTwitterスレッドをご参照下さい。関してチョロチョロとツイートしてきましたが、今後はこのスレッドに統一します。過去のスレッドをいくつか。2019年12月9日まとめ今回はグループAが大掛かりなフィッシングを仕掛けたため、急遽作成途中で公開しました。他グループの詳細等については、また日を改めて公開したいと思います。最後までご覧いただきありがとうございました。暫定版)Tweet広告を非表示にするもっと読むコメントを書く2019-09-16カード情報詐取を狙った国内向けフィッシングサイトの機能についてはじめにここ最近、PayPayを騙ったフィッシングサイトが活発化しています。piyolog.hatenadiary.jpこのようなフィッシングサイトでは、攻撃者がフィッシング用のコンテンツを纏めたzipファイル(フィッシングキット)を公開ディレクトリに放置するケースが散見されます。本記事では、このような形で残されていたフィッシングキットを元に、PayPayのフィッシングサイトに実装された機能を簡単に説明したいと思います。ルートディレクトリでのカモフラージュルートディレクトリのインデックスファイル(/index.php)には、カモフラージュを目的とした以下の処理が記載されています。サーバ側で動的に取得した無関係なコンテンツをレスポンスとして返却することで、フィッシングサイトを隠ぺいしようとする意図が見て取れます。この処理は昨年から度々観測されていたAmazonを騙ったフィッシングサイトで用いられていました。検索結果をマルっとコピーしたページが使われています。blog"というキーワードでスペイン語を検索した結果のようです。捕捉した過去のフィッシングサイトがズラズラ出てきますね。2018しかしながら、このコンテンツ自体が目印となることから、現在では0バイトのレスポンスが返るようになっています。この処理に限らず他にも共通する部分が多いことから、日本をターゲットとしたAmazonのフィッシングキットの一つがPayPay用に改変、展開されたものであると思われます。日本からのリクエストにのみ応答するランディングページSMSから誘導されるランディングページ(/app/signin.php)には、日本国外からのリクエストを別の無害なサイトにリダイレクトする仕掛けがあります。リクエストの送信元IPアドレスを元にIP-API.comからジオロケーション情報を取得し、国名コードがJPに該当する場合のみ次の処理に進みます。海外のサービスでは正しくスキャンできないという影響が発生しています。送信元の検証を経て偽のログイン画面が表示されます。このコンテンツは以下の処理により暗号化された形でクライアント側に送信されます。これがクライアント側に転送される暗号文です。javascriptで復号することで、偽画面が表示されます。これは、jsを解釈できない検索エンジンへの対策だと考えられます。さんが昨年公開した記事で触れらていますので、一読をお勧めします。ninoseki.github.io電話番号およびパスワードの詐取この偽画面で入力された情報は、同階層のテキストファイルに出力しつつ、リアルタイムに攻撃者にメール送信されます。Login"、Fromの表示名が"BAKAYARO"となっています。ユーザが入力した情報が出力されるファイル名は伏せましたが、インドネシア語が使われていました。ドメインのものが記載されていますが、公開用コンテンツでは別のメールアドレスに変更されている可能性もあります。この後、クレジットカード情報を入力する画面に遷移します。クレジットカード情報の詐取カード情報入力画面に遷移する前に、ここでも送信元IPアドレスによる国名コードの判定が行われれます。この判定で日本からのアクセスであることを確認した上でクレジットカード情報の入力画面(/app/verification-v3/sign.php)に遷移します。(bincodes.com)に問い合わせることでカード発行会社の情報を取得し、それぞれに応じた画面に遷移するという機能を有します。ここで得たccbank(カード発行会社)の値により遷移先を決定する訳ですが、遷移先が準備されている発行会社名は以下の通りです。それぞれの会社のロゴが表示された本人認証用の偽画面に遷移します。ここで入力された情報も他の情報と同様、テキスト出力とメール送信が行われます。今回のPayPayのフィッシングサイトでは使われていないようですが、このフィッシングキットには、クレジットカードの両面の画像をアップロードさせるような機能も実装されています。まとめ今回は国内向けのフィッシングサイトの機能について、PayPay/Amazonフィッシングキットの内容を例に挙げてご説明しました。目新しい機能はありませんが、フィッシングサイトとはこんなものだという雰囲気は掴んで頂けたのではないでしょうか。最後までご覧いただきありがとうございました。21:56カード情報詐取を狙った国内向けフィッシングサイトの機能についてTweet広告を非表示にするもっと読むコメントを書く2019-07-21国内のWebサイト改ざんについてはじめに今回は、国内のWebサイトを対象とした改ざん事例について取り上げたいと思います。今回のテーマである『Webサイトの改ざん』ですが、皆さんどのようなイメージをお持ちでしょうか。以下の画像に示すような、攻撃者自身の成果を誇示するかのようなページに書き換えられる状況を思い浮かべる方もいらっしゃるのではないでしょうか。」サイト改ざんの場面を目の当たりにすることはあまりなく、最近では珍しいケースであると言えます。2019年4月から6月のインシデント報告対応レポートを公表しましたが、正当なサイトが改ざんされるケースは月間数十件、多い時で100件以上に上ることもあるようです。正当なWebサイトが改竄されるケースが多く、国内への通知件数を考慮すると、JPCERT/CCが対応したものだけでも1日当たり2件から5件程度のWebサイトが日々改ざん被害を受けているという状況が継続しているものと推測されます。冒頭申し上げた通り、ページ自体をガラッと書き換えるようなド派手な改ざんは稀であり、日々発生し続けているWebサイトの改ざんの多くは、目立たない形で行われています。本記事では、日々発生する国内のWebサイトの改ざん事例をいくつかご紹介したいと思います。当ブログや筆者のツイートでも何度となく偽ECサイトの話題に触れていますが、このようなサイトへの誘導を目的とした改ざんは日常的に発生しています。偽ECサイトの概要については、昨年公開した以下の記事で纏めていますので、ご参照ください。tike.hatenablog.com偽ECサイトへの誘導は上記記事に記載した通り、SEOポイズニングという手法が用いられます。正当なWebサイトを巡回する検索エンジンのクローラに虚偽の商品紹介ページを読み込ませ、偽ECサイトへのリンクを検索サイトに掲載させるという手口です。これにより、商品名による検索で自らが仕込んだ虚偽の商品紹介ページをヒットさせ、偽ECサイトにユーザを誘導しようするものです。この手の攻撃者が用いる最新の手法について見ていきます。偽ECサイトへの踏み台が設置されたWebサイトのドメイン名で検索すると以下のような結果が表示されます。検索サイトのクローラが収集したコンテンツ(キャッシュ)は以下の通りです。国内のWebサイトに偽ECサイトの踏み台を設置する連中は、Yahoo!ショッピングの文言が記載されたページを好んでクローラに読ませる傾向にあります。次に、検索結果として表示された偽ECサイトのリンクをクリックしてみます。検索結果のリンクをクリックしても偽ECサイトに誘導されることはありませんでした。User-Agentヘッダにスマートフォンのブラウザの情報を設定して再度アクセスしてみます。含むレスポンスが返ってきました。いうパスへのリクエストに対してステータスコード200の応答が返却されていることがわかります。このjavascriptは、実行時に1秒間の遅延を発生させた上で以下のようなサイトに遷移する仕様になっていました。いう造りの偽ECサイトです。踏み台コンテンツの実体はなく、User-AgentヘッダとReferrerヘッダが条件に一致した場合にのみ、リダイレクト用のレスポンスを返却するという動きが見て取れます。流入が見込めるスマートフォンからのアクセスのみをターゲットとし、PCからのアクセスや検索サイト外からのアクセスについては偽ECサイトに誘導しないという方法により、検知を回避しようとしているのではないかと思われます。phpファイルを設置するケースが目立っていました。このphpでは、ブランド名をパラメータとして受け付けることで該当のブランドに対応した偽ECサイトにリダイレクトする処理が実装されていました。このケースについては、以下のツイートに概要を記載しています。偽サイトへの誘導を狙ったSEOポイズニングに関して、phpファイルからのリダイレクトが行われるパターンが多い傾向にあるようなので、少し調べてみました。このphpファイルはパラメータが統一されていて、xxx.php?b=ブランドを示す文字列&url=ランダムな文字列という形式を持ちます。2019この手法ではphpのパラメータに固定値が含まれていたため、いくつかのセキュリティ製品が悪性の通信として検知するようになりました。その影響もあってか、この形式での新たな改ざんは見かけなくなったような気がします。【改ざん事例2】SEOポイズニングによる詐欺広告への誘導こちらもSEOポイズニングですが、複数言語に対応した踏み台コンテンツを設置し、ユーザを詐欺広告に誘導しようとするものです。偽ECほど大量ではないものの頻繁に目にします。詐欺広告への踏み台が設置されたWebサイトのドメイン名で検索すると以下のような結果が表示されます。検索サイトのクローラが収集したコンテンツ(キャッシュ)を見てみると、複数の言語が脈略なく記載されており、各国の言語で検索にヒットするよう構成されているようです。(英語)(中国語)(ロシア語)(ペルシャ語)(スウェーデン語)検索結果のリンクは何れもphpファイルとなっており、リダイレクトによりユーザを外部のWebサイトに強制的に誘導するというものでした。順にリダイレクトが行われ、最終的にはアダルトサイト、ゲームサイト、ブラウザ拡張のダウンロードサイトなど様々なWebサイトに誘導されます。中には、以下のような悪意ある誘導先も含まれます。設置を目的とした国内のWebサイトの改ざんが相次ぎました。当方が把握しているだけでも、1カ月に100件以上のWebサイトにEmotetが設置されていることが確認できました。レポートからも、2019年5月のマルウェアサイトの件数が突出して多かったことが見て取れます。https://www.jpcert.or.jp/pr/2019/IR_Report20190711.pdf上記JPCERT/CCのレポートに、Webサイト改ざんによるEmotetの設置について記載されていますので、ご参照頂ければと思います。このマルウェア設置サイトの中には、事例1、事例2に記載した手法で既に改ざんされていたというWebサイトが複数あったことを書き加えておきます。頻繁に発生するものではありませんが、その他のWebサイト改ざん事例を記載します。ECサイトからのカード情報詐取を目的とした改ざんカード情報の詐取を目的としたECサイトの改ざん事例が度々報じられています。カード情報を入力するフォームにスクリプトが挿入され、入力情報が秘密裏に外部のサーバに送信されるという事例と合わせて、最近ではカード情報の非保持化に対応して、決済代行事業者のサイトに遷移する際に偽の入力フォームが配置されたサーバにユーザを誘導するというケースもあるようです。徳丸先生のブログに改ざん事例が紹介されていますので、ご参照下さい。blog.tokumaru.orgフィッシングサイト設置Webサイトが改竄され、フィッシングサイトが設置されるという事例もあります。国内の正当なWebサイトに設置されたフィッシングサイトのキャプチャを2件掲載します。まとめ今回は、日々発生し続ける国内Webサイトの改ざん事例をご紹介しました。このような被害を受けないための対策として、脆弱性対策や認証の強化、WAF、改ざん検知システムの導入などが挙げられますが、コストやリソースの関係で難しい場合もあると思います。今すぐには対応が難しいという場合には「万が一自組織のWebサイトが改ざんされた場合にどうするか」という観点で事前準備を進めることをお勧めします。万が一「あなたのWebサイトが改ざんされていますよ」と連絡を受けた場合に対応できるよう、事前に手順を整備したり、外部からの連絡を受けることができる体制を整える等、コストをかけずに対応できることはあるはずです。改ざんの事実をいち早くキャッチするために、日次でGoogle等の検索サイトで自サイトをチェックする、もしくは自身の目でWebサイトを閲覧してみる(スマホ、PC双方で)といったこともコストをかけずにできる対応の一つではないかと思います。Googleの検索欄に[site:自サイトのドメイン]を入力し、直近24時間に更新されたコンテンツを検索すると、できたてホヤホヤの不正コンテンツが発見できる可能性があります。urlhaus.abuse.chドメイン名によるマルウェア設置サイトの検索が可能ですので、自サイトの日々のチェックに活用してみては如何でしょうか。最後までご覧いただきありがとうございました。19:06国内のWebサイト改ざんについてTweet広告を非表示にするもっと読むコメントを書く2019-04-22JPドメインの悪用についてはじめに世の中に数多く存在するWebサイトを閲覧する際、トップレベルドメイン(TLD)でその安全性を確認するという方は多いのではないでしょうか。検索サイトにキーワードを打ち込み、数ある検索結果の中から目的の情報に近いWebサイトを探す過程で、JPドメインのサイトには安心してアクセスできると考えるのは私だけではないと思います。JPドメインのレジストリであるJPRS(株式会社日本レジストリサービス)も、JPドメインは世界一安全であると訴えています。JPRSこの中で、JPドメインの安心感の根拠として以下のように述べています。所在のはっきりした日本サイトだとアピールできるという点を安心感の根拠として挙げています。私を含めてJPドメインが安全だと考えているインターネットユーザの心理につけ込み、不正行為に使用する目的でJPドメインを登録する連中が少なからず存在します。本記事では、JPドメインの悪用の事例をいくつかご紹介したいと思います。【悪用事例1】気象庁のなりすましメール2018年11月、気象庁からの緊急警報を装ったなりすましメールが配信されたとして、同庁が注意喚起を行いました。piyolog.hatenadiary.jpこのなりすましメールに記載された不審なリンクには以下のJPドメインが使用されていました。jma-go[.]jp不審なリンクにアクセスすると、マルウェアがダウンロードされるという話もありました。このドメインのWhois情報を見てみたいと思います。サンクトペテルブルク近郊の町を示しているようでした。明らかに日本国内には存在しない住所であり、「所在のはっきりした日本のサイト」とは言い難い内容です。【悪用事例2】フィッシングサイトJPドメインは、国内を標的としてフィッシング詐欺を行う連中が好んで使用します。Appleのフィッシングサイトでは、以下のようなjpドメインが使用されています。これは特定の人物の名義で4月の10日余りの期間で登録されたドメイン名の一覧です。これらのドメインは、以下のようなAppleのフィッシングサイトを公開する目的で登録されています。同種のフィッシングサイトを公開する目的で登録されたドメインの名義人は、私が確認しているだけでもこの他に十数件存在します。実際には他にも多数存在すると思われ、日々ドメインの量産が行われています。一つの事例として、Amazonのフィッシングサイトで使用されるJPドメインをご紹介します。account-update-amazon-com[.]jpaccount-update-amazon[.]jp何れも、登録者の日本語表記と英語表記が全く一致していません。これらのドメインは、以下のようなAmazonのフィッシングサイトを公開する目的で登録されています。悪用の事実は確認できていませんが、Amazonのキーワードを含むドメインの登録情報をご紹介します。amazon-shop[.]jp公開連絡窓口の住所には「長野県」という日本語表記はあるものの、アルファベットで名古屋市を示す住所が続いています。名古屋市の住所も番地等を示す情報はなく、正確ではありません。何れも虚偽の情報ではないかと思わせる登録情報です。【悪用事例3】詐欺サイトへの誘導を行うサイト続いては、偽物のセキュリティ警告を表示するサイトを始めとして数々の詐欺サイトへの誘導を行うJPドメインです。これは、現存する国内の企業のドメイン名をGoogleで検索した結果を抜粋したものです。一見すると、以前当ブログでも何度か取り上げた偽ECサイトに誘導するコンテンツに見えますが、実はこのコンテンツの中には、偽ECサイトよりもさらに悪質なサイトに誘導する仕掛けがありました。コンテンツのソースを確認すると、あるjsファイルが読み込まれています(赤線部分)。このjsファイルを読み込むと、以下のドメインにリダイレクトされます。bags.luxzone[.]jpこのドメインにアクセスすると、さらに以下のドメインに誘導されます。ww25.bags.luxzone[.]jp上記ドメインは、ユーザを複数の詐欺サイトに誘導しますが、その中の一つとして、偽ウイルス警告画面を表示するサイトへの誘導が確認できています。luxzone[.]jpドメインの登録情報を見てみます。いうEmailアドレスが登録されています。このNETIMとは、フランスのドメインレジストラなのだそうです。www.netim.com電話番号には、おそらく国内には存在しないと思われる「013」から始まる「11桁」の番号が登録されています。この「013」を「03」と無理やり読み替えると、日本語表記の住所に存在する某企業の電話番号と一致しました。こちらは「インターネットを利用した各種情報サービスを提供する」国内の事業者なんだそうです。公開連絡窓口としては、安心感に欠ける内容です。まとめJPドメインの悪用について事例をご覧頂きましたが、冒頭でご紹介したJPドメインの安心感の根拠とは少し異なる性質のドメインが登録され、今もなお増え続けているというのが現状です。先日も大学や学校法人のみが取得可能な属性・地域型ドメインを個人が取得し、全く異なる用途に使用していたことが明るみになりました。tech.nikkeibp.co.jp業務プロセスにミスがあったことをJPRSは認めており、ただただ改善を求めるばかりですが、このドメインが今もなお有効な状態を維持しているという点については非常に疑問を感じています。ネームサーバを削除することで対応完了としているようにも見受けられますが、条件を満たしていない個人が属性・地域型ドメインを今もなお持ち続けているという状況は改善すべきだと思います。(廃止されているドメイン名)となっていることを確認しました。ご対応頂きありがとうございました。追記おわり)更に疑問に思うこととして、ドメイン名義の日本語表記とアルファベット表記が異なったり、住所が正確でなかったり、海外の住所であったり、正確でない登録情報を持つJPドメインが存在することです。このような虚偽の登録情報は認められるものなのでしょうか。このような状態が続くと、世界一安全とされるJPドメインの安全性、信頼性に傷を与えかねません。JPRSや各レジストラの皆様には、虚偽の登録情報を検出し、そのようなドメインに対しては、ドメイン凍結等の対応を行うなど、何らかの対策を打って頂きたいと思います。最後までご覧いただきありがとうございました。旧山梨医科大学ドメインに関する記述を修正。00:00JPドメインの悪用についてTweet広告を非表示にするもっと読むコメントを書く2019-03-01共用サーバに対する不正アクセスと思わしき事象についてはじめにSEOポイズニングによりユーザを偽ECサイトに誘導しようとする試みは今もなお続いています。当ブログでは、過去にSEOポイズニングの手法の一つについてご紹介しました。tike.hatenablog.comこのような偽ECサイトに誘導することを目的としたコンテンツが、ある共用サーバ上の複数のWebサイトに集中的に配置された形跡が確認できましたので、ご紹介したいと思います。きっかけ調査のきっかけとなったは、以下の不正コンテンツを目にしたことでした。属性・地域型JPドメインのサイトに対して、偽ECサイトに誘導するコンテンツが設置されていました。同種のJPドメインのWebサイトで同じような不正コンテンツが設置されているケースをいくつか見かけていたという経緯もあり、調査することにしました。technologies」の項目を見てみます。IISでWebサイトが稼働しているようです。」の項目を見てみます。PHPが導入されているようです。導入されたPHPには多くの脆弱性が含まれることを示唆する結果が表示されました。(画像は一部を抜粋したもの)調査対象のWebサイトを一通り見てみましたが、静的なページで構成されており、PHPは利用されていないように見えました。詳しく見てみると、以下のページがルートディレクトリ直下に存在していることが確認できました。ホスティング事業者が設置したと思われるコントロールパネル画面です。この画面はPHPで構成されていました。DNSの情報から探ってみたところ、130件のWebサイトがこのIPアドレスに紐付いていることが確認できました。気になるのは、130件のWebサイトの中で不正コンテンツが設置されたのはこの1件のWebサイトのみなのかという点です。コマンドを使用して、各FQDNに不正コンテンツが配置された形跡がないか見てみたいと思います。いうキーワードも指定します。すると、同一IPアドレスに共存する130件のWebサイトのうち、54件のWebサイトに不正なコンテンツが配置された形跡が判明しました。※ここで形跡と言っているのは、Googleの検索キャッシュには残っているものの、既に不正コンテンツを削除した等の理由により、実ファイルが存在しない事例もあったためです。検索結果に表示されたリンクのURLを見ると、これらの不正コンテンツのファイル名には以下のような命名規則が適用されていました。<英字3文字>-<英数字6文字>.htmlそして、不正にコンテンツが配置されたフォルダ構成にも以下のような一定のルールがありました。/wp-includes/images/<英字3文字のフォルダ名>//wp-includes/css/<英字3文字のフォルダ名>//既存のフォルダ/<英字3文字のフォルダ名>/WordPressで構成されたWebサイトにはwp-includesフォルダ配下、そうでないWebサイトには既存フォルダ配下に英字3文字のフォルダがそれぞれ設置され、その中に不正コンテンツが格納されるという構成でした。コンテンツの設置時期は2018年の10月、12月が多く、ファイル名やファイル配置先に一定のルールがあることから、同一の攻撃キャンペーンの一環として共用サーバが侵害され、複数のWebサイトに不正コンテンツが配置されたのではないかと推測できます。共用サーバへの不正ファイル配置と言えば、今年1月に発生した某ホスティング事業者の事例が思い浮かびます。piyolog.hatenadiary.jpこの事例では、犯行グループと思われる人物による犯行声明が出されたこと、ハッキング行為を誇示するかのようなコンテンツが配置されたことから、当該ホスティング事業者は攻撃事象を公表せざるを得なかったのではないかと考えることもできます。公表に至らずとも、今回取り上げたような偽ECサイトへの誘導に繋がる不正コンテンツの設置は「よくある話」として流されているだけで、同じようなケースは他にも存在する可能性は否定できません。共用サーバ上でWebサイトを運用している利用者の立場からすると、共用サーバへの攻撃事象を回避することは正直難しいのではないかと思われます。利用者側ができること共用サーバの利用者側としてできる事後対策は、自サイト内の不正なファイルの存在を確認することです。バックアップと公開中のコンテンツの差分を継続して確認することで、意図しないファイルの設置に気付くことができるのではないかと思います。まとめ不正コンテンツの有無を確認することで、自サイトが侵害されたことを知るきっかけになります。偽ECサイトに誘導される"程度"であれば、特段大きな被害が発生した訳ではないと考えることもできます。マルウェアの配布元に仕立て上げられるなど、更に悪質な侵害を受ける前に、一度自サイトへの不正ファイルの有無を確認することをお勧めします。それと、もし不正ファイルの設置が確認できた場合は、ファイルを削除するだけではなく、Googleの検索キャッシュを削除することもお忘れなく。support.google.com最後までご覧いただきありがとうございました。20:50共用サーバに対する不正アクセスと思わしき事象についてTweet広告を非表示にするもっと読むコメントを書く2019-01-26放棄ドメインの大量取得によるスクリプトの乗っ取りについてはじめに既に役目を終えたドメインの遺産はリンク切れという形でインターネット上に残ることがあります。ここでいう遺産とは、放棄ドメインに紐付くリソース(画像、外部スクリプトなど)を指します。閲覧者の目に直接触れるリソース(画像や動画など)が存在しない状態になったことを閲覧者自身が認識することはさほど難しくはありません。その一方、外部スクリプトなどの目に見えないリソースについては、それが存在しないことを閲覧者が認識することは難しいのではないかと思います。このような放棄ドメインに紐付いた「存在しない」リソースを閲覧者に気付かれないように引き継ぎ、別の用途に悪用する事象がいくつか確認できましたので、本ブログで共有したいと思います。JavaScript先日、不審な挙動を示す以下のJavaScriptを目にしました。いう外部のサーバにPOSTするというものです。データ送信を行うJavaScriptは、以下のscriptタグで読み込まれます。いずれも異なるドメインであり、閲覧者が認識できない形で秘密裏に情報を外部に送信しているように見えます。実際に送信される情報をパケットキャプチャから見てみます。Cookie以外にも、呼び出し元のサイト名、ページ名、リファラやタイムスタンプ、何らかの意味がありそうなランダムな値なども送信しています。続いてデータの送信先ホストについて見ていきたいと思います。データの送信先から見えるインフラの全体像データの送信先ホストを確認したところ、サブドメインがいくつか存在することが確認できました。前述の分も含めると、以下の4件のサブドメインが存在します。Aレコードは以下の通りです。以下、これらのホストをconnectioncdnホストと記載します。次に、外部にデータを送信するスクリプトが設置されたホストのIPアドレスを見てみます。Aレコードが2件登録されており、hashtagとpressのconnectioncdnホストと同じIPアドレスであることがわかりました。それぞれのIPアドレスに対してスクリプトを取得してみます。(hashtag[.]connectioncdn[.]com)に対して。レスポンスとして返却されるJavaScript(抜粋)は以下の通りでした。(press[.]connectioncdn[.]com)からスクリプトを取得します。レスポンスとして返却されるJavaScript(抜粋)は以下の通りでした。IPアドレスを同一とするconnectioncdnホストに対してデータをPOSTする仕様のようです。connectioncdnホストと同じIPアドレスを持つFQDNが2019年1月24日の時点で少なくとも134件存在し、いずれも上記の事例と同様、2台のconnectioncdnホストと同じIPアドレスを持つことが確認できました。一部のFQDNとIPアドレスの一覧を以下に記載します。※134件全件の一覧はIoC情報として文末に記載しています。147.135.1[.]203一部を抜粋して図示すると以下のようになります。connectioncdnホストの1台に何らかの問題が発生したとしても業務継続(?)が可能となるよう冗長構成がとられています。connectioncdnホストは2つのプロバイダ(AS30083とAS16276)にまたがっており、あらゆる事態を想定した堅牢な構成で稼動していると言えます。次に、134件のFQDNを構成する各ドメインの取得時期を見てみたいと思います。合わせて、これらのドメインが新規に取得されたものなのか、または既存のドメインを流用したものなのかを確認するために、ドメイン削除の記録があればその時期についても確認します。[history]項目から抽出しており、表中の[直前のドメイン削除日]は、ドメイン再取得の直前にそのドメインが放棄された日付を示しています。※ここでは一部のドメインのみとし、全件はIoC情報として文末に記載しています。mynameserver1.com全件を確認したところ、一部の不明なドメインを除く大半のドメインは過去に放棄された経緯があることがわかりました。放棄された時期と再登録された時期はバラバラですが、第三者が放棄ドメインを取得し、このインフラに組み込んでいるようです。どのようなスクリプトが公開されているのかconnectioncdnホストと同一のIPアドレスを持つFQDN群が、本記事の冒頭に示した不審なJavaScriptとほぼ同じ内容のスクリプトを公開していることが確認できました。何れも、Cookieを含む情報をconnectioncdnホストに対して送信するという内容です。可能な範囲で収集したスクリプトのURLを以下に示します。※ここでは一部のURLのみとし、全件はIoC情報として文末に記載しています。hxxp://beatchucknorris[.]com/scripts/25845e853781d28cd3cc44046f2717a5.min.jsこれらのスクリプトはPOST先のサーバとkパラメータの値が異なるのみであり、ほぼ全て同じ内容でした。各サイトのルートディレクトリ、及び存在しないファイルをリクエストしてみます。ルートディレクトリにアクセスしてみます。Maintenance.」という文言が表示されることが確認できました。次に、存在しないファイルをリクエストしてみます。こちらも、全てのURLで同様の文言が表示されました。このことから、特定リソースへのリクエストが来た場合にのみ特別な処理を行うように実装されていると考えられます。放棄ドメインは本来どのように使われていたのか放棄ドメインの本来の用途は様々です。WordPressやTumblrのテンプレート、フリーのソースコードサンプル、広告関連、アクセス解析などなど。外部スクリプトとして消されずに残っている可能性のあるものばかりです。詐欺サイトに誘導するための踏み台として過去にWordPressサイトに不正に埋め込まれたスクリプトが、今ではconnectioncdnホストに情報を送信する目的で使用されているのは特に興味深い点として挙げられます。まとめ最後までご覧いただきありがとうございます。私個人のレベルでは、ここまでの調査が限界でした(笑)このブログをご覧頂いた方の中で「更に深く調査してやろう」という方がもしいらっしゃいましたら、是非とも継続調査をお願いできればと思います。本記事の冒頭「外部スクリプトなどの目に見えないリソースについては、それが存在しないことを閲覧者が認識することは難しい」と述べましたが、これはあくまで閲覧者の視点での話です。外部スクリプトが改竄され、コインマイナーが仕込まれたり、カード情報が盗まれたりという話は度々報道されています。サイト運営者の方々は自サイト上のゴミを極力排除し、更に外部リソースの変化を検知できる仕組みをご検討頂くべきかと思います。(偉そうなこと言ってスミマセン!)ではでは。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。