水飲み場攻撃

水飲み場型攻撃とは、攻撃者が組織が頻繁に使用するウェブサイトを推測または観察し、そのうちの1つ以上にマルウェアを感染させるコンピュータ攻撃戦略です。最終的には、標的のグループのメンバーの誰かが感染します。^{[1] [2] [3]}特定の情報を探しているハッカーは、特定のIPアドレスからのユーザーのみを攻撃する場合があります。これにより、ハッキングを検出および調査することも難しくなります。^{[4]この名前は、}水飲み場の近くで獲物を攻撃する機会を待つ自然界の捕食者に由来しています。^[5]

ウォーターホール型攻撃の最も重大な危険性の一つは、ブラックリストに載せることが容易ではない正当なウェブサイトを介して実行されることです。また、これらの攻撃で使用されるスクリプトやマルウェアは、細心の注意を払って作成されることが多く、ウイルス対策ソフトウェアが脅威として識別することが困難です。^[6]

ウェブサイトは、ブラウザやその他のソフトウェアのゼロデイ脆弱性を通じて感染することが多い。 ^[4]既知の脆弱性に対する防御策は、最新のソフトウェアパッチを適用して、サイトが感染する原因となった脆弱性を除去することである。ユーザーは、すべてのソフトウェアが最新バージョンで実行されていることを確認することで、これを支援する。企業がウェブサイトとネットワークを監視し、悪意のあるコンテンツが検出された場合はトラフィックをブロックすることも追加の防御策である。^{[7]その他の防御技術には、ウェブサイトにアクセスするための複雑なパスワードとパスキーや、攻撃からデータを保護するための生体認証情報を使用することが含まれる。}ファイアウォールなどのウェブインジェクションを利用したり、デバイスにウイルス対策ソフトウェアをダウンロードしたりすることでも、攻撃から保護できる。 ^[8] さらに、サイバー攻撃の標的になりやすいFlashやAdobe Readerなどの脆弱なソフトウェアを無効化または削除することで、ウェブサイトの保護を強化できる。

• オペレーション・トルペード- 米国政府は3つのTorウェブサイトを攻撃した。FBIはウェブサイトへのアクセスを押収し、19日間運営を続けた。この間、ウェブサイトはNITを提供するように変更され、訪問者のIPアドレス、オペレーティングシステム、ウェブブラウザを明らかにして身元を明かそうとした。NITコードは、USA v Cottom et al の訴訟で明らかにされた。ネブラスカ大学カーニー校とダコタ州立大学の研究者がNITコードを検討したところ、それはAdobe Flashアプリケーションであり、ユーザーのトラフィックをTorネットワークにルーティングして身元を保護するのではなく、ユーザーの実際のIPアドレスをFBIが管理するサーバーにpingで返すものだった。Metasploitの「デクローキングエンジン」の技術を使用し、 Torウェブブラウザを更新していないユーザーにのみ影響を及ぼした。 [ 9 ^{] [10] [11] [12]}

2012年12月、外交問題評議会のウェブサイトが、マイクロソフトのInternet Explorerのゼロデイ脆弱性を介してマルウェアに感染していることが判明しました。この攻撃では、マルウェアは英語、中国語、日本語、韓国語、ロシア語に設定されたInternet Explorerを使用しているユーザーにのみ展開されました。^[13]

Havexは2013年に発見され、過去10年間に開発された産業用制御システム（ICS）向けマルウェア5つのうちの1つです。Energetic Bearは、エネルギー、航空、製薬、防衛、石油化学セクターを標的とした広範なスパイ活動でHavexを利用し始めました。この活動は主に米国とヨーロッパの被害者をターゲットにしました。^[14] Havexは、被害者のシステムにアクセスするために、スピアフィッシングキャンペーンに加えて、サプライチェーン攻撃とICSベンダーソフトウェアへのウォーターホール攻撃を悪用しました。^[15]

2013年中旬、攻撃者は米国労働省のウェブサイトを利用して、そのウェブサイトを訪問したユーザーの情報を収集しました。この攻撃は、特に核関連のコンテンツを含むページを訪問したユーザーを標的としていました。^[16]

• Operation Pacifier - 米国政府はTor (ネットワーク)ウェブサイトを押収し、サイトにアクセスするユーザーのウェブ ブラウザーをハッキングしてユーザーの身元を明らかにするマルウェア ベースの「ネットワーク調査技術」(NIT) をインストールしました。この作戦により、サイト ユーザー 956 人が逮捕され、5 人が懲役刑を受けました。

2016年後半、ポーランドの銀行が同行のコンピュータにマルウェアを発見した。このマルウェアの出所はポーランド金融監督庁のウェブサーバーだと考えられている。この結果、金銭的損失は報告されていない^[17]

2016年から2017年にかけて、モントリオールで未知の組織による組織レベルの水飲み場型攻撃が発生し、データ侵害を引き起こした。^[18]

2017年8月から9月にかけて、ベンダーのダウンロードサーバーから配布されたCCleanerのインストールバイナリにマルウェアが含まれていました。CCleanerは、Windowsコンピューターから潜在的に不要なファイルをクリーンアップするために使用される人気のツールで、セキュリティを重視するユーザーに広く使用されています。配布されたインストーラバイナリは開発者の証明書で署名されていたため、攻撃者が開発環境またはビルド環境を侵害し、これを使用してマルウェアを挿入した可能性があります。^{[19] [20]}

2017年6月、ウクライナで発生したとみられるNotPetya（別名ExPetr）マルウェアがウクライナ政府のウェブサイトを侵害した。攻撃ベクトルは、サイトのユーザーがそれをダウンロードすることだった。このマルウェアは被害者のハードドライブの内容を消去する。^[21]

2017年後半から2018年3月にかけて、中国では「LuckyMouse」（別名「Iron Tiger」、「EmissaryPanda」、「 APT 27」、「Threat Group-3390」）というグループによる国家レベルの水飲み場型攻撃が発生しました。^[22]

2019年、Holy Water Campaignと呼ばれる水飲み場型攻撃がアジアの宗教団体や慈善団体を標的にしました。^{[23]被害者は}Adobe Flashを更新するよう促され、それが攻撃の引き金となりました。この攻撃は急速に進化したため、独創的で特徴的でした。^[24]動機は依然として不明です。 [24]専門家は、この攻撃に関係する侵入の兆候（IoC）の長いリストとともに詳細な技術分析を提供しましたが、どれもAdvanced Persistent Threatにまでさかのぼることはできませんでした。^[25]

米国では、アメリカ自由人権協会(ACLU)、市民自由と透明性クリニック、プライバシーインターナショナルが米国政府のさまざまな部門に対して共同民事訴訟を起こし、米国政府が一般市民のプライバシーを大規模に侵害する新たな手段として水飲み場型攻撃を行っていたと主張しました。さらに、この民事訴訟の本質は、さまざまな機関への FOIA 要求の一部として関連文書を提出しなかったことでした。ACLU とプライバシー インターナショナル他対米国機関の訴訟記録は Courtlistener.com で閲覧できます。

• マルバタイジング