分析概要

• Adobe Flash Playerは、2015年にエクスプロイトキットによって悪用された上位10の脆弱性のうち8つを提供していた。
• MicrosoftのInternet ExplorerやSilverlightの脆弱性も主要な標的です。
• Anglerは現在最も人気のあるエクスプロイトキットであり、Cryptolockerなどのマルウェアと頻繁に関連付けられている。
• 標的となる脆弱性を特定することで、組織内のパッチ管理機能をより効果的に活用できる。
• 一部のセキュリティ専門家は、Adobe Flash Playerをアンインストールすることを推奨しています。「クリックして再生」を有効にするのは、一時的な対策です。

100 を超えるエクスプロイト キット (EK) と既知の脆弱性のRecorded Future脅威インテリジェンス分析を記録すると、最も頻繁に悪用される製品としてAdobe Flash Player が特定されました。 Adobe Flashの脆弱性が犯罪者やマルウェアの侵入経路として頻繁に利用されていることは、情報セキュリティの専門家にとっては驚くべきことではないはずだが、その規模は甚大である。

2015年1月1日から2015年9月30日までのWeb分析によると、エクスプロイトキットによって悪用された上位10の脆弱性のうち8つはAdobe Flash Playerに関するものでした。その他の悪用された脆弱性は、Microsoft Internet Explorer バージョン 10 および 11 (CVE-2015-2419) と、Silverlight を含む Microsoft 製品 (CVE-2015-1671) に影響します。

背景

エクスプロイトキットは、ユーザーがマルウェアのインストールごとに料金を支払う、サービスとしての犯罪ウェア（CaaS）の一種です。ユーザーは、ペイロード（Cryptolockerなどのマルウェア）と、生成されたURLを配布する手段を提供するだけでよい。この URL は、情報漏洩/侵入サイトや悪意のあるサードパーティの広告 (マルバタイジング) を通じて拡散する可能性があります。 これらのエクスプロイトキットを開発しているチームは、顧客が要求するペイロードをより効果的に配信することで収益を増やせるため、ソフトウェア向けの新たなエクスプロイトを継続的に追加している。

エクスプロイト キットの被害者は、情報漏洩 / 侵入 Web ページを読み込んだり、マルバタイズを行ったり、無意識のうちにエクスプロイト キットのランディング ページへの悪意のあるリンクをたどったりします。 Sophosによると、「ランディングページは、エクスプロイトキットのコードの出発点となる」とのことです。EKはHTMLとJavaScriptを組み合わせて使用し、訪問者のブラウザとプラグインを識別し、ドライブバイダウンロードにつながる可能性が最も高いエクスプロイトを展開するために必要な情報をキットに提供します。

エクスプロイトキットが標的とする脆弱性を理解することで、組織内のパッチ管理機能により明確に役立ちます。

釣り人向けエクスプロイトキットに注目

Anglerは、最も人気があり、よく知られたエクスプロイトキットの一つであり、数々の著名なマルバタイジングやランサムウェア攻撃キャンペーンと関連付けられています。2013年に初めて登場したこのマルウェアは、新しい脆弱性の採用が急速に進み、 多くのアンチウイルス製品を回避できる ことから、サイバー犯罪者の間で Blackhole よりも人気が高まった。

ソーシャル メディア、フォーラム、技術レポートなどの Web 情報ソースのRecorded Future分析では、Cryptowall、AlphaCrypt、Necurs、Bedep マルウェアなどの Angler ペイロードが明らかになりました。

画像をクリックすると拡大表示されます。

10月、シスコはAnglerに打撃を与えたと主張した。同社は、Anglerのプロキシサーバーを大量に発見し、それがエクスプロイトキットの活動の最大50％を占めていたという。このインフラは、1日に最大9万人の被害者を標的にし、年間3000万ドル以上の収益を上げていたと報じられている。

方法論

Recorded Future .onionを含むウェブ上の数千の情報源を分析しました サイト、犯罪フォーラム、ソーシャルメディア。分析は2015年1月1日から2015年9月30日までのエクスプロイトキットと脆弱性の議論に焦点を当てました。この研究の一環として、Recorded FutureはAngler、Neutrino、Nuclear Packなどの有名なEKを含む108のエクスプロイトキットのリストを利用しました。EKの上位の脆弱性は、それらをエクスプロイトキットに結びつけるウェブ参照の数でランク付けされました。

Recorded Futureはこの分析で言及されたマルウェアをリバースエンジニアリングせず、情報セキュリティブログやフォーラム投稿などから利用可能な情報をメタ分析しました。現在、EKは他にも数十の脆弱性に対するエクスプロイトを用いており、本記事では人気のあるエクスプロイトキットの主要な標的を紹介することを目的としています。

結果

この手法を用いて、Recorded Futureはエクスプロイトキットが使用する主要な脆弱性を特定しました。Adobe Flash Playerの脆弱性がこのリストを支配し、数千件の参照がありました。

最も深刻な脆弱性であるCVE 2015-0313は、Flash Player 16.0.0.296に影響を与え、Adobeによって重大と特定されました。この脆弱性は2015年2月2日にパッチが適用されましたが、2014年12月にはすでにゼロデイ攻撃として認識されていました。Recorded Futureは、2015年にエクスプロイトキットに関連付けられたCVE-2015-0313の参照を410件確認した。この脆弱性は最近、Hanjuan、Angler、Fiesta EKで確認されている。

2015年7月のHacking TeamのリークでAdobe Flashのゼロデイ脆弱性として明らかにされた後、3番目と5番目に多く言及された脆弱性（CVE-2015-5119、CVE-2015-5122）に関連するエクスプロイトがAnglerを含むEKにすぐに追加されました。

画像をクリックすると拡大表示されます。

インパクト

ブラウザやオペレーティングシステム間の互換性の高さから人気を集めてきたAdobe Flash Playerだが、最近相次いで脆弱性が発覚し、Pawn StormのようなAPTグループにも利用されていることから、安全なオペレーティング環境におけるFlashの役割に疑問が投げかけられている。

Flash のバージョン 19.0.0.226 (または古いマシンでは 18.0.0.255) より古いバージョンは、現在Apple OS X上で実行できないように制限されています。ブライアン・クレブスは最近、 Flash なしで 1 か月過ごしたことについて記事を書きました。7月、 WIRED誌は「オキュパイ・フラッシュ」運動について取り上げ、その運動が抱える数々の問題点を詳細に解説した。

画像をクリックすると拡大表示されます。

結論

Adobe Flashの継続的なアップデートをインストールすることが現実的かどうかは各組織が独自に判断する必要があるが、Adobeの脆弱性を悪用する行為に対する一時的な対策を講じることは可能である。これには、「クリックして再生」機能の有効化が含まれており、未知の環境でのAdobe Flash Playerの使用状況をチェックする機能です。