金融マルウェアの手口：マン・イン・ザ・ブラウザー攻撃

Shahnawaz BackerF5 ソリューションエンジニアリング担当ディレクター | F5

マルウェアとその影響

マルウェアは金融業界に数十億ドルもの損失をもたらしており、その勢いはとどまるところを知りません。これほど利益を得やすい分野であれば、マルウェア作成者は新たな攻撃を生み出すと考えられます。しかし実際には、マルウェアはコードを再利用し、さまざまな形態に姿を変えて再登場しています。多くのマルウェアは、Man in The Browser（MiTB）やMan in The Middle［MITM］などのエクスプロイトを悪意ある目的に利用しています。

この記事では、Man in the Browserと、F5のFraud Protection Solution（FPS）に基づく緩和策について説明します。この攻撃ベクトルを利用することで知られるマルウェア群が存在します。MiTBの手法を使用する代表的なマルウェアとして、Bugat、Gozi、Tatanga、SpyEye、Zeusなどが挙げられます。

Man in the Browserとは？

ブラウザに感染したトロイの木馬が、ページがユーザーに表示される前、またはトランザクションがサーバーに送信される前に、それらを密かに改ざんする攻撃をMiTBと総称します。

ほとんどのブラウザには、機能を拡張する仕組みが用意されています。たとえば、WindowsのBrowser Helper Objects、Google Chromeの拡張機能、Firefoxのプラグインなどです。これらの拡張機能により、ブラウジングを大幅にカスタマイズできる一方、マルウェアの手段として悪用されることもあります。次にいつも利用している銀行へログインした際、このようなメッセージが表示された場合は、MiTBが活動していると考えられます。

残念ながら、攻撃者の手口は巧妙かつ目立たないため、すべてが水面下で進行します。攻撃者は、ユーザーのブラウジング体験を向上させるためのブラウザ機能を悪用します。以下のスクリーンショットは、マルウェアが窃取した認証情報をドロップゾーンへ密かに送信している様子を示しています。

F5の不正対策ソリューションがその答えです

詐欺者はブラウザを利用して情報を盗みますが、サーバー側ではクライアント側で発生するこうしたトランザクションをまったく把握できません。今求められているのは、お客さまの閲覧操作を妨げたり変更したりすることなく、お客さまのブラウザで発生するトランザクションを監視することです。F5のFPSは、このような不審なアクティビティの監視に役立ちます。

MiTB攻撃を阻止するF5独自の機能には、次のようなものがあります

HTMLフォームのフィールド難読化：ユーザー名やパスワードなどの機密性の高いフィールド名をランダムな文字列に置き換えることで、特定のDocument Object Model（DOM）要素を探す自動化スクリプトを無効化します。

機密フィールドのリアルタイム暗号化：特定された重要なフィールドは、ユーザーの入力と同時に暗号化されます。

ブラウザベースのキーロガーを無効化するダミーキーストローク：生成されたキーストロークによって実際のユーザー入力を隠し、ブラウザベースのキーロガーによる記録を防ぎます。

マルウェアによる外部スクリプト挿入を警告：AJAXが別のドメインにPOSTした場合、FPSが銀行に警告します。

まとめ

Man In the Browser攻撃は、通信経路の暗号化を破り、ブラウザから機密情報を窃取する可能性があります。F5のFPSソリューションは、このセキュリティギャップを補い、組織がユーザーのブラウザを可視化して保護できるよう支援します。

リソース

• マン・イン・ザ・ブラウザ
• F5 Anti-Fraud Solution

著者について

Shahnawaz BackerF5 ソリューションエンジニアリング担当ディレクター | F5

Shahnawaz Backerは、F5 Labsのプリンシパルセキュリティアドバイザーを務めていました。最新のアプリケーション開発、デジタルアイデンティティ、不正行為の手口に強い関心を持ち、セキュリティインテリジェンスをソリューションに組み込むことに注力するとともに、自動化されたプロアクティブな防御の重要性を強く信じています。

Shahnawaz Backerのその他のブログ記事