広告ブロック回避サービスがハッカーに乗っ取られてマルウェア配信

by Christiaan Colen

アドブロックを使用しているウェブサイト閲覧者に対し「邪魔にならない広告」を表示させ、ユーザーに無料でアナリティクスを提供するサービス「PageFair」がハッカーの攻撃に合い、ウェブサイトが乗っ取られ、いつものようにサービスを利用しようとしたユーザーをマルウェアの危険にさらす、という事態が発生しました。

Hackers use anti-adblocking service to deliver nasty malware attack | Ars Technica
http://arstechnica.com/security/2015/11/hackers-use-anti-adblocking-service-to-deliver-nasty-malware-attack/

Halloween RAT: NanoCore Served Via PageFair Service | News from the Lab
https://labsblog.f-secure.com/2015/11/02/halloween-rat-nanocore-served-via-pagefair-service/

Halloween Security Breach | Inside PageFair
http://blog.pagefair.com/2015/halloween-security-breach/

ハッカーの攻撃はくしくもハロウィーンである10月31日に開始。スピアフィッシングに始まり、最終的にアタッカーはPageFairのコンテンツ配信ネットワークのアカウントにアクセスし、パスワードをリセットしてPageFairのJavaScriptコードを書き換えたとのこと。その結果、約90分後にはPageFairがハッカーの支配下に置かれてしまい、PageFairのユーザーページを訪れた人は501ページに飛ばされ、「Adobe Flashを更新してください」と表示するポップアップウィンドウからAdobe Flashを模したマルウェアのインストールを促される事態に。

実際に書き換えられたJavaScriptはこんな感じ。

501ページでは以下のようなポップアップウィンドウが表示されました。

PageFairのCEOであるショーン・ブランチフィールド氏は「我々の無料解析サービスを利用している人々が、このような事態に失望し怒りを感じるのは当然です。83分の間、PageFairの解析サービスは悪意あるJavaScriptを用いるハッカーたちの危険にさらされました。このような事態が発生し非常に残念です。ユーザーたちには、同様の事態が二度と起こらないことを保証します」と語りました。

セキュリティ・プロバイダーのF-Secureによると、今回の攻撃は「Nanocore」というマルウェアを使用したもの。NanocoreはWindows搭載マシンにしか感染せず、またアンチウイルスソフトを使っていれば検知されるため、実際にソフトウェアをインストールした人は501ページに飛ばされた人のうち2～3％、数にすると500人ほどにとどまったようです。

by Emma Brabrook

今回の事件は、「よく知ったウェブサイトにアクセスしていてもハッカーの攻撃にあう危険性はある」ということを示す例となりそうです。