Rig Exploit Kit 観測数の拡大に関する注意喚起

2016年9月頃より、日本国内の Web サイトを経由した Rig Exploit Kit による攻撃が急増しています。

IIJ の観測範囲では、Rig Exploit Kit は主に Internet Explorer および Adobe Flash の脆弱性を悪用し、攻撃が成功した場合は Locky または Ursnif などのマルウェアがダウンロードされることを確認しています。

誘導元として観測された Web サイトは多数で、規模やコンテンツなどに共通点は確認できませんが、WordPress で運用されている Web サイトが複数見受けられます。また、誘導元の Web サイトには、2016年9月上旬から終息傾向にある Neutrino Exploit Kit や、2016年6月に終息した Angler Exploit Kit の誘導元として悪用されていた Web サイト、他の詐欺行為などに悪用されていた Web サイトが散見されます。日本国内のクライアントPC を対象にドライブバイダウンロード攻撃を行う勢力が、本格的に Rig Exploit Kit を利用し始めているものと考えられます。なお、Rig Exploit Kit の拡大傾向は Malwarebytes Labs や SANS ISC などによっても報告されているため、日本国内に限らずより広い範囲で発生している状況と推測しています。

2016年9月29日 ～ 10月16日の期間に IIJ が確認した Rig Exploit Kit の Infector IP アドレスを以下に示します。Infector の IP アドレスはほぼ日次で更新されていますが、AS単位では海外の一部の AS に集中しています。このため、関連ログの調査などを行う際は AS 単位での検索が有効です。