Webインジェクションの進化、パート1

現在、Webインジェクトファイルは多くの銀行マルウェアに採用されており、金融詐欺を実行する手段として使用されています。 マルウェア操作のこのメカニズムは、もともとシングルコピーで配布され、特定のマルウェアファミリに依存していました。 過去数年にわたって、Webインジェクションは、独立した開発者がボットネットオペレーターに製品を販売するサイバー犯罪エコシステム全体の一部として使用され始めました。







そのようなサービスの販売のためのそのような市場は、多くの秘密のフォーラムで観察できます。そこでは、Webインジェクションキットの販売に関するサイバー犯罪者からのオファーが増えています。 ユーザーアカウントのセキュリティを確保するために銀行が使用する特別なセキュリティ対策のバイパスメカニズムなど、銀行詐欺に必要なすべての機能が含まれています。



私たちの研究は、Webインジェクションの本質とその成長市場に焦点を当てています。 通常のフィッシングシステムのように見え、2要素2FA認証をバイパスするために使用できる自動ATSシステムで終わるWebインジェクションが最初からどのように進化したかを振り返ります。



今日まで、ボットネットオペレーターは、不正な取引でお金を稼ぐために、正当なブラウザーWebページに悪意のあるHTMLコンテンツを挿入できる悪意のあるプログラムのみを必要とします。 したがって、彼は実際、この悪意のあるメカニズムがどのように実装されるかに無関心であり、その有効性のみが彼にとって重要です。 したがって、このアルゴリズムとそのメカニズムを実装するために、彼はこの領域を自分よりもよく知っており、不正なスキームに最適なサービスを提供できる他のサイバー犯罪者のサービスに頼ることができます。



はじめに



実際、Webインジェクションは、銀行のトロイの木馬プログラムを使用してユーザーの銀行口座と不正な取引を行う最も先進的なツールの1つです。 最近、銀行はユーザーのアカウントまたはアカウントを不正アクセスから保護するために設計された特別なセキュリティメカニズムを使用し始めました。 Webインジェクションも静止しているわけではなく、作成者はサイバー犯罪ツールをこれらのセキュリティメカニズムを回避するニーズに適合させています。 秘密のフォーラムでのWebインジェクションキットの販売は数年前から観察されています。



私たちが知っているように、過去数年間で、ユーザーはさまざまな銀行業務のためにインターネット銀行サービスにますます注目しています。 また、サイバー犯罪者は立ち止まらず、ユーザーのコンピューターとモバイルデバイスを侵害する特別な悪意のあるツールを作成します。 進化の最初の段階では、攻撃者は銀行のトロイの木馬に依存していました。これには、いくつかの金融機関を侵害する機能があり、有名なキーロガー（キーロガー）およびWebフォームのグラバー/泥棒でした。 これらの資金は両方とも、インターネットバンキングアカウントから機密データを盗むために使用されました。



キーロガーは、ユーザーがキーボードから入力した共通の文字ストリームを生成するため、あまり便利ではありません。そこから、オンラインバンキングアカウントにアクセスするには、ユーザー名とパスワードを抽出する必要があります。 このタスクはボットネットオペレーターの肩にかかっていました。 ユーザーがオンラインバンキングアカウントで偽のログインフォームに入力した攻撃者にのみ関心のあるデータを受信できるため、フォームのグラバーはこの状況からの明らかな方法になりました。 さらに、キャプチャされたデータは、リモートの攻撃者サーバーに送信されました。



今日の観点からすると、フォームグラバーはGETおよびPOST HTTPプロトコルリクエストをキャプチャするためのかなり時代遅れの方法であり、どのフォームデータがリモートサーバーに送信されるのかを助けます。 よく知られ、すでに研究されている銀行のトロイの木馬であるZeusとSpyEyeは、WebブラウザープロセスのコンテキストでAPI関数のインターセプトに基づくフォームグラブメカニズムを初めて使用しました。 一部のマルウェアは、ブラウザによって生成されたネットワークトラフィックフローの追跡に基づいたフォームグラブメカニズムを使用していました。 API関数のインターセプトのメカニズムを使用することは、攻撃者にとってより望ましい方法です。この方法では、フォームデータは、Webサーバーへの後続の送信のために直接暗号化される前でもインターセプトされるためです。 この方法には、特定のブラウザまたはそのバージョンに依存するため、欠点がないわけではありません。



現代のマルウェアは、これらの時代遅れのトリックを使用する可能性は低く、代わりに、Webページを危険にさらして資金を盗むという悪意のあるスキームを微調整して使用できるWebインジェクションサービスに頼っています。 さらに、Webインジェクト自体により、特定の銀行に応じて、オンラインバンキングサイトのWebページのコンテンツを変更できます。 Webインジェクションにより、サイバー犯罪者は、ユーザーに表示される侵害されたWebページでさまざまなアクションを実行できます。 jQueryと呼ばれるJavaScriptライブラリを使用する秘密フォーラムで販売されているいくつかのWebインジェクションキットがあります。



人気のある銀行のトロイの木馬であるZeusとSpyEyeは、特定の銀行サイトを侵害し、そのコンテンツを変更するためにWebインジェクションを使用した最初の企業の1つです。 Webページのコンテンツは、API呼び出しインターセプトメカニズムを使用して変更できます。 これは、マルウェアがグラブフォームを整理するために使用する方法と同じです。 銀行のトロイの木馬は、サーバーから受信したコンテンツを検査し、そのコンテンツをブラウザに直接表示する前に、オンザフライで変更できます。 同様の手法を使用して、WebブラウザーがオンラインバンキングWebページにアクセスしたときに表示されるコンテンツを信頼するユーザーを欺きます。 この方法は、Man-in-the-Browser（MitB）と呼ばれるユーザーに対する攻撃として知られています。 以下の図 図1は、金融詐欺警告テキストを削除した実際のWebインジェクションアクションの例を示しています。





図 1. Webインジェクションを使用した悪意のあるプログラムが、Webページからサービス情報を削除しました（オンラインバンキングシステムの警告）。 上部には元のWebページのビューがあり、下部には警告テキストが削除された侵害されたWebページがあります。



Webページに追加される悪意のあるコンテンツは、Webインジェクション構成ファイルにあります。 このファイルは通常、リモートのC＆Cサーバーから感染したコンピューターによってダウンロードされます。 構成ファイルを転送するこの方法は、サーバー上でこのようなファイルの内容を一度変更することができ、感染したコンピューターは次回このファイルのアップグレードバージョンを受け取るため、攻撃者にとって非常に便利です。 さまざまなWebインジェクション構成ファイル形式がありますが、そのうちの1つが最も人気があります。 SpyEye銀行のトロイの木馬で使用され、時間がたつにつれて事実上の標準になりました。 図 図2は、Webインジェクション構成ファイルの例を示しています。





図 2. Webインジェクション構成ファイルの標準形式。



上記のように、最初のパラメーターは特定のWebインジェクションが機能するターゲットURLを設定します。 URLの後の行の文字は、ユーザーがブラウザでこのアドレスを開いたときに実行するアクションを銀行トロイの木馬に示します。 表1はこれらのサービス文字の値を示し、表2は構成ファイルのさまざまなパラメーター（タグ）を示しています。 一部のWebインジェクションは非常に単純で、単純なフィッシングメカニズムと同様の機能を備えています。つまり、ユーザーが個人データや機密データを入力するように要求されるWebページの本文に特別なフィールドを挿入します。 このようなWebインジェクションの例を図5に示します。 3。





表1.最も一般的なset_urlパラメーターフラグ。





表2. Webインジェクション構成ファイルの最も一般的なタグ。





図 3.個人情報および機密ユーザー情報の収集を専門とするWebページ上の悪意のあるコンテンツの例。



自動転送システム（ATS）



時間の経過とともに、Webインジェクションはより専門的で多機能になりました。 それらのいくつかには、攻撃者がユーザーアカウントで不正な操作を実行するのを助ける特別な高度な機能が含まれています。 このような操作を実装する特別なスクリプトは、指定されたオンラインバンキングWebサイトの保護メカニズムをバイパスするように設計されています。 Webインジェクションの開発に伴い、銀行サイトのセキュリティシステムも改善され、悪意のあるアクティビティを検出するための新しい機能が追加されました。 図 4.攻撃者が悪意のあるアクションの間に時間間隔を設けて人間の行動をシミュレートするWebインジェクションの例を見ることができます。





図 4.時間遅延を使用するためのロジックを定義するWebインジェクション関数。



ユーザーのアカウントからの不正な転送が完了すると、Webインジェクションは特別なメカニズムを使用して操作を隠します。 カバーの下では、銀行口座の現金残高のわずかな調整が理解されます。 したがって、ユーザーは自分のアカウントから資金が盗まれたという事実に気付かないままです。



ATS攻撃の人気は最近、複雑度と成功率のレベルが低下するにつれて低下しています。 ATS in-the-wild攻撃方法の使用を引き続き観察できますが、一部のサイバー犯罪者は、「手動制御」を使用する攻撃を支持して、その使用を放棄しています。 この場合、攻撃者は侵入先のコンピュータを制御し、不正なアクションを手動で実行するだけです。



トランザクション認証番号のバイパス（TAN）



銀行のマルウェアの出現により、銀行のセキュリティ専門家は特別な追加のセキュリティ機能を銀行のリソースに導入し始めました。 これらの機能の中で最も人気のあるものの1つは、トランザクションのセキュリティを強化した2要素認証でした。



2要素認証は、特別な確認コードを使用して銀行業務を行う際のセキュリティの水準を引き上げます。 このようなコードは、銀行のユーザーが単にリストの形式で受信できます。 トランザクション認証番号（TAN）、または銀行からのSMSメッセージの形式で、いわゆる モバイルコード（mTAN）。 二要素認証が有効になっている場合、ユーザーは受信したmTANコードを使用して、オンラインバンキングWebサイトで取引を確認します。



mTANメカニズムをバイパスするために、攻撃者はユーザーに、銀行から受信したSMSメッセージを傍受するモバイルデバイス用の特別な悪意のあるプログラムをインストールするように仕向けることができます。 これは、ソーシャルエンジニアリングの方法で行うことができます。 たとえば、ユーザーが侵害されたWebブラウザーを介してオンラインバンキングアカウントにログインするとすぐに、悪意のあるコードは特別な悪意のあるコンテンツをWebページに挿入します。 コンテンツは、ユーザーが使用するモバイルデバイスに関する情報を提供するリクエストを含むテキストです（図5）。





図 5.モバイルデバイスに関する情報を要求するWebページ上の悪意のあるコンテンツ。



ユーザーがこのような情報を提供すると、モバイルデバイスで悪意のあるアプリケーションをダウンロードするためのリンクが記載されたSMSメッセージを受信します。 また、QRコードを使用してリンクを取得することもできます。 開いた後、マルウェアがデバイスにダウンロードされ、ユーザーは手動でインストールを開始する必要があります。 この手順はいくつかの段階で構成できます。たとえば、攻撃者はマルウェアをインストールするためのガイドとして機能するオンラインバンキングWebページにコンテンツを挿入し、ユーザーに段階的に指示できます。 マルウェアがモバイルデバイスにインストールされるとすぐに、受信したすべてのSMSメッセージを攻撃者の電話にリダイレクトし、ユーザーのアカウントでの詐欺行為中にmTANコードをバイパスできるようにします。 バンキングトロイの木馬PerkeleとiBankingは、このような機能を持つマルウェアの有名な代表者です。



銀行が2要素認証メカニズムを使用し始めたため、Webインジェクションの開発者は、悪意のあるツールを回避してそれらを回避するように強制されました。 以下に示すように、攻撃者はソーシャルエンジニアリングの形式の1つを使用してユーザーを欺き、これらの保護手段を回避するために使用される必要な情報からユーザーを誘います。



マルウェアボットネットのアクティビティを追跡した後に利用可能になった情報は、サイバー犯罪者がmTANスキームをバイパスするために使用する方法の写真を提供してくれました。 それらはすべて、1つの一般原則に帰着します。ユーザーに注意を引く架空のストーリーで特別なメッセージを表示します。 攻撃者は、ユーザーがオンラインバンキングアカウントにログインし、サーバーへの安全な接続を使用しており、ブラウザーに表示されるすべてのデータが信頼できると信じている瞬間に、ユーザーにそれを表示します。 これらのストーリーの1つは、特定の金額が誤ってユーザーに送金され、ユーザーがそれを返還しなければならないという情報に基づいています。 このようなスキームは、Webインジェクションの悪意のあるコードがユーザーに表示されるキャッシュ残高を調整し、誤解を招く可能性があるために可能になります。 別の話は、ユーザーがテスト現金取引を実行することでモバイルデバイスを「調整」するように求められたという事実に基づいていました。



図 6.銀行のユーザーに発行されたリストのテキストボックスにTANコードを入力するように求める偽のマルウェアメッセージが表示されます。 知っているように、このリストのコードには番号が付けられているため、攻撃者は特定の番号のコードを要求します。 攻撃者は、ユーザーのアカウントから特定の金額を盗み、2FAメカニズムでこの操作を確認する必要がある場合に備えて、ユーザーにTANコードを提供するように依頼します。 フィッシングメッセージは、対応するユーザーへの影響に応じて、可能な限り説得力のある形でコンパイルされます。







金融機関や銀行のWebサイトを侵害するのではなく、Facebook、Twitter、Google、Yahooなどの有名なサービスを侵害することを目的とした他のWebインジェクションが存在することに注意してください。 これらのWebインジェクションは、クレジットカード番号や電話番号などの機密情報や個人情報をユーザーから盗むことを専門としています。 図 図7は、有名なTwitterサービスに焦点を当てたWebインジェクションを示しています。





図 7. TwitterサービスのWebインジェクション。



Webインジェクション構成ファイルの暗号化



Webインジェクションの構成ファイルには、世界中のセキュリティ研究者やCERT組織の重要な情報が含まれているため、サイバー犯罪者はこれらのファイルの内容を自分の手に渡らないようにすることに直接関心があります。 このために、暗号化および難読化アルゴリズムがファイルに適用されます。



Webインジェクションファイルの開発の初期段階では、攻撃者は暗号化を使用せず、これらのファイルはリモートサーバーからボットにオープン形式で転送されました。 アンチウイルス企業が銀行のトロイの木馬により注意を払い、これらの構成ファイルの外観を監視し始めた後、攻撃者は暗号化の使用を開始し、各ステップでコンテンツを解読するプロセスをより困難にしました。 現在、Zeusやその修正などの銀行トロイの木馬は、いくつかのレベルの暗号化を使用しており、復号化されたファイル自体は、全体ではなく部分的にメモリに保存されます。



JavaScriptコードの圧縮または圧縮は、いわゆるを使用して攻撃者によって実行される可能性があります。 メカニズム/パッカー/ですが、この場合、元の形式にすばやく変換できます。 元のコンテンツを取得する操作は、「eval」関数の単純な順列とJS beautifierサービスのサービスを使用して実行できます。 この圧縮方法は、Webインジェクションのコンテンツのサイズを縮小するため便利ですが、その明らかな欠点はコンテンツのセキュリティが弱いことです。 図 8. / packer /を使用して圧縮されたスクリプトのフラグメントが表示されます。





図 8.メカニズム/ packer /によって圧縮されたスクリプトの例。



サイバー犯罪者がWebインジェクションのコンテンツを難読化するために使用するアルゴリズムは、コンテンツの難読化を解除するのは簡単な作業ではないため、分析を大幅に複雑化する可能性があります。 図 9.このような難読化されたコンテンツの例を示します。





図 9.難読化されたWebインジェクションの例。



, , -. .