ウサマ・ビンラディン容疑者殺害に便乗した攻撃を確認

オバマ米大統領は、2011年5月1日夜（日本時間 2日午後）、緊急演説を実施。世界中の注目を集めました。パキスタンの首都イスラマバード郊外にある Abbottabad（アボタバード）で、国際テロ組織アルカイダの最高指導者ウサマ・ビンラディン容疑者が米国の特殊部隊との銃撃戦により殺害されたと発表しました。

■注目ニュースを悪用するソーシャルエンジニアリングの手口は常とう手段化
「Twitter」は、ウサマ・ビンラディン容疑者殺害に関連する1秒毎のツイート数の推移を公開しました。この推移によると、同容疑者が殺害されたとする時刻以降、ツイート数は増加し続け、ピーク時（米国時間午後11時）には、5,106ツイート数／秒が記録されたようです。同容疑者殺害のニュースは、米国だけでなくそれ以外の国々においても衝撃的な事件でした。そのため、このツイート数は当然の結果だといえるでしょう。

このように、全世界が注目する出来事が起こると、ソーシャルメディアが活発に利用されるということは、もはや驚くことではありません。そして、サイバー犯罪者が、ソーシャルエンジニアリングの手口として注目を集める出来事やニュースを瞬時に悪用することは常とう手段と化しています。その好例が、2011年3月11日に日本で発生した東日本大震災でしょう。トレンドマイクロは、このような悲惨な大災害をも利用する攻撃を以下のように報告しています。

■人気ソーシャル・ネットワーキング・サイト「Facebook」がターゲットに！
今回のように「世界的に名の知れたテロリストの死」の大ニュースが注目されるのは当然のことで、サイバー犯罪者も見逃すはずがありません。事実、今回のウサマ・ビンラディンの殺害が発表されてから数時間後には、偽セキュリティソフト型不正プログラム「FAKEAV」を拡散する SEOポイズニング（悪質なSEO対策）攻撃が確認されています。一方、「TrendLabs（トレンドラボ）」では、ソーシャル・ネットワーキング・サービス（SNS）「Facebook」を悪用した攻撃を確認しました。この攻撃では、Facebook ユーザの「ウォール（Facebookの各ユーザに与えられる『掲示板』のような機能）」にウサマ・ビンラディン容疑者殺害の動画閲覧を促すメッセージが投稿されたり、同じく同容疑者殺害の動画閲覧を促すイベントが作成されたりします。このメッセージにはリンクが記載されており、誤ってクリックしたユーザは以下のページに誘導されることとなります（図1および図2参照）。

図1：ウサマ・ビンラディン容疑者死亡に関する動画閲覧を促すFacebookページ　（例１）
図1：ウサマ・ビンラディン容疑者殺害に関する動画閲覧を促すFacebookページ　（例１）



図2：ウサマ・ビンラディン容疑者死亡に関する動画閲覧を促すFacebookページ　（例２）
図2：ウサマ・ビンラディン容疑者殺害に関する動画閲覧を促すFacebookページ　（例２）

今回の攻撃では、動画を閲覧するための手順が問題のページに記載されていました。ユーザが、この指示に従って、ボックス内のスクリプトをコピーし、自身のブラウザのアドレスバーに貼り付けると、不正なスクリプトが実行されます。この不正なスクリプトは、「JS_OBFUS.AB」として検出され、再び、上記のページへと誘導するリンクを含むメッセージを投稿します。

またトレンドラボは、Facebook のチャット機能を利用して不正なリンクを拡散する攻撃も確認しました（図3参照）。このチャットメッセージに含まれる不正なリンクをクリックしたユーザは、図1 および図2 に類似したページ（図4参照）へと誘導されます。しかし、この事例で誘導されるページには、ウサマ・ビンラディン容疑者の「殺害動画」の閲覧を装っています。そして記載されている手順に従うことで実行される不正スクリプトは、「JS_FBJACK.C」として検出されます。

これらの攻撃による直接的な被害は現在のところ確認されておらず、攻撃者の意図は不明です。

図3：Facebookのチャットに送られてきた不正なリンクを含むメッセージ
図3：Facebook のチャットに送られてきた不正なリンクを含むメッセージ



図4：ウサマ・ビンラディン容疑者の「殺害動画」の閲覧手順を示す Facebookページ
図4：ウサマ・ビンラディン容疑者の「殺害動画」の閲覧手順を示す Facebookページ

■ウサマ・ビンラディン容疑者殺害に便乗したスパム攻撃も確認
サイバー犯罪者が悪用したのは、Facebook だけではありませんでした。トレンドラボは、「オバマ米大統領によるウサマ・ビンラディン容疑者殺害報告が偽りである」と訴える動画に誘導するスパムメール（図5参照）もまた確認しています。今回確認されたリンク先は、2011年5月3日現在、アクセスできませんが、万が一アクセスできた場合、他の不正プログラムをダウンロードしたり、フィッシングサイトに誘導したりすることが想定されます。

図5：ウサマ・ビンラディン容疑者死亡の動画に誘導するスパムメール
図5：ウサマ・ビンラディン容疑者殺害の動画に誘導するスパムメール

■こういった攻撃から身を守るためには？
ユーザがコンピュータを利用する際の注意事項を認識しない限り、世界規模の出来事はソーシャルエンジニアリングの手口に悪用され続けることでしょう。まずユーザは、意識を変えることが必要です。私たちがさまざまな情報を手に入れたいと思うように、サイバー犯罪者もまた、注目される出来事やニュースを利用して攻撃しようとしていることを留意してください。サイバー攻撃の最新情報に通じていることももちろん大切です。ここで、被害を回避するためのヒントをいくつかご紹介します。

  1. 注目度の高いキーワードを用いてニュースを検索するのではなく、信頼あるニュースサイトをブックマークしたり、アドレスを直接入力することを強く勧めます。
    註）万が一、正規Webサイト自体が、既に改ざんされていた場合、コンピュータが適切に保護されてない限り、ユーザは攻撃から逃れることはできません。ただ、上述した方法は、検索結果から得たURLをやみくもにクリックするよりは、はるかに安全であると言えます。
  2. 情報の正当性が立証されていない限り、SNS 上にある情報は、確実なものではないとみなすべきでしょう。ツイートや投稿メッセージがどこから発信されているのか、それらの情報元を確認することを強く勧めます。
  3. 総合的なセキュリティ製品を導入し、常に OS やソフトウェアの最新バージョンを使用することを心がけてください。

トレンドマイクロ製品のユーザは、クラウド型セキュリティ基盤「Trend Micro Smart Protection Network」により、既に上記の脅威から守られています。トレンドマイクロは、今後も本件に関連した事例を引き続き監視していきます。

参考記事：
「Osama bin Laden’s Death Triggers Series of Malicious Attacks」
　by Karla Agregado (Fraud Analyst)

　翻訳：宮越　ちひろ（Core Technology Marketing, TrendLabs）

Related posts:

  1. 米国大統領選挙を悪用するWebからの脅威
  2. 2012年のセキュリティ動向を振り返る：「ポストPC」時代に進化する脅威
  3. 暗号化型ランサムウェアの侵入方法およびその対策について
  4. フィッシング攻撃に注意、「ビジネスメール詐欺」の攻撃手口を分析