偽のjQueryを利用した攻撃、「WordPress」「Joomla」を利用するサイトで急増

Charlie Osborne （Special to ZDNET.com）翻訳校正：村上雅章野崎裕子

2016-04-05 16:32

　サイバーセキュリティ企業Avast Softwareの研究者らは、ハッカーが「jQuery」というJavaScriptのライブラリを悪用し、オープンソースのコンテンツ管理システムである「WordPress」や「Joomla」を利用している数多くのウェブドメインに悪意のあるコードを注入していると警告している。

　Avastによると、ウェブサイトに偽のjQueryを注入するというインジェクション攻撃がこのところ活発化しているという。同社ブログには、ある攻撃手法が過去数カ月で急増しており、その攻撃においてWordPressやJoomlaを使用しているウェブページのheadセクション内に、偽のjQueryスクリプトを注入するという手段が用いられていると記されている。その結果、ハッカーの手に落ちたドメインや悪意のあるドメインによる感染の巣が生み出されている。

　研究者らによると、ハッカーの手に落ちたウェブサイト上の約7000万におよぶファイルで偽のjQueryスクリプトが見つかっているという。また、「異常とも言える大量のドメイン」が影響を受けている結果、2015年11月以降で累計450万人のユーザーが、改ざんされたウェブサイトにアクセスしているという。

　悪意のあるコードが潜在的な被害者や、ウェブサイトへの訪問者に対して尻尾を見せることはない。偽のjQueryスクリプトはウェブページのソースコードを見なければ確認できないのだ。このスクリプト自体は単純であり、いくつかの変数と、悪意のあるドメインによってホストされている別のJavaScriptソースを参照する「if」ステートメント1つで構成されている。

　攻撃の引き金となるこれらのコードは、ウェブページがロードされた後、10ミリ秒の遅延時間を置いてから実行を開始する（インジェクション攻撃では、こういった遅延時間を置くのが一般的であり、より長い遅延時間を設定しているケースも多い）。また実行コードは、「?」や「:」「@」といった特殊文字をエンコードするための「encodeURIComponent」関数も使用している。

　研究者らは、「最後の条件チェックで変数に必要な値が入っているかどうかを調べ、その評価をした後で別の場所にあるスクリプトをウェブページに挿入する」と解説している。

　いったんコードが注入されると、該当コードは他のドメインのSEOランクを引き上げるために用いられるようになる。これによりハッカーは、自らの手に落ちたウェブサイトのアクセス数を増やすことで、感染を拡大させるだけでなく、広告収入を不正に増やしたり、偽のドメインを利用した詐欺行為を働いたりできるようになる。

　悪質なインジェクション攻撃の対象となっている主な地域は以下の通りだ。