フィッシングページへの多重リダイレクトが発生するWebサイト――あなたのサイトはハッキングされている?

ブラウザが何の理由もなく偽のテクニカルサポートサイトへ勝手に誘導された経験はありませんか?その経験があるなら、あなたはすでに「EITest」を目撃していることになります。EITestは、最も巧妙な悪意ある配信キャンペーンの一つで、2017年にInternet Explorer経由でユーザーを偽テクニカルサポートサイトへリダイレクトすることから始まりました。さらに偽のChromeフォントエラーを装い、多重リダイレクトを行う手口も用いていました。

このキャンペーンは、史上最大級かつ最も精巧な詐欺キャンペーンの一つとされています。複雑かつ広範囲に張り巡らされたインフラネットワークを持ち、EITest以外にも数多くの手口を駆使して運営されていました。背後にいる首謀者たちは、「訪問者を偽テクニカルサポート詐欺や有害サイトへ誘導する」という単一の目的のために、数百ものドメインを作成し続けています。

この詐欺キャンペーンの主な特徴は以下の通りです。

• トラフィック収益化企業が管理する完全なボットネットワークが詐欺の背後に存在する
• 2,800以上の侵害されたウェブサイトがこの詐欺に関与している
• 運営者は毎日100以上の新規ドメインをこの目的のために作成している

EITest詐欺とは

このキャンペーンの仕組みは非常にシンプルで、細部にわずかな変更があるだけで基本的には一貫しています。最初のステップはランディングページへの誘導です。ケースによってページの見た目は多少異なりますが、その機能は同じです。つまり、ユーザーのブラウザを乗っ取り、閉じられない状態にします。パニックになったユーザーは、画面に表示された指示に従わざるを得なくなるのです。詐欺師たちはブラウザを制御し続けられるよう、ランディングページを頻繁に変更しています。

EITest詐欺のランディングページ(トラフィック分配の王者)

ランディングページに記載された電話番号に連絡した訪問者は、コンピュータを遠隔操作できるソフトウェアのインストールを求められます。その後、ハッカーは訪問者のWindowsサービスやイベントログを表示し、それらを「感染の兆候」であるかのように装います。訪問者を納得させた後、100ドルから約600ドルの費用で問題を「修復」すると提案してくるのです。この詐欺は間違いなくトラフィック分配の王者(King of Traffic Distribution)と呼ぶにふさわしいものです。

さまざまな多重リダイレクトのメカニズム

この詐欺グループは、訪問者を悪意あるサイトへ誘導するためにさまざまな手法を使用していました。場合によってはインフラ自体も異なり、これは複数のハッカーが暗躍している事実と一致します。調査の結果、4種類のリダイレクト手法が確認されました。

EITestリダイレクト

この手法は、EITestに感染したウェブサイトを利用して訪問者をリダイレクトします。EITestに感染したサイトは、ページの読み込み時にJavaScriptを注入する能力を持っています。2017年以降、このスクリプトはFirefox、Internet Explorer、Edgeなどのブラウザ上で動作してきました。スクリプトはまず、実際のブラウザ環境で実行されているかどうかを検証します。その後、「popundr」という名前のCookieを設定し、ユーザーを偽のURLへ誘導します。おとりドメインはKing ServersのIPアドレス範囲内にある204.155.28.5へ解決されました。このキャンペーンでは毎日新しいドメインが作成されており、そのパターンは「/?{6文字}」というルール内の形式で容易に識別できます。ただし、このパターンは1日に4回以上変更されます。

特定のパターンと多数のおとりドメインを使用する理由は、彼らのKeitaroトラフィック分配システム(TDS)を経由してルーティングできるようにするためです。TDSのパネルは、URN/adminでアクセス可能なIPアドレスから簡単に閲覧できます。リクエストを最終ページに到達させる前にTDS経由でルーティングする目的は、トラフィックをより細かく制御し、複数のキャンペーンを同時に管理できるようにするためです。また、このURL経由でリダイレクトする相手を徹底的にフィルタリングしています。少なくとも、リダイレクトを許可する前にリクエスト元のユーザーエージェントを検証していることが分かっています。MSIEタグを含むユーザーエージェントで偽のEITest URLにクエリを送るだけで、TDSは目的のランディングページへ302リダイレクトを返しました。

Crypperリダイレクト

この手法は毎時約165件のリダイレクトを生成していました。これらのリダイレクトを担っていたのはluyengame.comというサイトです。以下はリダイレクトを担当するPHPコードです。

まずPHPは出力されるすべてのエラーを非表示にし、次に訪問者のユーザーエージェントとリファラーを識別します。コードは当初、訪問者が本物の人間かどうかもチェックします。ボットであれば操作はそこで終了します。さらに訪問者がモバイルデバイスを使用しているかどうかも確認します。ボットではなく、モバイルデバイスでもない場合にのみ、処理が続行されます。

チェック後、コードは現在テックサポート詐欺を提供しているドメインを取得し、パス名「/index/?2661511868997」を追加します。新しいURLが作成されると、「redirectdd」関数が呼び出され、roi777.comが提供するドメインが出力されます。完了すると、スクリプトは「15610651_CRYPPER」というCookieを設定し、locationを使ってユーザーをリダイレクトします。シンプルながら、多くの訪問者を誘導するのに十分な効果的な手口です。

Bizリダイレクト

このキャンペーンは毎時1,800件以上の多重リダイレクトを生成していました。担当していたのはmyilifestyle.comとwww.fertilitychef.comで、それぞれ1,199件と1,091件のリダイレクトを行いました。

この詐欺は、TSS(Tech Support Scam)に追加されたパス「/index/?2171506271081」によって識別できます。このスクリプトはhxxp://5.45.67.97/1/jquery.js.phpから別のスクリプトを取得して実行し、以下のようなリダイレクトにつながります。

プラグインリダイレクト

このリダイレクトは毎時180件以上を生成しており、担当サイトはArchive-s54.infoです。この多重リダイレクトのコードは「文字列反転(reverse string)」関数を使って隠されており、検出や解析がより困難になっています。コードに再度反転関数を適用すると、すべての悪意あるURLが明らかになりました。以下がそのURLです。

1. hxxp://www.katiatenti.com/wp-content/plugins/sydney-toolbox/inc/
2. hxxp://kodmax.com/wp-content/plugins/twitter-widget-pro/lib/
3. hxxp://stefanialeto.it/wp-content/plugins/flexible-lightbox/css/
4. hxxp://emarketing-immobilier.com/wp-content/plugins/gotmls/safe-load/.

これらのサイトにアクセスすると、Cookieが設定され、訪問者はTSSのランディングページへリダイレクトされ始めます。言うまでもなく、これら4つのサイトはすべてハッキングされています。

コード内の固有の定数を検索すると、約8,000のウェブサイトがこの感染を受けていることが判明しました。訪問者をリダイレクトしていた悪意あるPHPコードは、すべてのクエリ詳細をテキストファイルにも記録していました。このテキストファイルは同じサーバー上に置かれており、各クエリについてタイムスタンプ、IPアドレス、ユーザーエージェントの情報が含まれていました。データを分析したところ、7,000を超える一意のリダイレクトが確認されました。キャンペーンは継続中のため、多重リダイレクトの数は今も増え続けています。

Locationforexpertリダイレクト

一部のウェブサイトは、パス「/index/?1641501770611」を持つTSSドメインへ訪問者をリダイレクトしていました。コードを元の形式に戻すと、リダイレクトの仕組みが明確になります。クライアントはhxxp://ads.locationforexpert.com/b.phpのURLにクエリを送ります。URL内のファイル名は頻繁に変更されます。そしてリモートスクリプトが、多重リダイレクト用のURLを送り返してくるのです。

ContainerRUリダイレクト

このキャンペーンは毎時300件以上のリダイレクトを生成しており、www.cursosortografia.comが主要な犯人の一人でした。ハッカーはコードをbase64エンコードした偽の画像の中に隠していました。

まずコードは、ブラウザがChromeまたはFirefoxかどうかを検証します。これに該当する場合、スクリプトはペイロードを提供するURLへ訪問者をリダイレクトします。ブラウザがInternet Explorerの場合は、hxxp://div-class-container.ru/index5.phpへユーザーを誘導し、そこからHTTP 301でTSSページへリダイレクトします。いずれの場合でも、感染ドメインが「edu」「mil」「gov」で終わる場合は、スクリプトはユーザーをリダイレクトしないようになっていました。

Doorwayリダイレクト

Doorwayリダイレクトを理解するには、まず「Doorway(ドアウェイ)」とは何かを知る必要があります。Doorwayスクリプトとは、検索エンジンのクローラーを騙してブラックハットSEOの改変を行うことを可能にする、隠蔽されたPHPコードのことです。この詐欺で使用されたDoorwayははるかに高度で、所有者にサイトに対するあらゆる操作を許してしまいます。コンテンツの注入や改変が自由に行えるのです。多くの場合、所有者はDoorwayをPHPバックドアへとアップグレードしています。この詐欺への多重リダイレクト数が最も多いのはarchive-s54.infoで、その他にはsharesix.com、www.gowatchfreemovies.to、myilifestyle.com、www.primewire.ag、shareepo.com、www.fertilitychef.com、filenuke.comなどがあります。

その他のリダイレクト

上述のリダイレクト以外にも、このインフラは別の形でも機能していました。

• Chrome拡張機能: 一部のリダイレクトは、Chromeウェブストア上の偽プラグインへ誘導されていました。これらのプラグインは大規模な感染と多重リダイレクトによってトラフィックを生み出していました。バックエンドサーバーはRoi777に属し、すべてのトラフィックを担当していました。アプリケーションの状態を分類する管理パネルまで備えていたのです。プラグインの目的は、広告や偽ソフトウェアのインストールなど、危険なサイトへの多重リダイレクトそのものでした。
• Androidアプリ: このインフラのドメインは、一部のAndroidアプリも配信していました。ペイロードがダウンロードされると、アプリは別のドメインに接続します。これらのアプリは、ユーザーを悪意ある広告やTSSへリダイレクトする能力を持っています。

Cryptoマルウェアによるウェブサイト感染で、サイト利用者が悪意あるサイトへリダイレクトされる問題にお困りの場合は、詳しい解説記事をご覧ください。また、WordPress、Magento、Drupalサイトからクリプトマイニングマルウェアのハッキングを除去する方法についての記事も併せてご確認ください。

MagentoやOpenCartストアが悪意ある広告サイトへリダイレクトされる、あるいはWordPressサイトが悪意あるページへ飛ばされるといった問題については、修正方法を解説した記事をご参照ください。

誘導されたトラフィックの分析

各種TDSとTSSキャンペーンを支えるサーバーを分析したところ、さまざまな悪意ある活動に結びつく膨大かつ多様なトラフィックが確認されました。この背後にいるハッカーは、偽ソフトウェアや詐欺に加えて、多数のウェブサイトにバックドアやウェブシェルを仕込んでいます。これにより、大量のサイトを支配下に置き、多重リダイレクトを実現しているのです。

詐欺ドメインの利用

TLDが.TKのドメインは1日に100回以上変更されていました。30日間で29以上の such ドメインが記録されています。最も多い解決先IPは以下の通りです。

• 35%が204.155.28.5(King Servers)に解決
• 30%が185.159.83.47(King Servers)に解決
• 5%が54.36.151.52(OVH)に解決

PHPバックドア

多数のボットがRoi777に属するサーバーへ報告を返していました。合計1,500以上の感染ウェブサイトがこのサーバーに報告していたのです。報告していたサイトには2種類のバックドアがありました。1つ目はDoorway型で、300以上の異なるウェブサイトがサーバーから注入用コンテンツを絶えず要求していました。もう1つのタイプのバックドアでは、1,000以上の感染サイトが挿入用コンテンツを求めてサーバーに接触していました。関与していたCMSの種類は以下の通りです。

• WordPress:211
• OpenCart:41
• Joomla:19
• Magento:1
• 不明:904

もう一方のバックドアは、コードの取得と実行が可能なタイプです。ほとんどのコードはfped8.org/doorways/settings_v2.phpに対してクエリを送っており、適切なパラメータ付きのクエリに対しては実行すべきコードが返却されました。これにより、Doorway経由でPHPシェルを展開することが可能になっていたのです。

コードをデコードして分析したところ、このPHPスクリプトは現在の訪問者のユーザーエージェントとともにhxxp://kost8med.org/get.phpへクエリを送ることが判明しました。この方法でIPアドレスとページを取得し、ページの所有者は望むままにあらゆるコンテンツをページへ注入し、リダイレクト用サイトとして利用できてしまうのです。

特筆すべきは、ドメインkost8med.orgが162.244.35.30に解決され、これがRoi777に属している点です。コードの後半部分には、「p」パラメータに正しいパスワードが含まれている場合に、POSTパラメータの「c」フィールド内のすべてのリクエストを実行する関数がありました。「p」のパスワードは、MD5ハッシュでハードコードされた設定済みパスワードと比較される前に、2回ハッシュ化されていました。WordPressにおいて、このバックドアは通常以下のファイルに潜んでいます。

1) wp-config.php

2) index.php

3) wp-blog-header.php

4) footer.php

感染ベクター

多くの場合、悪意あるコードはWordPressの「Genesis」というプラグイン内のfooter.phpファイルに配置されていました。このプラグインは2016年の時点で脆弱であると既に認識されていました。しかし、その他の多くのプラグインも、ブルートフォース攻撃や他の侵害済みプラグインなどを通じてさまざまな手段で悪用されていました。

考察

バックエンドサーバーへの多数のリクエストを分析すると、興味深いGETリクエストがトラフィックの中に見つかりました。リクエストの形式はhxxps://wowbelieves.us/tech_supportv2.php?update_domain=<Tech support Scam domain>というものでした。「update_domain」パラメータを安全なドメインに置き換えることで、すべてのトラフィックを取得できました。つまり、パラメータを変更すれば、バックドアが多重リダイレクトの依存先とするドメインを変更できたのです。ただし、パラメータ内のドメインは1日に何度も変更されます。一度変更すると、彼らは管理下にあるドメインでパラメータを更新し続けます。

インフラを変更から守るため、彼らはドメイン名に「ropl」を付加した文字列をMD5でハッシュ化しただけのキーを適用していました。取得したトラフィックを分析すると、IPアドレス89.108.105.13からのリクエストだけが除外されていることが明らかになりました。おそらくこれは、Doorwayとインフラ全体を管理するサーバーのIPだったのでしょう。

この詐欺の手口からは複数のアクターが関与していることが示唆されますが、Roi777が繰り返し登場することから、同社がこの詐欺の中心的存在であることは明らかです。大多数のスクリプトは最新ドメインを取得するためにroi777.com/domain.phpへアクセスしています。Roi777は自社のウェブサイトも持っており、トラフィック生成の成功事例を紹介すらしています。

まとめ

Roi777という名前の背後にいるすべてのアクターは、悪意あるコードやアプリケーションを配布することで最大限のトラフィックを獲得しようとしています。無防備な訪問者を侵害済みのプラグインや拡張機能を通じて感染させ、金銭利益のために彼らを危険に晒しているのです。彼らは今も活動を続け、金銭目的でトラフィックをリダイレクトしています。

EITestリダイレクトはこのキャンペーンの全責任を担う存在であり、バックエンドサーバーのIPが暴露された後もなお、バックドアを保持し続けています。堅牢なウェブサイトセキュリティサービスなしには、これらのスクリプトを完全に除去することはできません。Astraのようなサービスなら、サイト上のあらゆる悪意あるコンテンツを排除し、有害なプラグインやPHPコードを含む外部からの脅威からサイトを保護できます。

画像ソース:MDNC