［米国］
JavaScriptボットネット・コードがインターネットに流出

Webブラウザを攻撃者のツールに変質させる

（2007年04月03日）

　ユーザーが気づかないうちにWebブラウザを攻撃者のツールに変えてしまうソフトウェアがインターネットにポストされたことが明らかになった。この事態は、今年3月に米国ワシントンD.C.で開催されたハッカー・コンファレンス「ShmooCon」（3月23～25日）の会場で来場者の1人がこのソフトウェアをダウンロードしたことから始まった。

　「Jikto」と呼ばれる同ソフトウェアは、スパイ・ダイナミクスの主任研究員であるビリー・ホフマン氏が作成した。同氏は3月24日、JavaScriptを使った悪意のあるプログラムの危険性をテーマとした講演でこのコードのデモンストレーションを行った。

　ホフマン氏は、あらゆるWebブラウザで稼働させることができるWeb言語であるJavaScriptを使ってWeb脆弱性スキャン・プログラムを作成する方法を発見した。この手法を使えば、JavaScriptのセキュリティ機能を迂回することができる。

　そのため、Jiktoコードが悪用されるのを恐れたホフマン氏は、コードが外部に出るのを防ぐための特別な手段を講じていたという。

　しかし、デモンストレーションを行うためには、Jiktoコードをインターネット上のどこかの場所にポストしなければならない。ホフマン氏によると、「（その過程で）きわめて短時間だが、Jiktoコードを実行した場所のオリジナルURLを読み取れる状況が生まれた」という。

　きわめて短時間とはいえ、このときコンファレンス会場にいたマイク・スクロール氏にとっては、コピーを入手するのに十分な時間だった。

　セキュリティ・マネジメント・パートナーズの情報セキュリティ・コンサルタントであるスクロール氏は、「私はステージに近い席に座っており、たまたまラップトップ・コンピュータを使っていた。再度URLが出た瞬間、コンピュータにそれを打ち込んだ」と語っている。

　スクロール氏は3月25日、自身のWebサイト上にJiktoコードをポストし、ニュース・サイトのDigg.com にこのコードへのリンクを張った。それから数時間後、同氏は、ホフマン氏の要請を受けて、このソフトウェアを削除した。

　スクロール氏は、スクリプティング攻撃の危険性を説明する方法を探し求めているセキュリティ専門家らにとって有益だと考え、このコードをポストしたという。

　「われわれは、顧客とともにフィッシング・サイトの構築方法を研究する取り組みを行っているため、Jiktoコードに関心を持った。非道な行為や悪意のある行為に手を染めるつもりはなかった」（同氏）

　ちなみに、スクロール氏によると、同氏のWebサイトからは、このソフトウェアがおよそ100回程ダウンロードされたという。

　先週末、Jiktoコードが再び出現することになった。今度は、Sla.ckers.orgのオンライン討論サイト にポストされたのだ。

　セキュリティ研究者の多くは、犯罪者が社内のネットワークをスキャンして機密情報を探し出したり、悪意のあるボットネット・コードを作成したりするためにJiktoを悪用する危険があると警告している。