フォームグラブ

フォームグラビングは、Webデータフォームから認証とログイン認証情報を取得し、インターネット経由で安全なサーバーに渡すマルウェアの一種です。これにより、マルウェアはHTTPS暗号化を回避できます。この方法は、仮想キーボード、自動入力、またはコピーアンドペーストを使用して入力されたユーザーの認証情報も取得できるため、キーロガーソフトウェアよりも効果的です。 ^{[1]その後、}電子メール、アカウント名、パスワードなどの変数名に基づいて情報を並べ替えることができます。さらに、フォームグラバーは、データが収集されたWebサイトのURLとタイトルを記録します。^[2]

歴史

この手法は、インターネットから Backdoor.Barbew をダウンロードし、ローカルシステムに持ち込んで実行しようとする Downloader.Barbew と呼ばれるトロイの木馬の亜種の開発者によって 2003 年に考案されました。しかし、悪名高いバンキング型トロイの木馬Zeusが2007 年に出現するまで、マルウェア攻撃のよく知られたタイプとして普及することはありませんでした。 ^[3] Zeus は、ブラウザー内侵入によるキーストロークのロギングとフォームグラビングによって銀行情報を盗むために使用されました。Zeus と同様に、Barbew トロイの木馬は当初、大手銀行を装った電子メールを通じて多数の個人にスパム送信されました。^[4]フォームグラビング手法は、Zeus の反復を通じて初めて進化し、モジュールはグラビングしたフォームデータを検出できるだけでなく、取得した情報の有用性も判断できるようになりました。後のバージョンでは、フォームグラバーは実際のデータが送信された Web サイトにもアクセスできるようになり、機密情報が以前よりも脆弱になりました。^[5]

既知の事例

Tinba（ Tiny Banker Trojan ）として知られるトロイの木馬は、フォームグラビング機能を備えており、オンラインバンキングの認証情報を盗むことができ、2012年に初めて発見されました。Weyland-Yutani BOTと呼ばれる別のプログラムは、macOSプラットフォームを攻撃するように設計された最初のソフトウェアであり、 Firefoxで動作します。Weyland-Yutani BOTのWebインジェクションテンプレートは、 ZeusやSpyEyeなどの既存のものとは異なっていました。^[6]

もう一つの既知のバージョンは、2018年9月のブリティッシュ・エアウェイズのデータ侵害です。ブリティッシュ・エアウェイズのケースでは、組織のサーバーが直接侵害されたようで、攻撃者はJavaScriptファイルの1つ（Modernizr JavaScriptライブラリ、バージョン2.6.2）を変更してPII/クレジットカードのログ記録スクリプトを追加し、支払い情報を取得して、その情報を「Comodo」証明機関が発行したSSL証明書を持つ「baways[.]com」ドメインでホストされている攻撃者が管理するサーバーに送信していました。ブリティッシュ・エアウェイズのモバイルアプリケーションも、メインのWebサイトと同じCSSおよびJavaScriptコンポーネントで構築されたWebページを読み込み、Magecartによってインストールされた悪意のあるスクリプトを含んでいました。そのため、ブリティッシュ・エアウェイズのモバイルアプリを使用して行われた支払いも影響を受けました。

対策

キーロギングとフォームグラビングが最近増加しているため、ウイルス対策会社はキーロガーに対抗し、パスワードの収集を防ぐために追加の保護を追加しています。これらの取り組みは、safepay、パスワードマネージャーなど、ウイルス対策会社によってさまざまな形で行われています。^{[1]フォームグラビングにさらに対抗するには、ユーザーの権限を制限して、}ブラウザーヘルパーオブジェクト（BHO）やその他のフォームグラビングソフトウェアをインストールできないようにすることができます。管理者は、ファイアウォールに悪意のあるサーバーのリストを作成する必要があります。^[2]

アウトオブバンド通信を使用してフォームグラバーやマンインザブラウザを回避するなどの新しい対策も登場しています。例としてはFormL3SSがあります。^[7]脅威を回避する対策では、別の通信チャネルを使用して機密データを信頼できるサーバーに送信します。したがって、侵害されたデバイスには情報は入力されません。Fideliusなどの代替イニシアチブでは、追加のハードウェアを使用して、侵害されたデバイスまたは侵害されたと思われるデバイスへの入出力を保護します。

参照

参考文献

^ ab 「オンラインパスワードのキャプチャとウイルス対策」 Web ログ投稿。Business Information Technology Services、2013 年 7 月 24 日。
^ ab グラハム、ジェームズ、リチャード・ハワード、ライアン・オルソン。サイバーセキュリティの基本。Auerbach Publications、2011年。印刷。
^ *Shevchenko, Sergei. 「Downloader.Berbew」。Symantec、2007 年 2 月 13 日。
^ *エイブラムス、ローレンス。「CryptoLocker ランサムウェア情報ガイドと FAQ」。Bleeding Computers。2013 年 12 月 20 日。
^ *「フォームグラビング」。ウェブログ投稿。ロチェスター工科大学、2011 年 9 月 10 日。
^ Kruse, Peter. 「MacOSX 用 Crimekit がリリースされました。」 Wayback Machine Web ログ投稿に 2014 年 1 月 31 日にアーカイブ。カナダ安全保障情報局、2011 年 5 月 2 日。
^ Almasi, Sirvan; Knottenbelt, William (2020年2月)。「侵害されたブラウザやフォームグラバーからユーザーを保護する」。ウェブの測定、攻撃、防御に関するNDSSワークショップ。2020年。doi : 10.14722 / madweb.2020.23016。ISBN 978-1-891562-63-1。

[BITS-1] 「オンラインパスワードのキャプチャとウイルス対策」 Web ログ投稿。Business Information Technology Services、2013 年 7 月 24 日。

[Cyber_Security_Essentials-2] グラハム、ジェームズ、リチャード・ハワード、ライアン・オルソン。サイバーセキュリティの基本。Auerbach Publications、2011年。印刷。

[3] *Shevchenko, Sergei. 「Downloader.Berbew」。Symantec、2007 年 2 月 13 日。

[4] *エイブラムス、ローレンス。「CryptoLocker ランサムウェア情報ガイドと FAQ」。Bleeding Computers。2013 年 12 月 20 日。

[5] *「フォームグラビング」。ウェブログ投稿。ロチェスター工科大学、2011 年 9 月 10 日。

[6] ^ Kruse, Peter. 「MacOSX 用 Crimekit がリリースされました。」 Wayback Machine Web ログ投稿に 2014 年 1 月 31 日にアーカイブ。カナダ安全保障情報局、2011 年 5 月 2 日。

[7] Almasi, Sirvan; Knottenbelt, William (2020年2月)。「侵害されたブラウザやフォームグラバーからユーザーを保護する」。ウェブの測定、攻撃、防御に関するNDSSワークショップ。2020年。doi : 10.14722 / madweb.2020.23016。ISBN 978-1-891562-63-1。