　私の勝手な想像ですが、FacebookやApple、Microsoftほどの組織であれば、Javaを含めたソフトウェアのアップデートには他の会社以上に気を使っているものと思われます。そのような組織でも、公になっていないソフトウェアの脆弱性を悪用（いわゆるゼロデイ攻撃）されてしまっては、防ぐことは非常に難しいでしょう。

　今回攻撃に使われたiOSアプリ開発者のサイトにアクセスするようなユーザーのパソコンには、高い確率でJavaがインストールされているはずです。Javaの脆弱性を発見（or入手）した攻撃者にとって、このフォーラムサイトは都合のよい攻撃インフラとなったことでしょう。

筆者の手元に届いた「Javaの脆弱性を狙った攻撃」

　ラックのセキュリティ監視センター、JSOCでも、日々マルウェア感染事故を観測しており、Javaの脆弱性が原因でマルウェアに感染する事例も発生しています。そこで今回は、Javaの脆弱性が悪用されるプロセスについて解説します。

　なお、これから説明する攻撃のプロセスは、今回報道されている攻撃と同じかどうかは不明です。あくまで対策を考えるためのプロセスとして理解してください。

　ちょうど2月22日、私のメールアドレスにLinkedInを装ったメールが入ってきました。

LinkedInを装ったメール

　メールの内容は非常に簡素で、「アップデートされたのでコチラ」という内容になっています。脆弱なバージョンのJavaがインストールされているパソコンからこのURLにアクセスすると、Javaの攻撃コードが置かれているサイトに自動的に転送され、次のような画面が表示されます。

Javaのコードが実行される瞬間

　パソコンの画面の右下のタスクトレイにはJavaが動作したことを示すアイコンが表示され、ブラウザにはオレンジ色のJavaの画像が大きく表示されます。このオレンジのJavaの画像はわずか数秒間表示されるだけで、その後ブラウザには何も表示されません。

　一見、何も起こらなかったかのように見えますが、プロセスの一覧を確認すると、バックグラウンドでは怪しげなプロセスが動作しています。

見慣れないプロセス

　iexplore.exeから派生したcmd.exeが、さらに見たことのない2つのexeファイルを実行している様子が分かります。このように、パソコンの画面上にはJavaの実行を示す画像以外には何も表示されませんが、バックグラウンドでは複数のexeファイルが生成、実行されています。もちろんこれらのファイルがマルウェアであることは言うまでもありません。

作成されたファイルその1

作成されたファイルその2

　今回の事例では、以下のフォルダに怪しげなexeファイルが作成されていました。

C:\Documents and Settings\ユーザー名\Application Data
C:\Documents and Settings\ユーザー名\Local Settings\Temp

　特に後者のフォルダには、攻撃に使用されるファイルやマルウェアが配置されることが多いので、攻撃を受けたかどうか気になるエンジニアの方は、このフォルダを調べてみるとよいかもしれません。

　ここに作成されたファイルを複数のウイルス対策ソフトでチェックできる「VirusTotal」に送ってみたところ、以下のような結果になりました。

【関連リンク】

VirusTotal

https://www.virustotal.com/ja/

VirusTotalの解析結果その1

VirusTotalの解析結果その2

　いくつかのウイルス対策ソフトのパターンファイルで検知されることが分かります。もしウイルス対策ソフトを導入していれば、Javaの脆弱性が悪用されたとしても、そのあとに使用されるマルウェアの作成、実行を止めることができたかもしれません。

Javaの脆弱性を狙う攻撃、どこでどう止める？

　　　　　　 | 次のページへ

FacebookやApple、MSまで……Javaの脆弱性を狙う攻撃の手口：川口洋のセキュリティ・プライベート・アイズ（44）（1/2 ページ）

FacebookにApple、Microsoftまで被害に!?

筆者の手元に届いた「Javaの脆弱性を狙った攻撃」

Security & Trust 記事ランキング