Symantec Security Response Weblog
「Fragus Exploit Kit Changes the Business Model」より
November 4，2009　Posted by Peter Coogan

　当社（米シマンテック）のセキュリティ監視網に数カ月前，「Fragus」というエクスプロイト・ツールキットが引っかかった。当社が調査したところ，その後Fragusは着実に勢力を拡大し，現時点で最も使われているエクスプロイト・パックの一つになったと見られる。「Unique Pack」や「YES Exploit System」，「Eleonore」，「Liberty」といったほかのツールキットと似ている点はあるが，興味深い新機能を装備していた。エクスプロイト・ツールキットの目的は一般的に，「複数のエクスプロイトをWebサイトで一括配信し，不用心なユーザーのWebブラウザを攻撃する」機能を提供することだ。使いやすいGUIを備えるWebサーバーでホスティングされており，多くの場合，攻撃者が実行したいエクスプロイトを選べるようになっている。エクスプロイトの動作が成功すると，最終的にペイロードを攻撃目標のシステムに送り込む。これらの機能はすべて操作画面から利用できて，攻撃キャンペーンの達成度を確認できる立派なステータス画面もある。

　Fragusの作者はこうした定石をきちんと踏襲したうえで，悪事と無関係な英ionCubeのコード保護ツール「PHP Encoder」で自分のコードを守るようにした。ionCube PHP Encoderを採用したことで，作者はコードを守ると同時に，エクスプロイト・ツールキットの使い方を管理したり，エクスプロイト・ツールキットを収入源として維持したりできる。Fragusの価格は800ドルと決して安くないものの，従来のエクスプロイト・ツールキットと同じ販売方法では，販売時に売り上げが得られるだけで，作者がある種のアップデート版をリリースしない限り収入は途絶えてしまう。それどころか最悪の場合，誰でも無料ダウンロード可能な状態にされてしまうこともある。ionCube PHP Encoderを使うと，以下のような制限を対象ファイルに設けられる。

・実行可能なIPアドレスとサーバー名の両方もしくは片方を指定する：

　この制限により，作者はFragusを販売する際，実行用のIPアドレスやドメイン名とFragusをひも付けできる。その結果，購入者が後からFragusを動かすシステムのIPアドレスやドメイン名を変えたくなると，改めて作者や仲介業者にFragusをアップデートしてもらう必要が生じる。

・特定の日やある一定期間後に使用期限が切れるファイルを作る：

　この制限により，作者はFragusを期限付きで貸し出せるようになる。ファイルの使用期限が過ぎると，それ以降Fragusは使えない。使い続けたい購入者は，Fragusを購入し直すかアップデートするかしなければならない。

　当社の調査によると，「Vertigoinvasion.com」というドメインでホスティングされているFragusは，この制限機能を両方とも使っていた。どうやらこのWebサイトは，2009年9月から10月にかけてFragusを借りて使っていたようだ。我々は，このWebサイトから実行された二つの攻撃キャンペーンのステータス・ページを見つけた。これらの攻撃は，それぞれドイツとスペインを標的にしていたようだ。いずれの攻撃も，シマンテックは最終的なペイロードを「Infostealer.Banker.C」として検出する。これは，当社が「Zeus」に対して付けた名称である（関連記事：トロイの木馬作成ツール「Zeus」，アングラ犯罪ソフト・ツールキット界の王者）。以下（図2と図3）にステータス・ページを掲載した。このデータから，合計5万台以上のシステムがこのFragusホスティング・サイトにアクセスし，1万6700台以上が被害を受けたことが読み取れる。

　エクスプロイト・ツールキットFragusには，英語版とロシア語版がある。最後に，このFragusの特徴をもう一つ紹介して当記事を終えよう。Fragusには攻撃用Webサイトへ配備するiframeを暗号化するユーティリティが付属しているのだ。

　シマンテックでは，ウイルス対策ソフトと侵入防止システム（ISP）でFragusによるエクスプロイト悪用を未然に防いだ。当社製ISPは，Fragusのエクスプロイト・パックを「HTTP Fragus Toolkit Activity」または「HTTP Fragus Toolkit Java Class Activity」として検出する。

　なお，今回の調査と記事執筆に協力してくれたCathal Mullaney氏に感謝する。

Copyrights (C) 2009 Symantec Corporation. All rights reserved.
本記事の内容は執筆時点のものであり，含まれている情報やリンクの正確性，完全性，妥当性について保証するものではありません。
◆この記事は，シマンテックの許可を得て，米国のセキュリティ・ラボの研究員が執筆するブログSecurity Response Weblogの記事を抜粋して日本語化したものです。オリジナルの記事は，「Fragus Exploit Kit Changes the Business Model」でお読みいただけます。