重要なポイント
- マルバタイジングは有名サイトの広告枠を悪用して感染を広げます。New York Times、BBC、MSN、Answers.com、AOL.com などが過去に標的になりました。
- Angler エクスプロイトキットは脆弱なプラグインや古いブラウザを狙い、TeslaCrypt ランサムウェアや Bedep トロイをインストールします。
- 基本対策（更新、プラグイン無効化、広告・スクリプトブロック、標準ユーザー利用）で多くの攻撃を防げます。
マルバタイジングとは何か
マルバタイジングは「広告（advertising）」を介したマルウェア配布の総称です。攻撃者は広告ネットワークの配信経路や出稿先の管理に介入し、訪問者のブラウザで自動的に脆弱性を突くスクリプトを実行させます。
定義（1行）
- マルバタイジング: 広告枠を悪用してマルウェアを配布する攻撃手法。
どのように攻撃が行われるか
- 攻撃者は正規のマーケティング会社が使っていた期限切れドメインを買い取るなどして、広告出稿の信頼性を偽装します。
- Google DoubleClick、Adnxs、Rubicon、AOL、AppNexus、Taggify などの大規模広告ネットワークを経由して大量の広告スペースにマルウェア配信用コードが混入します。
- 訪問者が広告を読み込むと、ページ上のスクリプトがブラウザのプラグイン（Flash、Java、Silverlight 等）や古いブラウザの脆弱性を探索します。
- 条件が整うとエクスプロイトキット（例: Angler）がペイロードを落とし、ランサムウェアやトロイの木馬をインストールします。
重要: 一部のマルウェアは特定のアンチウイルスを検出すると活動を停止する高度な回避機能を持ちます。
今すぐできる基本防御（エンドユーザー向け）
- ブラウザとOSを自動更新に設定し、パッチを適用する。これが最も重要です。
- ウイルス対策ソフトを常時最新に保ち、定期スキャンを実行する。
- ブラウザプラグイン（Flash、Java、Silverlight）はアンインストールするか、クリックして実行する形式（オンデマンド）に設定する。
- 広告ブロッカーやスクリプトブロッカー（例: uBlock、NoScript 相当の機能）を導入し、信頼できるサイトだけ許可する。
- 標準ユーザー（管理者権限ではない）で日常操作を行う。多くのマルウェアは管理者権限を必要とするため、これだけで多くの被害を防げます。記事では「86%の脅威を排除する」とされています。
- 不審な広告やポップアップのクリックを避ける。見覚えのないセールや警告は無視する。
上級対策（IT管理者・上級ユーザー向け）
- セキュアDNSやフィルタリングDNSを導入して既知の悪性ドメインをブロックする。
- ブラウザのサンドボックスや分離技術（ブラウザ分離）を活用する。
- 重要業務用端末はプラグインを全面的に無効化した専用ブラウザで運用する。
- エンドポイントで振る舞い検知を導入し、未知のペイロードの実行を検出する。
- 広告配信チェーンの監査。第三者業者のドメインや期限切れドメインの出稿を監視する。
事後対応の基本手順（ミニ方法論）
- 被害確認: 異常なファイル暗号化や不審通信、CPU負荷を検出したら速やかに収集ログを保存する。
- ネットワーク切断: 感染端末をネットワークから隔離する。
- イメージ取得: 可能ならばディスクイメージとメモリダンプを取得し、フォレンジックに備える。
- 復旧: 最新のバックアップから復元する。ランサムの支払いは推奨しない。
- 原因分析: どの広告/ドメインを介して侵入したかを特定し、ブロックする。
- 周知と対策: 関係者に通知し、同様の経路での二次被害を防ぐ措置を講じる。
役割別チェックリスト
エンドユーザー
- OSとブラウザを自動更新に設定
- ウイルス定義を最新化
- 広告・スクリプトブロッカー導入
- プラグインは不要なら削除
- 標準ユーザー権限で作業
IT管理者
- フィルタリングDNSとプロキシで広告配信チェーンを監視
- EDR/IPS を導入して振る舞い検知
- 管理者権限の最小化とアカウント分離
- 定期的な脆弱性スキャンと資産台帳の更新
セキュリティ担当者
- 広告ネットワークから来る通信のログを長期保存
- マルウェアサンプルのサンドボックス解析
- サプライチェーンリスクの評価
いつこの対策が効かないか（反例）
- ゼロデイ脆弱性を突く攻撃では、最新パッチでも防げない場合があります。
- 標的型のフィッシングで資格情報を奪われた場合、端末が健全でも侵害されることがあります。
- 社内システムに管理者権限で保存された危険なファイルは、ユーザーの更新だけでは守れません。
事実メモ（要点）
- 影響を受けたサイトの例: New York Times、BBC、MSN、Answers.com、AOL.com。
- 攻撃で使われた広告配信経路: DoubleClick、Adnxs、Rubicon、AOL、AppNexus、Taggify。
- 代表的なペイロード: TeslaCrypt（ランサムウェア）、Bedep（トロイ）。
テストケースと判定基準
- ブラウザを最新に更新した端末で既知の脆弱性スキャンを実施し、検出数がゼロであること。
- 広告・スクリプトブロッカー有効時に不審な外部スクリプトがブロックされることを確認する。
- 標準ユーザーでマルウェアが自動インストールされないこと（サンドボックス内での実行テストを推奨）。
1行用語集
- マルバタイジング: 広告を介したマルウェア配布。
- エクスプロイトキット: 脆弱性を自動で突いて悪意あるコードを落とすツール群。
- ランサムウェア: ファイルを暗号化し身代金を要求するマルウェア。
- トロイの木馬: 正常に見えるが不正な機能を持つマルウェア。
まとめ
マルバタイジングは誰でも被害者になり得る脅威です。しかし、基本的な衛生管理――OSとブラウザの更新、プラグインの削除、広告・スクリプトブロッカー、標準ユーザーの利用――を徹底すればリスクは大幅に減らせます。組織の場合はDNSフィルタ、EDR、広告チェーンの監査を組み合わせた多層防御を導入してください。
重要: 常にバックアップを取り、未知の脅威に備えて復旧手順を定めておくことが被害を最小化する最短の方法です。
著者
編集
