Q1
ラッキービジター詐欺で使用されるPHPマルウェアの意味が分からないのですが、どうやってPHPスクリプトを第三者のWebサイトへ不正に設置するのですか?
Q2
不正なページはどこに設置されるのですか?
・第三者のWebサイト?
・攻撃者のWebサイト?
スタック・オーバーフローはプログラマーとプログラミングに熱心な人のためのQ&Aサイトです。すぐ登録できます。
登録してこのコミュニティに参加するQ1
ラッキービジター詐欺で使用されるPHPマルウェアの意味が分からないのですが、どうやってPHPスクリプトを第三者のWebサイトへ不正に設置するのですか?
Q2
不正なページはどこに設置されるのですか?
・第三者のWebサイト?
・攻撃者のWebサイト?
まあ既にコメントにある通りなのですが、混乱を避けるために用語定義を先にしておきましょう。
ラッキービジター詐欺ってのはそもそも
というものと理解すればよいでしょう。
A1. wordpress などの CMS (コンテンツマネジメントシステム:俗にいう web background application) の脆弱性を利用して、当該「第三者の web site 」を維持管理しているプログラムに改ざんがなされます。「どうやって」は既知の脆弱性を利用します。例えば URL のクエリ部 (?foo=bar
) に長い文字列を書いて (改ざん前) web site にアクセスすると CMS のバッファオーバーフローバグによって web site の管理者権限を得ることができたりします。そうすれば web page の管理機構を通して設定ファイルを書き換えることができます(=改ざん)
A2. 改ざんされるのは「第三者の web page 」つまり質問文でいうところの前者
全く違う内容に改ざんしてしまうと即バレしてしまいますが、特定条件でのみ改ざんページが表示されるように工夫してあるところがラッキービジター系の上手なところですね。なかなかばれないので被害が長く出たり。
「第三者」も web page 内容を書き換えられてしまった被害者ではあるのですが、同時に CMS のセキュリティアップデートを怠っていた責任は問われます(攻撃者に加担したとみなされてもしかたない面がある)
コメントで質問が追加されたので(元質問にも追記していただけると幸い)
ラッキービジター詐欺は google だの bing だので検索して「初訪問」(=visit) してきた閲覧者に「ラッキーなあなた」云々を信じ込ませるものなので
ということなので URL は変わりません、というか、少なくとも詐欺サイトへの導入を行う入口 URL は「第三者」のもののままです。検索エンジンでヒットする (=過去にクロールされた) URL として 774RR.example.com/archive/1234.html
があるとき、ここにアクセスしたら普通は元コンテンツが見えるのですが、まれにコンテンツを書き換えて詐欺コンテンツを見せてもいいし詐欺サイトへリンクしてもいいわけです(最終的にクレジットカード情報等が詐欺者に渡ればよい)
URL 中のドメイン名を乗っ取るには DNS ポイズニングが必要ですので話が大掛かりになります。脆弱性のある CMS をツールでポチポチ探すだけで(書き換えが当該サイトのごく一部の設定ファイルにとどまる)達成可能、かつ、発動することがまれ(改ざんがばれにくく長期間維持できる)なのがこの詐欺の良いところです。攻撃者としては DNS ポイズニングみたいな即全世界バレするような目立つことはしたくありません。低確率でもばれなきゃ長期間維持できる=期待値が高い、です。
コメント Q1 : URL は以前と変わりませんか → Yes
コメント A2 : 改ざんされたサイト自体にラッキービジター内容がおかれているかもしれませんし、単に入口として機能してラッキービジター内容そのものは攻撃者のサイトに置かれているかもしれません。第三者サイトの管理人に気づかれにくいよう不審なファイルが増えないようにするには後者のほうがよさそうです。こういう詐欺に引っかかる被害者は URL の詳細まで見ていなかったりするので。