ファーマハックの新傾向：.suおよび.euドメインへのリダイレクトが発生

ファーマハック(製薬スパムハック)自体は新しい脅威ではありません。これまでにも、WordPressをはじめとする多くの人気CMSがファーマ系マルウェアの標的となってきました。しかし、リダイレクト先として.su(旧ソ連)や.eu(EU)ドメインのサイトが使われ始めたのは、ごく最近確認された動向です。

ご存知の通り、ファーママルウェアはその目的によってさまざまなタイプに分かれます。データ窃取を目的とするものもあれば、ブラックハットSEOのためにウェブサイトへスパムリンクを注入することを目的とするものもあります。実際、ブラックハットSEO感染を狙ったファーマハックはかなり一般的です。

この手の感染は、サイトへのアクセスを「バイアグラ」「シアリス」などの医薬品を販売すると称する偽サイトへリダイレクトします。最近では、.euや.suといったTLDを使用するこうしたサイトが多数出現しています。さらに、この種の感染は検知が非常に困難です。マルウェアが閲覧者ごとに異なるコンテンツを出し分け、自身の存在を隠しているためです。

本記事では、このマルウェアの仕組みについて詳しく解説します。

ハッキングされていませんか?Astraに今すぐマルウェア除去をご依頼ください。

ファーマハックによるリダイレクトの仕組み

感染の原因

この種の感染につながる要因は数多くあります。ここでは、特によくある原因を紹介します:

• XSSやSQLインジェクションなど、各種インジェクション脆弱性
• 脆弱なFTPパスワードや初期認証情報の使用
• 更新されていないプラグインや未修正のCMS脆弱性
• 不適切なサーバー設定

マルウェアは、これら(またはその他)の脆弱性を突いてウェブサイトに侵入し、悪意のあるファイルを作成してその中に潜みます。これらのファイルには通常、ランダムな名前が付けられています。ユーザーを偽の製薬サイトへリダイレクトする感染PHPファイルの名前の例は以下の通りです。

すべての亜種がPHPファイルを使うわけではありません。中には、同様にランダムな名前が付けられたHTMLファイルを利用するものもあります。感染HTMLファイルの名前一覧は次の通りです。

検知を回避するため、マルウェアはいくつかの狡猾な手法を用いています。その一例を以下に示します。

マルウェアが使う検知回避テクニック

以下のコードを見てください:

コード上部の配列には、リダイレクトURLのドメイン名がエンコードされた形で格納されています。URLは巧妙に隠されていますが、上記コードの関数m()と関数d()によって抽出されます。

まず、コードの1行目で配列が関数m()に渡されます。関数m()はそれを関数d()へ渡します。関数d()は「array_shift」メソッドで配列の最初の要素を取得します。この場合、その値は79です。

その後、PHPの「foreach」関数で配列の各要素を順に処理し、最初の要素である79を各要素から引き算していきます。得られた数値は、PHPの「chr」関数によってASCIIコードから対応する文字へ変換されます。

例えば、配列の2番目の要素は183です。183-79=104となり、これはASCII文字の「h」に対応します。したがって、最終的なリダイレクト先ドメインは(https:// hotprivatetrade[dot]su)となります。

このドメインを調査すると、「バイアグラ」や「シアリス」などの製品を販売する偽の製薬ストアであることがわかります。偽サイトには完全な商品カタログまで用意され、カート機能さえ備えており、ユーザーからクレジットカード情報を騙し取ろうとします。

ユーザーがチェックアウトすると、クレジットカードのフィッシングページは別の悪意あるドメイン上でホストされ、なんとSSL証明書まで取得されています。例:https://checkoutzdsuyfsw[dot]saferxprovider[dot]com/cart/checkout/

また、下の画像にあるように、マルウェアは他の複数のウェブサイトにもリダイレクトします。これらのサイトは画像末尾に記載のIPアドレス上でホストされています。

主な亜種

404.php型

404.phpという名前のPHPファイルは、サイト上でカスタムエラーメッセージを表示するために使われるものです。マルウェアのある亜種は、以下のコードのように、WordPressテーマ内にエンコードされた404.phpファイルを作成します。

コードを見ると、このマルウェアはHTMLの<map>タグを利用しています。<map>タグは本来、画像上にクリック可能な領域を作成するためのものです。このクリック可能領域を通じて、ユーザーを悪意ある製薬サイトへリダイレクトします。

メタタグ型

同じマルウェアの別のタイプは、HTMLの<meta http-equiv="refresh">タグを使ってユーザーをリダイレクトします。「http-equiv」属性はHTTPヘッダーの応答をシミュレートする役割を持ちます。content=5オプションにより5秒後にページが更新され、その後ユーザーは「url」オプションで指定された場所へ転送されます。また、リダイレクト時には「Please wait 5 seconds! Redirecting to site.(5秒お待ちください!サイトへ移動します)」というメッセージが表示されます。

JavaScriptリダイレクト型

さらに別の亜種は、メタリフレッシュとwindow.location.hrefリダイレクトを組み合わせて使用します。window.locationオブジェクトは通常、ユーザーを新しいページへ転送したり、現在のページアドレスを取得したりするために使われます。ここでは、何らかの理由でメタタグによるリダイレクトが失敗した場合に、window.location.hrefがバックアップとして機能する仕組みです。

感染を防ぐための対策

この種のファーマスパムは、あなたのサイトに壊滅的な影響を及ぼしかねません。直帰率の増加だけでなく、ウェブサイトの評判やSEO評価に対しても長期的な悪影響をもたらします。ファーマハックリダイレクトマルウェアへの感染を防ぐために、以下の対策を実施しましょう:

• サイトの設定を見直し、脆弱な箇所を修正する。推測されにくいランダムな強力なパスワードを使用する。
• 開発・保守が終了したプラグインやテーマの使用を避ける。不審なプラグインは速やかに削除する。
• CMS本体、プラグイン、テーマを常に最新の状態に保つ。
• 定期的にセキュリティ監査を実施し、ファイアウォール(WAF)を導入する。

もしサイトがこのようなマルウェアに感染している場合は、Astraにマルウェア除去をご依頼ください。Astraはサイトの駆除だけでなく、再発防止まで保証します。競争力のある価格で提供されるAstraのセキュリティソリューションには、他にも多彩なセキュリティ機能が搭載されています。

まだ迷っていますか?今すぐデモをお試しいただき、その効果をぜひご自身で確かめてください!