新たなブラウザ攻撃手法が見つかる--ユーザーがウェブページを離れた後も有効

Catalin Cimpanu (ZDNet.com) 翻訳校正: 編集部 2019年02月26日 12時01分

  • このエントリーをはてなブックマークに追加
  • 印刷

 ユーザーが感染したウェブページを閉じたり、そこから離れたりした後でも、ユーザーのブラウザ内で悪意あるコードを実行できる新しいブラウザベースの攻撃がギリシャの学者らによって考え出された

 「MarioNet」と呼ばれるこの新しい攻撃は、ユーザーのブラウザから巨大なボットネットを構築するための扉を開く。研究者によると、これらのボットネットは、ブラウザ内での不正な仮想通貨マイニング(クリプトジャッキング)、DDoS攻撃、悪意あるファイルのホスティング/共有、分散型のパスワードクラッキング、プロキシネットワークでの不正リレー、クリック詐欺の宣伝、トラフィック統計のかさ増しに使用できる。

 MarioNet攻撃は、ブラウザベースのボットネットを作成する同様の概念を発展させたものだ。この概念は、2007年に「Puppetnets」(パペットネット)研究論文で説明されている。

 両者の違いは、ユーザーがブラウザのタブを閉じたり、悪意あるコードをホスティングしているウェブサイトから離れたりした後も、MarioNetが有効であることだ。

 これが可能なのは、最近のウェブブラウザが「Service Worker」という新しいAPIをサポートするようになったからだ。この仕組みのおかげで、ウェブサイトは、ページのユーザーインターフェースをレンダリングする操作を、高負荷な計算タスクを処理する操作から分離させて、大量のデータを処理するときにウェブページの画面がフリーズするのを防ぐことができる。

 技術的には、Service Workerは、「Web Worker」と呼ばれる従来のAPIと異なり、一度登録してアクティブにすると、そのページのバックグラウンドで存在し続け、動作することができる。ユーザーがそのService Workerを読み込んだサイトを参照し続ける必要はない。

 MarioNetは、ブラウザでService Workerによって提供される機能を利用する。

 攻撃ルーチンは、ユーザーが攻撃者の制御するウェブサイトにアクセスしたときにService Workerを登録し、次に ServiceWorker APIのSyncManagerインターフェースのバックグラウンド同期機能を悪用して、ユーザーがそのウェブサイトから離れた後もService Workerがアクティブな状態を維持するというものだ。

 この攻撃はサイレントであり、ユーザーとのやり取りを一切必要としない。ブラウザはService Workerを登録する前に、ユーザーに警告を発したり、許可を求めたりしないからだ。

 さらに、MarioNetの攻撃では、攻撃ポイントを分離できる。ユーザーへの感染にはウェブサイトAを使い、後からサーバBを使ってService Workerを制御することができる。

提供:Image: Papadopoulos et al.
提供:Image: Papadopoulos et al.

 これにより、攻撃者はトラフィックの多いウェブサイトに短期間だけ悪意のあるコードを配置して多くのユーザーベースを獲得して(悪意のあるコードを削除し)、別のセントラルサーバから感染したブラウザを制御し続けることができる。

 さらに、MarioNet攻撃はPush APIを悪用することによってブラウザの再起動後も影響力を持続することができる。ただし、ここでは攻撃者が、感染したホストからこのAPIにアクセスするためのユーザーの許可を取得する必要がある。

 MarioNet技術によって作成された後続のボットネットは、その後さまざまな犯罪行為に使用される可能性がある。

 Service Workerは数年前に導入されたため、MarioNet攻撃はほとんどすべてのデスクトップおよびモバイルブラウザで機能する。機能しないのは、(デスクトップ向けでは)IE、(モバイル向けでは)Opera MiniおよびBlackberryだけだ。

攻撃はほとんどすべてのデスクトップおよびモバイルブラウザで機能する
提供:Image: Papadopoulos et al.

 研究論文では、MarioNetがマルウェア対策のためのブラウザ拡張機能やマイニング対策から検出されないようにするための方法についても説明しており、ブラウザメーカーが取ることができるいくつかの緩和策も提案している。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

ZDNet Japan 記事を毎朝メールでまとめ読み(登録無料)

  • このエントリーをはてなブックマークに追加

関連ホワイトペーパー

SpecialPR

連載

CIO
月刊 Windows 10移行の心・技・体
ITアナリストが知る日本企業の「ITの盲点」
シェアリングエコノミーの衝撃
デジタル“失敗学”
コンサルティング現場のカラクリ
Rethink Internet:インターネット再考
インシデントをもたらすヒューマンエラー
トランザクションの今昔物語
エリック松永のデジタルIQ道場
研究現場から見たAI
Fintechの正体
米ZDNet編集長Larryの独り言
大木豊成「仕事で使うアップルのトリセツ」
山本雅史「ハードから読み解くITトレンド放談」
田中克己「展望2020年のIT企業」
松岡功「一言もの申す」
松岡功「今週の明言」
内山悟志「IT部門はどこに向かうのか」
林 雅之「デジタル未来からの手紙」
谷川耕一「エンプラITならこれは知っとけ」
大河原克行「エンプラ徒然」
内製化とユーザー体験の関係
「プロジェクトマネジメント」の解き方
ITは「ひみつ道具」の夢を見る
セキュリティ
セキュリティインシデント対応の現場
エンドポイントセキュリティの4つの「基礎」
企業セキュリティの歩き方
サイバーセキュリティ未来考
ネットワークセキュリティの要諦
セキュリティの論点
スペシャル
エンタープライズAIの隆盛
インシュアテックで変わる保険業界
顧客は勝手に育たない--MAツール導入の心得
「ひとり情シス」の本当のところ
ざっくり解決!SNS担当者お悩み相談室
生産性向上に効くビジネスITツール最前線
ざっくりわかるSNSマーケティング入門
課題解決のためのUI/UX
誰もが開発者になる時代 ~業務システム開発の現場を行く~
「Windows 10」法人導入の手引き
ソフトウェア開発パラダイムの進化
エンタープライズトレンド
10の事情
座談会@ZDNet
Dr.津田のクラウドトップガン対談
Gartner Symposium
IBM World of Watson
de:code
Sapphire Now
VMworld
Microsoft Inspire
Microsoft Connect()
HPE Discover
Oracle OpenWorld
Dell Technologies World
AWS re:Invent
AWS Summit
PTC LiveWorx
吉田行男「より賢く活用するためのOSS最新動向」
古賀政純「Dockerがもたらすビジネス変革」
中国ビジネス四方山話
ベトナムでビジネス
日本株展望
企業決算
このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]