［世界］
大規模なサイト・ハッキング被害が明らかに――1万ものサイトが感染

「Linux＋Apache」のWebサイトが標的

（2008年01月21日）

　先週初めに報告されたWebサイトのハッキング被害が当初の見通しよりもはるかに大規模なことが、セキュリティ・ベンダーである米国SecureWorksの調べでわかった。同社によると、少なくとも1万のサイトがハッキングされており、そうしたサイトは訪問者のPCに攻撃を仕掛け、未パッチの脆弱性を悪用してPCを乗っ取るという。

　米国ScanSafeのシニア・セキュリティ研究員、メアリー・ランデスマン（Mary Landesman）氏は1月14日、数百のWebサイトがハッキングされており、サイト訪問者に攻撃を仕掛けていることが判明したとのリポートを発表した。この発表を受け、SecureWorksのシニア研究員、ドン・ジャクソン（Don Jackson）氏は詳細な調査を開始。18日、ハッキングされたサイトの数は予測よりもはるかに多い1万に上ることを明らかにした。

　SecureWorksのデータによると、ハッキングの対象になったのは、Linux OSとApache Webサーバ・ソフトによって構築されている約1万のWebサイトで、盗まれたログイン情報を使ってハッキングされた可能性が高い。

　ハッキングされたWebサーバは、悪意あるJavaScriptコードを生成するファイルのペアに感染している。サイト訪問者がこれらにアクセスすると、このスクリプトにより、QuickTimeの脆弱性やWindows MDACの以前からのバグ、さらにはYahoo! Messengerの欠陥などを突く攻撃を受けるという。

　こうした脆弱性に対応する修正パッチをサイト訪問者が自分のPCに適用していなかった場合、そのPCは有名なバックドア型トロイの木馬「Rbot」の新しい亜種に感染し、攻撃者が支配するボットネットに追加される。

　「サイトのハッキングがどのように行われたかを証明することはできないものの、証拠からすると、盗まれたログイン情報が使われたと結論づけることができる」とJackson氏は述べている。同氏がこの結論に達した1つの理由は、感染を駆除したホストや、Linuxを再インストールしたホストまでもが、すぐに再感染してしまったからである。

　「パスワードのブルートフォース（総当たり）攻撃が感染の直前に行われた形跡はなかった。しかし、Webホスティング企業は常にパスワード攻撃を受けている」（Jackson氏）

　サイト・ハッキングを先に発見したScanSafeのLandesman氏も、ハッキングが可能だった理由は、ログイン・ユーザー名とパスワードが盗まれたためと考えている。「すべての証拠は、ユーザー名とパスワードが何らかの形で流出したことを示している。私としては、かなり限られた数のホスティング企業から流出したと見ている」（同氏）

　Jackson氏は、すべての感染サイトが正常な状態に復旧するのは非常に難しいとの認識を示した。サイトのハッキングは脆弱性を突いて行われたわけではないが、ハッカーが利用しているApacheの機能（モジュールの動的ロード）は、ほとんどのサイト管理者にあまり知られていないためだ。

　同氏はさらに重要なポイントとして、感染したサーバ上のすべてのパスワードを変更する必要があると語った。同氏によると、サイト管理者がそれを怠ったためにすぐに再感染したケースがあるという。「FTPや、広く普及したサーバ・コントロール・プログラム『Cpanel』のパスワードだけでなく、すべてのパスワードを変更しなければならない。あるサイトでは、これら以外のパスワードがサイト・アクセスに使われた証拠がある」と同氏は警鐘を鳴らしている。

　またJackson氏は、このハッキングを主導した人間は、この種の事件でよく見られるロシアや中国のサイバー犯罪者ではなく、北米や西欧に住んでいるのではないかと考えている。というのも、ファイル・アップロード・ツールのコード中にロシア語や中国語のコメントがないからだ。「西欧ではドイツなども含めて、ハッキングはほとんどの場合、英語で行われている」と同氏は説明する。

　いずれにせよ、ユーザー側ではシステム上のすべてのソフトウェアにパッチを当て、セキュリティ・ソフトウェアのシグネチャを最新に保つことで自衛は可能だ。一方、Webサイト管理者側は、Apacheのモジュール構成で動的ロードを無効にしておかなければならないと、Jackson氏は訴えている。

(Gregg Keizer／Computerworld オンライン米国版)