Fortra Intelligence and Research Experts(FIRE)の脅威リサーチャーらは、「カメレオン型SEOポイズニング」と呼ばれる新たな回避手法が40%以上急増していることを確認しました。この手法により、フィッシングの実行者は悪意あるページを検索結果の上位にランクインさせながら、自動化されたセキュリティスキャナーからは完全に見えない状態を保つことができます。
大量のメールやSMSによる「プッシュ型」キャンペーンに依存する従来型のフィッシングとは異なり、カメレオン型攻撃は検索エンジン自体が被害者を不正なページへ直接誘導する「プル型」戦略を採用しています。
攻撃者は.ph.comや.gr.comといったプライベートなセカンドレベルドメイン(SLD)上でタイポスクワッティングドメインを登録し、SEO操作に多大な投資を行うことで、「銀行名 カスタマーポータル」や「クレジットカード ログイン」といった購買意欲の高い検索クエリで正規の検索結果よりも上位に表示させています。これは、活発化する認証情報窃取活動と並んで、脅威領域を拡大させる要因となっています。
この手法の核心は、HTTPリファラーヘッダーに基づくクローキングにあり、研究者らはこれを「プレゼンテーション・コントロール」と呼んでいます。
セキュリティクローラーや脅威インテリジェンスボット、あるいはURLを直接入力したユーザーからのアクセスに対しては、サーバーが機能停止中のページや404エラーページを返すよう設定されており、レピュテーションサービスやレジストラからはドメインが放棄されているように見せかけられます。
一方、検索経由のアクセス、つまりリファラーヘッダーがGoogleやBingからのクリックであることを示している場合には、認証情報の窃取やセッションハイジャックを狙って作られた、本物そっくりの銀行ポータルの複製ページが表示されます。これはClickFix型フィッシングキャンペーンで確認されている欺瞞的な手口と類似しています。
このように配信内容を選別することで、汚染された検索結果は何日も、場合によっては何週間も維持されます。というのも、その間ドメインのレピュテーションスコアはクリーンな状態に保たれ続けるためです。
パッシブ型のドメインレピュテーションツールや静的スキャナーは、検索エンジンからのリファラーを持たずに直接クロールを行い、URLを単体で評価します。
カメレオン型サイトはこうしたパターンを検知すると無害なコンテンツを返すため、報告されたリンクを調査するSOCアナリストは、一般的なオフラインページを目にするだけで誤検知としてチケットをクローズしてしまうことが多くあります。その一方で、実際の検索結果をクリックした顧客は、引き続きフィッシング被害に遭い続けることになります。
Fortraの脅威リサーチで指摘されている通り、このアーキテクチャレベルのクローキングは、巧妙化する銀行系マルウェアの脅威に対する従来型のシグネチャベース検知の有効性を著しく低下させています。
FIREは、被害者の実際のトラフィックの痕跡を模倣することで、これらのキャンペーンを暴くための手法をSOCチームや研究者向けに示しています。具体的には、標的とする検索エンジンに合わせてリファラーヘッダーを偽装すること(例: Referer: [https://www.google.com/](https://www.google.com/))、curlやpython-requestsといったデフォルトのスクリプト用エージェントの代わりに一般的なブラウザのユーザーエージェント(WindowsのChromeやEdge)を使用すること、標的とする金融機関の顧客層の地理的位置に合わせた住宅用プロキシ経由でリクエストをルーティングすること、そして、この種のキャンペーンにおける主要なインフラの手段として、プライベートSLD上で最近登録されたタイポスクワッティングドメインを優先的に調査対象とすることなどが挙げられています。
Fortraは、組織全体にわたって関係者ごとに異なる防御戦略を取ることを推奨しています。CISOは、事後対応的なテイクダウンから、プロアクティブかつ文脈を考慮したブランド保護へと予算配分をシフトし、検索での可視性そのものを監視が必要な攻撃対象領域として扱うべきだとしています。
SOCチームは、URLへの直接アクセスや静的なサンドボックスのみに頼るのではなく、リファラー偽装によるテストを必須とするよう調査手順(SOP)を更新する必要があります。ホスティングプロバイダーやレジストラは、プライベートSLD上での迅速なドメイン登録に対する審査を強化し、リファラーによって表示が切り替わるペイロードの証拠を、悪用申告によるテイクダウンの正当な根拠として認めるべきです。
エンドユーザーは、検索エンジン経由で銀行のポータルにアクセスすることを避け、代わりに公式アプリやブックマークしたURLを利用すべきです。Fortraは、同社のBrand Protectの顧客はすでにこの新たな脅威ベクトルから保護されていると述べています。
攻撃者が検索エンジンへの信頼をますます悪用するようになる中、顧客が検索を通じて自社を見つけるあらゆる組織にとって、静的な自動スキャンに代わり、文脈を考慮したエミュレーション型スキャンを導入する必要性はより一層高まっています。
翻訳元: https://cyberpress.org/chameleon-seo-poisoning/
