フィッシング攻撃に関する総括: 2018年1月～3月

Tao Yan, Bo Qu, Zhanglin HeZhanglin He 6 21, 2018 at 11:00 午前

※ 本記事は2018年6月18日に米国で掲載されたブログ記事の抄訳版となります。

要約

フィッシングは、依然として、サイバー攻撃の最も危険な脅威ベクトル(手段、経路)の1つです。エクスプロイトキットは、全体として減少傾向にありますが、「ランサムウェアから暗号通貨マイニングと情報盗難へ ― エクスプロイトキットRig EKの変遷」の記事で示したように、フィッシング自体は減っていません。直近でUnit 42は、フィッシング攻撃およびフィッシングURLについて調査を行いました。このブログでは、2018年の第1四半期、1月から3月にかけてのフィッシングの結果を、特にHTTPSを使用したフィッシングURLに重点を置いて、統計的に示します。

フィッシングURLの統計

2018年の第1四半期には、262件の固有ドメインから4,213件のURLがフィッシング攻撃で使用されました。平均すると、1ドメイン当たり16件の異なるフィッシングURLを提供していることになります。次のヒートマップは、これらの262件のドメインの地理的分布を示しています。

Nutshell_1

図1. フィッシングドメインの地理的ヒートマップ

これらのフィッシングドメインの半数以上が、米国でホストされていました。2番目以降に多い国で観測されたドメイン数は米国に比べて少数でした。2番目のドイツは28件、3番目のポーランドは13件でした(図2参照)。

Nutshell_2

図 2. フィッシングドメインが存在する国/ゾーンおよび数

また、アフリカおよび南米でもいくつかのフィッシングドメインがホストされていました。

4,213件のフィッシングURLのうち、2,066件は、複数の多様な企業や組織を標的とする、汎用のフィッシングテンプレートを使用しています。例えば、攻撃者は、フォームで「chalbhai」という名前と「next1.php」というIDを使用して、Bank of Americaの顧客を標的にしていました(図3参照)。また、同様のテンプレートが、Dropboxの顧客を標的とし、国税庁を騙る税金詐欺の手法に使用されていることも観測されています。

Nutshell_3

図 3. chalbhaiフィッシングページのソースコード例

汎用のフィッシングテンプレート以外では、Adobe顧客を標的にしたフィッシングのなりすましページのURLが1,404件、DropBox顧客を標的にしたURLが155件、Facebook ユーザーを標的にしたURLが18件、Google Docユーザーを標的にしたURLが442件、Google Driveユーザーを標的にしたURLが108件、Office 365顧客を標的にしたURLが20件ありました。図4は、標的別にフィッシングURLの分布を示した棒グラフです。この棒グラフから、合計4,213件のURLのうち、ほぼ50%を汎用のフィッシングURLが占めていることがわかります。次に、AdobeおよびGoogleの顧客を標的にしたURLがそれぞれ33%、13%と続いています。これら上位の3つ以外では、少数ながらOffice 365およびFacebookの顧客を標的にしたURLがあります。

図4. なりすましページが標的とした回数

HTTPSを使用したフィッシングURL

HTTPSを使用したフィッシングURLは、識別がより困難です。そのため、さらに労力を割いて、それらの識別と分析に取り組みました。4,213件のフィッシングURLのうち、1,010件が46件の固有ドメインからのHTTPS URLです。平均すると、1ドメイン当たり21件のフィッシングURLを提供していることになります。図5は、HTTPとHTTPSのフィッシングURLおよびドメインの比較です。

Nutshell_5

図5. HTTPとHTTPSの比較

弊社は、46件のドメインの証明書発行者も調査しました。「cPanel」が31件のフィッシングドメインの証明書を発行し、「COMODO」および「Let's Encrypt」がそれぞれ6件の異なるフィッシングドメインの証明書を、「Go Daddy Secure」が1件の証明書を発行していました。2件のドメインはすでに使用されていませんでした(図6参照)。

Nutshell_6

図6. 証明書発行者の分布

Unit 42は、すべてのホスト者および発行者にアクセスしました。「Comodo」証明書はGoogleから信頼されておらず、「Go Daddy Secure」から発行された証明書は1つのみでした。ドメインと証明書の完全なリストを IOC (脅威の痕跡) に示します。これらを不審な証明書リストに追加することを強く推奨します。

Nutshell_7

図7. フィッシングドメインの証明書発行者

フィッシングキット

フィッシング攻撃をより効果的にするために、通常、攻撃者は、(フィッシングキャンペーンで使用することを目的とした) 1つのWebサイトの変更済みファイルを複製してzipファイルにパックし、複数のハッキングしたWebサイトにアップロードします。このzipファイルは、フィッシングキットの一部とみなすことができます。zipファイルをアンパックして、フィッシングサイトに展開した後、攻撃者によっては、zipファイルをそのまま放置するため、調査研究者はそのファイルにアクセスして、内容を分析することができます。弊社の調査中に、フィッシングzipファイルのサンプルを収集しました。以下のフィッシング例は、図8および図9に示すように、Outlook/Office 365の顧客を標的にしています。

Nutshell_8

図8. フィッシングキットのディレクトリ

Nutshell_9

図9. フィッシングキットのCSSディレクトリの内容

要約

このブログでは、2018年の第1四半期のフィッシング統計を示して、フィッシングの標的の分布、汎用フィッシングテンプレート、フィッシングキットについて説明しました。特に、HTTPSを使用したフィッシングURL、および悪意を持って使用される証明書の証明書発行者の分布について示しました。HTTPSを使用したフィッシングURLには注意を払う必要があります。多くの人々がHTTPSは信頼性が高いと考えており、悪意のあるリンクの検出がより困難なためです。パロアルトネットワークス製品は HTTPSを使用したフィッシングURLを処理できますので、弊社製品をご利用のお客様はHTTPSを使用したフィッシング攻撃から保護されます。また、IPSシグネチャによってフィッシングキットを検出できます。さらに有効な脅威防御サブスクリプションをお持ちのパロアルトネットワークスのお客様は、このブログで指摘されたすべてのフィッシング攻撃から保護されます。

IOC (脅威の痕跡)

Carrentalahmedabad[.]info	(無効)	(無効)
Sdlfkjttq[.]tk	(無効)	(無効)
ana-ero[.]bid	COMODO ECC Domain Validation Secure Server CA 2	sni50732.cloudflaressl[.]com
www.discoverdiva[.]com	COMODO ECC Domain Validation Secure Server CA 2	sni222615.cloudflaressl[.]com
biomedics.000webhostapp[.]com	COMODO RSA Domain Validation Secure Server CA	*.000webhostapp[.]com
clements.000webhostapp[.]com	COMODO RSA Domain Validation Secure Server CA	*.000webhostapp[.]com
offiicceeeedrop.000webhostapp[.]com	COMODO RSA Domain Validation Secure Server CA	*.000webhostapp[.]com
re-fb.000webhostapp[.]com	COMODO RSA Domain Validation Secure Server CA	*.000webhostapp[.]com
Allamericantrade[.]eu	cPanel, Inc. Certification Authority	Allamericantrade[.]eu
Allamericantrade[.]pl	cPanel, Inc. Certification Authority	Allamericantrade[.]pl
Azadtehsil[.]ml	cPanel, Inc. Certification Authority	Azadtehsil[.]ml
Bectronix[.]tech	cPanel, Inc. Certification Authority	Bectronix[.]tech
Clearwaterfiles[.]ml	cPanel, Inc. Certification Authority	Clearwaterfiles[.]ml
Clearwaterfiles[.]tk	cPanel, Inc. Certification Authority	Clearwaterfiles[.]tk
Cloudhsh[.]com	cPanel, Inc. Certification Authority	Cloudhsh[.]com
Cristaleriags[.]es	cPanel, Inc. Certification Authority	Cristaleriags[.]es
cristelito.com[.]pl	cPanel, Inc. Certification Authority	cristelito.com[.]pl
cuh-dubai[.]com	cPanel, Inc. Certification Authority	cuh-dubai[.]comcom
diabeticosaudavel.com[.]br	cPanel, Inc. Certification Authority	diabeticosaudavel.com[.]br
Dunkelbergerz[.]ga	cPanel, Inc. Certification Authority	Dunkelbergerz[.]ga
ea23travel[.]com	cPanel, Inc. Certification Authority	ea23travel[.]com
Filtrao[.]org	cPanel, Inc. Certification Authority	Filtrao[.]org
Footworkapp[.]ga	cPanel, Inc. Certification Authority	Footworkapp[.]ga
Hentoshphotography[.]com	cPanel, Inc. Certification Authority	Hentoshphotography[.]com
mail.allamericantrade[.]eu	cPanel, Inc. Certification Authority	Allamericantrade[.]eu
mail.cristelito.com[.]pl	cPanel, Inc. Certification Authority	cristelito.com[.]pl
mecanicoadomicilio.com[.]ve	cPanel, Inc. Certification Authority	mecanicoadomicilio.com[.]ve
mic-office[.]cf	cPanel, Inc. Certification Authority	mic-office[.]cf
mic-office[.]ga	cPanel, Inc. Certification Authority	mic-office[.]ga
richbtc4u[.]com	cPanel, Inc. Certification Authority	richbtc4u[.]com
Servicenterelectronic[.]com	cPanel, Inc. Certification Authority	Servicenterelectronic[.]com
Theaafiz[.]com	cPanel, Inc. Certification Authority	Theaafiz[.]com
vweds.usa[.]cc	cPanel, Inc. Certification Authority	vweds.usa[.]cccc
www.allamericantrade[.]eu	cPanel, Inc. Certification Authority	Allamericantrade[.]eu
www.cristelito.com[.]pl	cPanel, Inc. Certification Authority	cristelito.com[.]pl
www.manglammilk[.]com	cPanel, Inc. Certification Authority	Manglammilk[.]com
www.servicenterelectronic[.]com	cPanel, Inc. Certification Authority	Servicenterelectronic[.]com
www.upperdelawarescenicbyway[.]org	cPanel, Inc. Certification Authority	Upperdelawarescenicbyway[.]org
Zyaviv[.]com	cPanel, Inc. Certification Authority	Zyaviv[.]com
Getwealthi[.]com	Go Daddy Secure Certificate Authority - G2	Chasethepaper[.]com
Farmking[.]in	Let's Encrypt Authority X3	Farmking[.]in
Cabinetdetectivi[.]ro	Let's Encrypt Authority X3	Cabinetdetectivi[.]ro
Stiesdal[.]com	Let's Encrypt Authority X3	Stiesdal[.]com
Stingereincendiu[.]ro	Let's Encrypt Authority X3	Stingereincendiu[.]ro
usps.com.runningwild.co[.]ke	Let's Encrypt Authority X3	usps.com.runningwild.co[.]ke
www.duannhatrangpearl.com[.]vn	Let's Encrypt Authority X3	duannhatrangpearl.com[.]vn

PA-800 Series

主なセキュリティ機能: すべてのアプリケーションをすべてのポートで常時識別 • 使用されているポートや暗号化（SSLまたはSSH）、セキュリティの回避技術に関わらず、アプリケーションを識別します。 • 許可、拒否、スケジュール、スキャン、帯域制御の適用などのセキュリティポリシー決定の要素として、ポートではなくアプリケーションを使用します。 • 不明なアプリケーションを、ポリシー制御、脅威のフォレンジック、またはApp-ID™アプリケーション識別テクノロジの開発が行えるよう分類します。

March 2, 2017

PA-5200 Series

パロアルトネットワークス® PA-5200 Seriesの次世代ファイアウォールアプライアンスは、PA-5260、PA-5250、PA-5220から構成されており、高速データセンター、インターネットゲートウェイ、およびサービスプロバイダでの導入に適しています。PA-5200シリーズは、ネットワーキング、セキュリティ、脅威からの防御と管理の重要な機能領域専用の処理機能とメモリを使用して、最大80Gbpsのスループットを提供します。

March 2, 2017

PA-220

主なセキュリティ機能: すべてのアプリケーションをすべてのポートで常時識別 • 使用されているポートや暗号化（SSLまたはSSH）、セキュリティの回避技術に関わらず、アプリケーションを識別します。 • 許可、拒否、スケジュール、スキャン、帯域制御の適用などのセキュリティポリシー決定の要素として、ポートではなくアプリケーションを使用します。 • 不明なアプリケーションを、ポリシーコントロール、脅威のフォレンジック、またはApp-ID™アプリケーション識別テクノロジーの開発が行えるよう分類します。

March 7, 2017

2018 年のセキュリティ脅威予測とベストプラクティス

2017年のセキュリティの振り返りに引き続き、パロアルトネットワークスが2017年までの傾向から見る、2018年の主なセキュリティ脅威予測とベストプラクティスについて紹介します。

Palo Alto Networks, January 26, 2018

サイバー犯罪のアンダーグラウンドを探る: パート4 – ダークネット市場

February 16, 2017

EncodedCommandによるPowerShell攻撃を暴く

PowerShellは過去数年間で人気を獲得し続けていますが、それはこのフレームワークが発達し続けているからです。したがって、PowerShellを多くの攻撃で見かけるようになっていても少しも驚くことではありません。PowerShellはシステム上の広範囲にわたる機能を攻撃者にネイティブなものとして提供します。有害なPowerShellツールが溢れかえっている現状をざっと見渡してみると、PowerShellの伸びを示す十分な兆候が見て取れます。