3月の概況

2024年3月（3月1日～3月31日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
(2023年10月の全検出数を100%として比較)

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2024年3月の国内マルウェア検出数は、2024年2月と比較して微増しました。検出されたマルウェアの内訳は以下のとおりです。

国内マルウェア検出数^*2上位（2024年1月2月）

*2 本表にはPUAを含めていません。

3月に国内で最も多く検出されたマルウェアは、HTML/Phishing.Agentでした。
HTML/Phishing.Agentは、メールに添付された不正なHTMLファイルの汎用検出名です。HTMLファイル内に埋め込まれたURLに接続すると、個人情報の窃取、マルウェアのダウンロードといった被害に遭う可能性があります。

WordPressを狙う攻撃者

WordPressはGNU General Public License (GPL) の下で配布されているオープンソースのコンテンツ管理システム（CMS）です。多種多様なプラグインを使えることや初心者でも扱いやすいGUIを備えていることから、世界各国の個人・企業がWordPressを使用しています。WordPressの発表によると、Web 上の43%のサイトが WordPress を利用しているとされています。

しかし、利用者が多いということは、それだけ攻撃者に狙われやすいということでもあります。
サイバーセキュリティラボでは、WordPressをターゲットとしたマルウェア配布キャンペーンを定期的に確認しています。また、こうした攻撃によって埋め込まれた悪意あるコードが長期にわたり放置されている例もあります。
そのため、WordPressを安全に利用するためには、攻撃を受けることを想定した対策と侵害を受けた際に気付くことができるセキュリティ知識が必要です。

3月のマルウェアレポートでは、2023年12月に行われたBalada InjectorによるWordPressを狙ったキャンペーンを例に、WordPressを運用する際に気を配るべき点を紹介したいと思います。

Balada Injector

Balada Injectorとは、WordPressをターゲットに不正なJavaScriptを埋め込むマルバタイジングキャンペーンの1つです。その活動は2017年から継続して確認されています。Webサイト向けのサイバーセキュリティ製品を扱うSUCURiが公開した2022 Website Threat Research Reportでは、三大マルウェアキャンペーンの1つとして紹介されました。

2023年12月のキャンペーンでは、Balada InjectorはPopup Builderの脆弱性（CVE-2023-6000）を悪用していました。
Popup BuilderはWordPressのプラグインの1つで、簡単にWebページにポップアップを表示できると高評価を得ていたものです。全世界で20万回以上このプラグインはインストールされていました。
Popup Builderに存在していた蓄積型クロスサイトスクリプティングの脆弱性がCVE-2023-6000です。この脆弱性を悪用することで、攻撃者は任意のプラグインのインストールや新たな管理者アカウントの作成などを行うことができます。

攻撃手法

どのような流れでCVE-2023-6000が悪用されるのかを解説します。

攻撃のターゲットとなるのは、脆弱性に対応していない古いバージョンのPopup BuilderがインストールされたWordPressです。
Popup Builderで作成したポップアップを適用したWebページには、以下の画像のようにポップアップが表示されます。今回は「これはテストです。」という文字列を含む画像をポップアップとして表示しています。HTMLコードで表示内容を指定することもできます。

ポップアップ画像が表示されている様子

上記の設定が施されているWebページに対して、curlコマンドを用いて通信を行います。以下の画像にcurlコマンドのdataオプションに含まれているコードの一部を示しました。画像内のコードには、可読性のためにデコードや整形を行っています。

curlコマンドdataオプションの一部

curlコマンドのdataオプションには、Popup Builderの設定情報が入力されています。特にsgpb-ShouldOpen=alert(document.domain);と設定されている点が重要であり、ポップアップが開かれた際の動作が指定されています。今回はシンプルなアラートを表示するJavaScriptのコードを用いて、動作確認を行います。

curlコマンド実行後にポップアップが表示されるWebページにアクセスすると、本来表示されるはずの設定したポップアップ画像ではなくJavaScriptのアラートが表示されます。

ポップアップ画像ではなくアラートが表示されている様子

WordPressの管理者画面からポップアップ一覧を確認すると、プラグインのタイプが画像からHTMLに変更されていることがわかります。これは、先ほど実行したcurlコマンドによって、ポップアップの内容が書き換えられた結果です。

コマンド実行前後のPopup builderのポップアップ

また、ポップアップの詳細から、表示される際にどのようなコードが実行される設定になっているかを確認できます。元々は空欄でしたが、alert(document.domain);と変更されており、curlコマンドで指示した関数が実行される設定になっていることがわかります。

ポップアップの詳細画面

この例では、デバッグのために用いられる無害なコードを使用しましたが、実際には悪意あるコードを送信することで、攻撃者の思い通りの操作を実行させることができてしまいます。具体的には、WordPressの管理者によるアクセスをトリガーとして、バックドアとして機能する悪意あるプラグインをインストールさせます。

対策

WordPressを安全に使用するために、次のような対策を行うことが大切です。

• WAF（Web Application Firewall）を導入する
• WordPressやプラグインのバージョン管理を適切に行う
• 関連するゼロデイ攻撃の情報を収集する
• 不審なユーザーやリソースが作成されていないか定期的に確認する
• 不審な通信が行われていないか定期的にチェックする

2024年に入ってからJVNに追加されたWordPressに関連する脆弱性は200件を超えます。また、2023年12月のBalada Injectorの攻撃は、対応するアップデートが公開された直後に、アップデートに未対応な環境を狙って行われました。こういった攻撃に対応するために、バージョン管理を適切に行うと同時に、攻撃者が狙う脆弱性に関する情報を収集する必要があります。
ゼロデイ攻撃であっても、攻撃の特徴を把握し、関連するプラグインの使用を一時中断する、特徴に合致する通信を遮断するといった方法で被害を軽減できます。
NucleiやWPScanのようなペネトレーションツールを用いて、利用している環境に既存の脆弱性が含まれていないかをチェックすることも有効です。管理者と相談した上で、これらのツールを利用することも検討してみてください。
また、さまざまな対策をすり抜けてWordPressが侵害されてしまうケースに備え、定期的に改ざんが行われていないか確認することも重要です。各種ファイルのバックアップを作成し、不審な変更が行われていないか差分を調べてください。暗号化したJavaScriptをポストしていたり、リソースのIDを取得する通信を行っていたりと、攻撃を目的とした通信にはそれぞれ固有の特徴が現れます。

まとめ

3月のマルウェアレポートでは、WordPressを狙った攻撃の一例と必要な対策を紹介しました。
利用者が多く、セキュリティ面が脆弱なことがあるWordPressは、攻撃者の格好のターゲットとなります。定期的にWordPressを狙ったマルウェア配布キャンペーンが行われており、2023年の年末にも大規模な攻撃が行われました。今後もこうした活動は続くものと思われます。
上記の対策を参考に、今一度WordPressを運用している環境を見直してみてください。