ホリデーシーズンの気分の高まりを巧妙に狙うフィッシング詐欺

図 1：ホリデー・フィッシング・キャンペーン

図 1 に示すように、このキットは高度なブランディングです。このキットは、複数の有名ブランドを非常に現実的な方法で悪用しています。しかし、それだけではありません。このキャンペーンでは、アジャイルなインフラとサービスという危険な組み合わせを構築することで、検知を回避します。

この種のソーシャルエンジニアリングは「質問クイズ」という昨年の分析対象となったフィッシングキャンペーンと似ています。しかし、この新しいキャンペーンは、偽サイトが非常によくデザインされており、標的を信じ込ませるのに功を奏しています。できるだけ本物らしく、信用できそうに見せかけることで、クレジットカード番号を獲得する確率を高めようとしているのです。 

こうしたフィッシングキットはますます巧妙化しています。なぜなら、攻撃者自身が巧妙化しているからです。このキャンペーンを見ると、攻撃者がセキュリティ製品の限界やフィッシング攻撃の検知能力のギャップをよく理解していることが分かります。せわしないホリデーシーズンを迎えるにあたり、今回の投稿では、この新しいキットの詳細、被害が広がっている理由、被害者になることを避ける方法について説明します。  

ソーシャルエンジニアリングというテクニック

詐欺の成功率を高め、標的の切迫感や信頼感を引き出すために、さまざまなソーシャルエンジニアリングの手口やテクニックが使われてきました。人は感情的になると、普段よりも行動に注意深さがなくなりがちです。たとえば、相手に時間制限（回答時間を 5 分に制限するなど）のプレッシャーを与えるのもテクニックの 1 つです。そうすることでストレスを誘発し、普段なら気づいたかもしれない細かい点を見落とさせるのです。その他のテクニックとしては、対象小売店から「当選」し、「無料の賞品を受け取った」人たちから偽の証言を載せた偽のユーザーフォーラムを作成するというものもあります。私たちはこのようなタイプの「お客様の声」に慣れているため、信頼できそうだと勘違いしてしまいます。 

このキットは複数のブランドを模倣しているため、このような偽の顧客プロファイルの分析が必要でした。フェイクユーザー「Natalie Hamilton」はそのまま流用されたり、多少変更されたりして、さまざまな詐欺に登場しました（図 2）。賞品を得たというコメントは、画像を含めて偽造されており、一見、本物の当選者が喜びの気持ちを語っているように思わせます。こうした工夫が積み重なり、標的の信頼が構築されます。しかも、詐欺を実行中、プロファイル写真が変更されるため、標的となった人は複数のコメントを見ても変だと思いません。詐欺を見破る手がかりは各賞のコメントが非常に似通っている点ですが、一般のインターネットユーザーは、なかなか気づきにくいのです。

図 2：フェイクユーザー「Natalie Hamilton」

図 3：ネストされたリダイレクトチェーン

標的の電子メールに送信される最初のリンクには、HTML アンカーとトークンがあります（図 3、ステップ 1）。このトークンは、標的のブラウザー上で JavaScript によって URI リンクの再構築に使用され、標的がそのリンク先にリダイレクトされます（図 3、ステップ 2）。このトークンを取得・使用しないと、フィッシング詐欺のランディングページへのアクセスが制限されます。つまり、当初リンク以外からアクセスした閲覧者は除外されるということです。ページのリダイレクトの一部として JavaScript を実行していないブラウザーベースのアクセスも除外されます。悪意のあるランディングページにアクセスするためには、ブラウザーがリダイレクト URI を構築できる条件を満たす必要があります。疑わしいリンクをスキャンし、ヘッドレスブラウザ機能を使用しない　Web クローラーなど、セキュリティメカニズムをこのように直接的に回避しているのです。

また、トークンを使用することで、標的を追跡し、潜在的な被害者のエンゲージメントに関する統計を検索することもできます。これによって攻撃の有効性を把握することができます。ターゲットをより具体的にするための手法であり、成功の可能性を高めることができます。

ランダムに生成された URL の使用

このキットがユニークなのは、アクセス可能なユーザーを安全に保護している点です。不要な訪問者を除外するため、このキットでは、リダイレクトのチェーンの一部として特定のユーザーに関連付けられたランダムな URL を生成します。フィッシング Web サイトにアクセスする際、割り当てられた各 URL は特定のユーザーのみが使用できます。  

攻撃者はこの機能を利用することで、ランダムに生成された URL が不審なものとして報告されても、他のユーザーがアクセスできないようにすることができ、結果として、Web サイトの検知を回避することができるのです。

CDN 機能の悪用

Web ホスティングサービスの信頼性と評判を悪用するのと同様に、詐欺のランディングページでは、ドメイン登録など、CDN ベンダーが提供しているサービスの一部を悪用します。攻撃者は迅速かつ容易に登録できる機能を利用して、簡単にインスタンスをスピンアップし、フィッシング Web サイトのインフラを破壊することなく、フィッシング Web サイトのドメイン名をローテーションさせることができます。また、CDN に関連する IP アドレスをローテーションし、CDN の顧客間で使い回します。あるものは合法的と見なされ、あるものは悪性と見なされます。こうしたテクニックを使われると、IP アドレスに基づいてブロックすることができなくなります。合法的なトラフィックが誤ってブロックされてしまうおそれがあるからです。また、ボットトラフィックのブロックなどの CDN の防御機能も、フィッシング Web サイトを正規のセキュリティクローラーやスキャナーから保護するために悪用されていると考えられます。

ジオ・ターゲティング・キャンペーン

Akamai の調査によると、被害者の地理的位置に基づいてランディング Web サイトが変更されており、別の地域では全くアクセスできません。私たちが追跡したキャンペーンは、ほとんど米国からアクセスが可能でした。つまり、キャンペーンは特に米国ユーザーを対象としていたということです。攻撃者は不要なアクセスを制限することで、米国以外の地域でセキュリティ製品にアクセスされ、フィッシング Web サイトであることを検知されるリスクを軽減していると考えられます。同一のフィッシングリンクが、地域によって異なる Web サイトに誘導されるという事実は、このキャンペーンの規模、有効性、洗練度を示しています。

Akamai のグローバルビューも、このキャンペーンが地理的に標的を絞った攻撃であることを物語っています。実際、フィッシング詐欺の被害者の 89% が米国とカナダに居るユーザーだからです。  

まとめ

このキットの分析から分かるのは、フィッシング詐欺の被害がいまだに広がっている理由です。緩和のテクニック、戦術、手順を熟知している攻撃者がソーシャルエンジニアリングと組み合わせると、このようなキットを検出することはもちろん、防御することも（不可能ではないにしても）困難になります。このブログ記事は、セキュリティ製品やベンダーの有効性を非難するものではありません。悪性の目的を達成するために、複数の防御レイヤーがいかに突破されているかを紹介するものです。 

情報セキュリティコミュニティでは、脅威を「高度化」する要素について多くの議論が交わされてきました。どのように感染しているか？どのように除去されずに残るのか？どのように検知を回避するのか？しかしどのように高度化を定義しても、このキットは形を変えてきます。このキットは、商業サービスの利用、柔軟なリダイレクトチェーン、ジオブロッキング、断片化された URI トークンなど、成功するためのあらゆる要素で構成されています。さらに、セキュリティ製品の仕組みや、製品の悪用の方法についての攻撃者の理解も反映されています。

この記事では、攻撃者が効果的なフィッシングキャンペーンを生み出す上で手掛かりにするものにも焦点を当てています。これはゼロサムゲームではありません。フィッシングキットが検知されて緩和されたからといって、攻撃者が成功しなかったことを意味するわけではないからです。何を成功とするかは、キャンペーンが存続し、見落とされている時間、詐欺がどれほど本物らしく見えるか、被害者が詐欺にどれだけ関与しているかの組み合わせによって、より適切に判断されるのです。

この詐欺の高度さは、商業サービスの利用によってある程度可能になっている面があり、重大な懸念を抱くべきです。こうした公共に面した誰でも使えるサービスの一部を悪用することで、攻撃者は悪意のある活動を成功に導いています。さらに、消費者に対する広範な攻撃において、このレベルのインフラや高度な技術を使ったキャンペーンが成功を収めていることも気がかりです。なぜならこうした高度な標的型フィッシング攻撃は、防ぐことがますます困難だからです。

米国ではホリデーシーズンが始まったばかりなので、ホリデー気分につけ込んだ攻撃はますます増えると見ています。皆さんには、常に警戒して安全を保っていただきたいと思います。最後に、このことを覚えておいてください。うまい話には、何か裏があるはずなのです。 

フィッシング・ランディング・ドメイン

opticshair{.}live

metalicanar{.}com

havocblume{.}com

fashionbrall{.}com

stirringglass{.}com

jetingsign{.}info

nauseaspinn{.}info

foresterdam{.}info
wharfposition{.}com

outstriplander{.}live

qualiagolf{.}info

kimonosuit{.}info