ゼロからわかる最新セキュリティ動向 第15回

ウイルス解析の現場 その3　Webサイトの罠

正しい手法で不正なサイトに誘導される危険とは？

前回、Webサイト改ざんの仕組みについて紹介した。今回はさらに身近な例を用いてWebサイトの改ざん、正規のWebサイトを見ているはずが実は不正なWebサイトにアクセスしている仕組みを紹介する。

ユーザーに意識させない謎のWebアクセス

　通常のWebサイトを見ていて、以下のような経験はないだろうか。

1. あるWebサイトにアクセスしたら、すでに閉鎖されていた
2. そのページを開いたままにしていたら、自動的に新しいページにリダイレクトされた

　このような仕組みは一般的な技術で、一切不正なものではない。しかし、ガンブラーなどに代表されるWebサイト改ざんや、正規のWebサイトに見せかけて裏で不正プログラムをダウンロードさせるようなWebサイトでも、この仕組みが使われている。たとえば、改ざんされた正規のWebサイトにアクセスしたユーザーは、裏で不正なWebサイトへの通信が発生しているのだ。

　しかし、不正プログラムも一般的な技術を使っているのなら、ほかのWebサイトへアクセスする際に画面が切り替わり、それで不審なWebサイトにリダイレクトされたことがわかるはず。そういう疑問を持った方もいるだろう。

　ここが、正規のリダイレクトと不正な手段の大きな違いといえる。

　実はいくつかの手法を用いることで攻撃者は巧妙に攻撃を隠し、ウィンドウが表示されているにもかかわらずユーザーの目に触れないようにしている。代表的な例としてはウィンドウが表示されているにもかかわらずウィンドウの大きさが0に設定されているため、ウィンドウが表示されたことを意識できないというものだ。（図1）

　

図1　画面上に不正なWebサイトを表示させない仕組み

画面上では見えないウィンドウを悪用する

　ここでは大きさが0のウィンドウを表示する仕組みについてさらに詳しく解説する。ウィンドウのサイズを0にするのは、いかにも不正なイメージが強いかもしれない。しかし、Webサイト作成をしたことのある人であれば、いとも簡単に実現可能であり、不正な技術ではない。

　この手法は、HTMLを作成する際に使用される文字列であるIFRAMEを用いており、もとは「1つのWebページ内に別のWebページを表示する」際に用いられる（図2）。

図2　IFRAMEの使用イメージ

　図2のように、WebページAの中にWebページBを表示させたい場合、WebページAのHTMLに図3のような文字列を埋め込むことで表示される。Webサイトにアクセスしたユーザーとしては、WebページAにのみアクセスしていると感じるかもしれないが、コンピュータとしてはWebページA、WebページBにアクセスしてページを組み合わせているに過ぎない。

　「width」はWebページの横幅、「height」は縦サイズを表わす数値のため、この値を0にすれば視覚的にはWebページが見えないが、コンピュータ上はWebサイトにアクセスしているという状態を作ることができる。

図3　IFRAMEの例

　Webサイトを改ざんする攻撃者は、このようにして「Webアクセスするユーザーの意識では何も起こっていないにもかかわらず、コンピュータ上は不正プログラムの感染源になるWebサイトへアクセスしている」状態を作り出す。

IFRAMEの悪用から身を守るには？

　このような問題に対しては、前回も紹介した不正なWebサイトへの接続を防止するWebレピュテーションが有効な対策手法になる。

　一方、Webサイトを改ざんするのではなくアンダーグラウンドのWebサイト（著作権に違法した動画などをダウンロードできるようなサイト）にIFRAMEが用いられている場合もある。

　Webレピュテーションは不正なWebサイトの評価を行なった結果、危険度の高いことをユーザーへ通知する機能のため、ユーザーが問題ないと判断してアクセスすることもできる。攻撃者が運営するアンダーグラウンドのWebサイトにこっそりアイフレームを埋め込んでおき、裏で不正なWebページへアクセスさせるという手法も可能になる。

　しかし、ユーザーが承知でアンダーグラウンドサイトにアクセスした場合、裏で表示される不正プログラムがダウンロードされるWebページへのアクセスも同時に許可してしまう可能性がある。そのため、セキュリティソフトの機能を用いることも重要だが、ユーザーの意識という面での対応も大切だ。