「SEOポイズニング」攻撃の実態【中編】

検索結果からマルウェアに誘導　「SEOポイズニング」3つの方法とは？

SEOを悪用して有害なWebサイトに誘導する「SEOポイズニング」攻撃は、実際のサイバー攻撃においてどのように悪用されているのか。マルウェア「SolarMarker」の配布に使われた攻撃を例に、具体的な方法を探る。

公開 2022年03月11日 05時00分

[TechTarget]

印刷する連載新着通知を受け取る

　セキュリティベンダーSophosの脅威分析機関SophosLabsは2022年2月に公開した公式ブログのエントリ（投稿）で、「SEOポイズニング」を使って遠隔操作型マルウェア「SolarMarker」を配布する攻撃の存在を明らかにした。SEOポイズニングは、一般的なSEO（検索エンジン最適化）のテクニックを悪用した攻撃手法だ。今回の攻撃では、攻撃者は検索エンジンの検索結果上位に有害なWebサイトへのリンクを表示しやすくして、そのリンクをクリックしたエンドユーザーをマルウェア配布サイトに誘導した。

“成功”を収めている3つの手法

　SophosLabsはブログエントリで、攻撃者が使用していたSEOポイズニングの3つの方法を解説する。

併せて読みたいお薦め記事

連載：「SEOポイズニング」攻撃の実態

前編：「SEOポイズニング」復活の“謎”　SEOを攻撃に悪用する手口

さまざまな攻撃手法とマルウェア

　1つ目の方法は、まずグループ内情報共有ツール「Google Groups」のディスカッションページを作成して、SEOポイズニングの対象とする検索キーワードに関連した投稿を500～600件書き込む。攻撃者はこれらの投稿のコメントに、PDFドキュメントへのリンクに見せかけた有害なファイルへのリンクを挿入する。このファイルは実行時にコマンド実行ツール「PowerShell」用の攻撃スクリプトを、エンドユーザーのマシンに実行させる。

　2つ目は、有害なPDFドキュメントを作成して、このPDFドキュメントへのリンクを検索結果に表示する方法だ。このPDFドキュメントには検索キーワードのテキストデータやファイルのダウンロードリンクを含む。エンドユーザーがそのリンクをクリックすると、マルウェア配布サイトにリダイレクトされる。

　3つ目は、攻撃用のHTMLテキストを仕込んだ有害なWebサイトを使用する方法だ。ブログエントリによれば、これらの有害なWebサイトは、検索されやすいキーワードを並べたリンク群を掲載している。エンドユーザーがリンクをクリックすると、いずれをクリックした場合でも同じ攻撃用サーバがホストする有害なWebサイトに移動する。

　攻撃者がSolarMarkerの配布に悪用した検索キーワードには、