「Gumblar」攻撃、いまだに沈静化せず--ScanSafe報告

文:Elinor Mills(CNET News) 翻訳校正:編集部2009年06月01日 18時07分
  • このエントリーをはてなブックマークに追加

 セキュリティ企業のScanSafeは現地時間5月28日、ウェブサイトを攻撃する「Gumblar」が新しいドメイン名を複数追加しているとして、注意を呼びかけた。ScanSafeによると、Gumblarはこれらドメインから無防備なコンピュータにマルウェアをダウンロードさせ、より多くのサイトを攻撃するためにFTP認証情報を盗み、ウェブトラフィックを改ざんするという。

 Gumblarの攻撃は2009年3月に開始され、ウェブサイトがセキュリティ侵害を受け、攻撃コードがサイト内に埋め込まれた。ウェブサイトに埋め込まれたマルウェアは、ロシアとラトビアのIPアドレスを持つ中国のドメイン「gumblar.cn」から配布されており、ScanSafeは5月中旬、これらのIPアドレスは英国にあるサーバからコードを配信していることを報告していた。

 ウェブサイトの運営者がマルウェアの除去を開始したことを受け、攻撃者はオリジナルの悪質なコードに代わって、動的に生成され、高度に難読化されたJavaScriptを利用するようになった。このため、セキュリティツールによる検出が難しくなっている。また、攻撃者はドメインを「martuz.cn」に変更したが、gumblar.cnとmartuz.cnは現在、両方とも閉鎖されているとScanSafeは報告している。

 ScanSafeのシニアセキュリティリサーチャーのMary Landesman氏は5月29日、攻撃者は攻撃したウェブサイトをホスティングするサーバ設定を変更したため、引き続きサーバを操ることが可能で、これらウェブサイトを訪問したユーザーのコンピュータに攻撃コードをダウンロードさせるドメインの追加を続けることも可能であると述べた。「ある時点で、(ウェブサイトへの)これらの攻撃が開始されるだろう」とLandesman氏は述べている。

 Landesman氏はまた、Gumblarは2種類のボットネット(攻撃を受けたウェブサイトによるボットネットと、感染したPCによるボットネット)を同時に構築しているとも述べた。

 攻撃されたウェブサイトを訪問すると、ユーザーがJavaScriptを有効にしている場合、PCは感染してボットネットに加わることになるとLandesman氏は言う。

この記事は海外CBS Interactive発の記事をシーネットネットワークスジャパン編集部が日本向けに編集したものです。 原文へ

  • このエントリーをはてなブックマークに追加