Loading article…
コンピュータ セキュリティにおいて、ドライブバイ ダウンロードとは、意図しないソフトウェア(通常は悪意のあるソフトウェア)のダウンロードを指します。「ドライブバイ ダウンロード」という用語は通常、トロイの木馬の場合のように、ダウンロードされる内容を理解せずにユーザーが許可したダウンロードを指します。他の場合には、この用語は単にユーザーの知らないうちに行われるダウンロードを指すこともあります。ドライブバイ ダウンロード攻撃で配布される一般的なファイルの種類には、コンピュータ ウイルス、スパイウェア、クライムウェアなどがあります。
ドライブバイ ダウンロードは、ウェブサイトを訪問したとき、[1]、電子メールの添付ファイルを開いたとき、リンクをクリックしたとき、または偽のポップアップ ウィンドウをクリックしたとき、または[2]、たとえば、コンピュータのオペレーティング システム自体からのエラー レポートが確認されている、または一見無害な広告ポップアップが閉じられているなどと誤解してウィンドウをクリックしたときに発生する可能性があります。このような場合、「サプライヤー」は、ユーザーがダウンロードに「同意した」と主張する可能性がありますが、実際にはユーザーは望ましくないまたは悪意のあるソフトウェアのダウンロードを開始したことに気付いていません。同様に、悪意のあるコンテンツを含むサイトを訪問している場合、その人はドライブバイ ダウンロード攻撃の被害者になる可能性があります。つまり、悪意のあるコンテンツは、ブラウザーまたはプラグインの脆弱性を悪用して、ユーザーが知らないうちに悪意のあるコードを実行できる可能性があります。[3]
ドライブバイ インストール(またはインストール) も同様のイベントです。ダウンロードではなく インストールを指します (ただし、この 2 つの用語は同じ意味で使用される場合もあります)。
プロセス
ドライブバイダウンロードを作成する場合、攻撃者はまず攻撃を実行するための悪意のあるコンテンツを作成する必要があります。不正なドライブバイダウンロード攻撃を実行するために必要な脆弱性を含むエクスプロイトパックの増加により、この攻撃を実行するために必要なスキルレベルは低下しました。[3]
次のステップは、攻撃者が配布したい悪質なコンテンツをホストすることです。 1 つの選択肢は、攻撃者が自分のサーバーに悪質なコンテンツをホストすることです。 ただし、ユーザーを新しいページに誘導することが難しいため、侵害された正当な Web サイトにホストされているか、または正当な Web サイトが知らないうちに第三者のサービス(広告など) を通じて攻撃者のコンテンツを配布している可能性があります。 コンテンツがクライアントによって読み込まれると、攻撃者はクライアントのフィンガープリントを分析し、そのクライアント固有の脆弱性を悪用するようにコードをカスタマイズします。[4]
最後に、攻撃者は必要な脆弱性を悪用してドライブバイダウンロード攻撃を開始します。ドライブバイダウンロードでは通常、2つの戦略のいずれかが使用されます。最初の戦略は、さまざまなプラグインのAPI呼び出しを悪用することです。たとえば、Sina ActiveXコンポーネントのDownloadAndInstall APIはパラメーターを適切にチェックしなかったため、インターネットから任意のファイルをダウンロードして実行できました。2番目の戦略は、シェルコードをメモリに書き込み、Webブラウザーまたはプラグインの脆弱性を悪用して、プログラムの制御フローをシェルコードに転送することです。[4]シェルコードが実行されると、攻撃者はさらに悪意のあるアクティビティを実行できます。これにはマルウェアのダウンロードとインストールが含まれることがよくありますが、情報を盗んで攻撃者に送り返すことなど、何でも可能です。[3]
攻撃者は、攻撃全体を通じて検出を防ぐための対策を講じることもあります。1つの方法は、悪意のあるコードの難読化に頼ることです。これは、 iframeを使用することで実現できます。[3]もう1つの方法は、検出を防ぐために悪意のあるコードを暗号化することです。通常、攻撃者は悪意のあるコードを暗号文に暗号化し、暗号文の後に復号化メソッドを含めます。[4]
検出と予防
ドライブバイダウンロード攻撃の検出は、活発に研究されている分野です。検出方法には、ユーザーがウェブページにアクセスしている間にユーザーのコンピュータシステムの状態変化を追跡する異常検出が含まれます。これは、ウェブページがレンダリングされるときにユーザーのコンピュータシステムで異常な変化がないか監視するものです。他の検出方法には、攻撃者のエクスプロイトによって悪意のあるコード (シェルコード) がメモリに書き込まれたときに検出することが含まれます。別の検出方法は、JavaScriptコードを実行できるランタイム環境を作成し、実行中にその動作を追跡することです。他の検出方法には、HTML ページのコンテンツを調べて悪意のあるウェブページを識別するために使用できる機能を特定することや、ウェブサーバーの特性を使用してページが悪意のあるかどうかを判断することなどがあります。[3]一部のウイルス対策ツールは、静的シグネチャを使用して悪意のあるスクリプトのパターンを照合しますが、難読化技術のためにあまり効果的ではありません。低対話型または高対話型のハニークライアントを使用して検出することもできます。[4]
ドライブバイダウンロードは、Firefoxなどのブラウザに簡単に追加できるNoScriptなどのスクリプトブロッカーを使用しても防止できます。このようなスクリプトブロッカーを使用すると、ユーザーは特定のWebページ上のすべてのスクリプトを無効にしてから、個々のスクリプトを1つずつ選択的に再度有効にして、どのスクリプトがWebページの機能に本当に必要なのかを判断することができます。ただし、一部のスクリプトブロックツールは、他のWebサイトの一部を壊すなど、意図しない結果をもたらす可能性があり、バランスを取るのが少し難しい場合があります。[5]
「Cujo」と呼ばれる別の形式の予防策は、Webプロキシに統合されており、Webページを検査して悪意のあるJavaScriptコードの配信をブロックします。[6]
参照
参考文献
- ^ Sood, Aditya K.; Zeadally, Sherali (2016 年9 月 1 日)。「ドライブバイダウンロード攻撃: 比較研究」。ITプロフェッショナル。18 (5): 18–25。doi : 10.1109 /MITP.2016.85。ISSN 1520-9202。S2CID 27808214 。
- ^ Olsen, Stefanie (2002 年 4 月 8 日)。「Web サーファーはポップアップ ダウンロードに備える」CNETニュース。2010年10 月 28 日閲覧。
- ^ abcde Le, Van Lam; Welch, Ian; Gao, Xiaoying; Komisarczuk, Peter (2013 年 1 月 1 日)。ドライブバイダウンロード攻撃の解剖。AISC '13。オーストラリア、ダーリングハースト、オーストラリア: Australian Computer Society、Inc.。pp. 49–58。ISBN 9781921770234。
{{cite book}}:|journal=無視されました (ヘルプ) - ^ abcd Egele, Manuel; Kirda, Engin; Kruegel, Christopher (2009 年 1 月 1 日)。「ドライブバイダウンロード攻撃の緩和: 課題と未解決の問題」。INetSec 2009 – ネットワークセキュリティにおける未解決の研究課題。IFIP 情報通信技術の進歩。第 309 巻。Springer Berlin Heidelberg。pp. 52–62。doi : 10.1007 / 978-3-642-05437-2_5。ISBN 978-3-642-05436-5。
- ^ Phillips, Gavin (2021年1月14日). 「ドライブバイダウンロードマルウェア攻撃とは?」2022年1月4日閲覧。
- ^ Rieck, Konrad; Krueger, Tammo; Dewald, Andreas (2010 年 12 月 6 日)。「Cujo: ドライブバイダウンロード攻撃の効率的な検出と防止」。第 26 回年次コンピュータ セキュリティ アプリケーション カンファレンスの議事録。米国ニューヨーク: ACM。pp. 31–39。doi : 10.1145 /1920261.1920267。ISBN 9781450301336. S2CID 8512207。