「ダークウェブに潜む悪性コードが横行…手口を分析し脅威を事前に遮断すべき」

2024.09.21. 公正経済 — ディープウェブ検出の専門企業ポテトネットは、ディープウェブを悪用してマルウェアが配布されているとして、悪意のあるディープウェブ事例の分析結果を最近公開した。

マルウェアはもはやIT専門家の専売特許ではない。プログラミング初心者でもいくつかのツールさえあれば、容易にマルウェアを作成し、拡散できる。サイバー犯罪がますます大衆化し、その規模と影響力も指数関数的に拡大している。

無数の悪性コードはディープウェブで見つけることができる。

ディープウェブは、一般的な検索エンジンではアクセスできないウェブの隠された領域を指し、ダークウェブとは区別される。一方、サイバー攻撃に悪用される悪意のあるディープウェブは、ダークウェブとは異なり、通常の方法でウェブブラウザを通じてアクセスできるため、ユーザーはクリックだけでマルウェアをダウンロードできる。

悪意のある攻撃者はディープウェブを悪用してマルウェアを配布している。隠蔽されたマルウェアは通常、表面に現れず、一般的な正規ウェブサイトと結びついたリンクを通じては発見できない。

ポテイトネットはこうした事実を確認するため、最近悪性ディープウェブの事例を分析した。

最初に分析した悪性ディープウェブサイトは「https://e***s.ro」である。

当該ウェブサイトにアクセスすると、コンテンツのない空白ページが表示される。しかし、ソースコードにはアンケートを装ったフィッシングサイトのリンクが多数含まれている。display:noneの設定により、フィッシングリンクが表示されないように隠蔽されている。これらのフィッシングリンクは出現と消失を繰り返し、ある時点でフィッシングリンクが有効化される。

空白ページに偽装したウェブサイトにはディープウェブの悪性コードが存在していた。ユーザーに渡されたURLでは悪性コードが自動的にダウンロードされる。ダウンロードされた「ord.exe」や「kin.exe」などの悪性コード分析の結果、ユーザーのPCで権限昇格を試み、PCの詳細情報などの機微データを窃取していた。このように収集した情報を利用してシステムを制御するトロイの木馬（Trojan/Win32.Formbook）タイプである。

次に分析した悪性ディープウェブサイトは「https://file*****.vercel.app」である。

同ウェブサイトはVercelというホスティングサービスを利用して運営されている。メインページにはウェブページを表示できない旨の「404エラー」が表示されるなど、サイト内部のコンテンツを確認することはできない。

同ウェブサイトのディープウェブには「windows.exe」という悪性コードがあり、この悪性コードは悪性ペイロードを実行し、難読化やユーザー活動の検知を通じてアンチウイルスの検知を回避する。またPCの詳細情報を収集して機微データを窃取した。暗号化されたチャネルを通じてコマンドを受け取りシステムを制御するトロイの木馬（trojan/lummastealer）タイプである。

当該マルウェアはVercelの無料ホスティングサービスを悪用したと判断される。無料ホスティングサービスは費用負担なしに複数のIPアドレスやさまざまな場所から攻撃を継続できる環境を提供する。そのため、厳格な本人確認を求めないホスティングサービスの場合、攻撃者は匿名性を保ちながらマルウェアを配布できる。

分析した2つのウェブサイトはディープウェブの悪性コード配布地であり、C&Cサーバーとしても悪用される可能性がある。

ポテトネットは「ディープウェブは一般的なウェブのように容易に追跡できないため、マルウェアの検知と遮断がはるかに困難である。上記の分析事例のように、ディープウェブに隠されたマルウェアを追跡し、遮断するには、精巧なセキュリティ戦略と細心の注意が必要である。セキュリティ専門家はディープウェブに隠されたマルウェアについて継続的な監視と対応策を講じるべきだ。マルウェアが密かに配布される新たな経路に注目し、ディープウェブで活動する攻撃者のパターンを分析することが重要である。セキュリティの強化と予防措置を通じて、こうした脅威を事前に遮断することが不可欠だ」と述べた。