15,579のウェブサイトが感染していることを把握していますが、どうやって通知すればよいでしょうか？

15,579のウェブサイトが感染していることを把握していますが、どうやって通知すればよいでしょうか？

現在、悪意のあるJavaScriptに感染しているウェブサイトを15,579件特定しており、これらのサイトは保守的に見積もっても毎月1億3500万回以上の訪問を受けています。

私たちはそれらが感染していることを知っており、それを裏付ける証拠もありますが、問題があります。それは、どうやってそれらすべてに通知すればよいのでしょうか？

Report URIでの脅威インテリジェンス能力が向上するにつれて、侵害されたウェブサイトの特定はますます効率的になりました。残念ながら、責任ある開示は追いついておらず、私たちは影響を受ける組織に通知できる速度よりもはるかに速く感染を発見しています。

この問題をどう解決すればよいのか、本当にわかりません。そのため、助けを求めています。

どのような攻撃を発見しているか

根本的に、私たちはウェブサイトが絶対に実行すべきではないJavaScriptを実行しているのを発見しています！その悪質さの例をいくつか挙げます。

• クレジットカードスキマー - しばしば「Magecart」として知られ、支払いページを標的とし、完全なカード情報を盗んで攻撃者に送信します。
• ClickFix攻撃 - ユーザーを「人間であることを証明する」チャレンジの完了に誘導し、代わりにデバイスにマルウェアをインストールするように設計されています。
• デバイスエクスプロイト - マルウェアをロードして特定のバージョンのiOSを侵害し、DarkSwordやCorunaのようなスパイウェアをインストールします。
• リダイレクト - これらは訪問者を、フィッシングの詳細を盗む偽のログインページ、デバイスセキュリティの「警告」、詐欺などにどこへでも送信できます。

これらはすべて、罪のない訪問者にとって悪いシナリオであり、攻撃者は目的によってペイロードを変更します。

これらのサイトがどのように侵害されるか

攻撃者がサイトに悪意のあるJSを仕掛ける方法は数多くありますが、私たちが確認している初期の侵入ベクターを分類する主なカテゴリは以下の通りです。

• 直接的な侵害 - 通常はWordPressの脆弱性などにより、サイト自身のJSファイルが悪意のあるJSを含むように変更されます。
• サプライチェーン - サイトがロードするサードパーティのスクリプトファイルがマルウェアに感染し、それがサイトにロードされることで、すべての訪問者が危険にさらされます。
• XSS - 古き良き伝統的なXSS、サイト自体の脆弱性によりJSが注入可能になります。
• DeadTag - 最近私たちが命名した脅威グループで、サイトがまだJSをロードしている期限切れのドメインを購入し、それを復活させてマルウェアを配信しています。

残念ながら、私たちが目にしているように、これには多くの異なる間違いが発生する可能性があります。

問題の規模

現在、上記の悪意のあるJS攻撃のいずれかに感染しているユニークなサイトが15,579件あります。これらは私たちの疑いの余地がないサイトであり、一部疑わしいものの100%の確信には至っていないサイトのリストはさらに数千件に及びます。例えば9月を見てみましょう。10月の処理がまだ完了していないため、特定された新規感染サイトの数は以下の通りです。

［画像］

これらは、本日現在も感染しているサイトです。感染が解消されたサイトはリストから削除しています。そのため、実際にはこれよりも多くのサイトがありました。

トラフィック量で見ると、これがどれほど早く積み上がるかに驚かされます。リストにあるサイトのどれもがグローバルリーダーではありませんが、地域ごとのリーダーは非常に多く存在します。例えば、.fr、.es、.deのサイトを見ると、それらの国では非常にランクの高いサイトもありますが、グローバルではトップ100万にもほとんど入っていません。フランスでトップサイトであることは、かなりの量のトラフィックを得られることが判明しました。様々なデータソースを使用し、見積もりを非常に保守的に行った結果、現在感染しているサイトのリストは、合わせて毎月1億3500万件以上の訪問を確実に受けています。これはかなりの露出です。

では、どうすればよいのでしょうか？

私たちは、特に影響が大きいと特定したサイトに直接連絡を取り、通知を試み続けていますが、これは明らかに小規模なスケールで行われています。責任ある開示のプロセスは多くのリソースを消費し、security.txtの使用率は低く、私たちのメールやメッセージの大多数は返信されません。これを拡大することは不可能です。

これらのサイトは私たちが自らクロールして特定しているため、顧客の場合のような連絡先情報はありません。したがって、現状では、ここにいます。そして、どうすればよいかについての提案を聞きたいと思います。

もしあなたがNCSC/CERTの関係者で、特に多くの影響を受けているサイトを発見しているヨーロッパにお住まいであれば、intel@report-uri.comまでご連絡ください。お住まいの地域の感染サイトのリストを提供させていただきます。うまくいけば、私たちができるよりも、影響を受けたサイトに通知する上で、より成功するでしょう。

もしあなたが組織の関係者で、私たちの脅威インテリジェンスフィードへの商用アクセスが、あなた自身の顧客を保護するのに役立つと信じるのであれば、詳細についてintel@report-uri.comまでご連絡ください。

しかし、元の問題に戻ると、それを言うのは心苦しいのですが、より肯定的な影響を与えるために何ができるか、明確なアイデアがありません。もしあなたが助けられることがあると思うなら、提案したいアイデアがあるなら、あるいはこのデータを使って何ができるかについての提案があるなら、下のコメント欄にお越しください。喜んでお聞きします。

私たちは何百万ものウェブサイトの訪問を保護するのに役立つインテリジェンスを持っていますが、それを行動に変えるための助けが必要です。

この投稿を楽しんだり、役に立ったりしましたか？
☕️ 感謝の気持ちとしてコーヒーを一杯買ってください。
🔔 公開時に無料通知を購読してください！
🤩 メンバーになってコンテンツをサポートしてください！

タグ: 脅威インテリジェンス、Report URI、javascript

---