レガシーURLレピュテーション回避（LURE）攻撃

レガシーURLレピュテーション回避（LURE）攻撃とは?

レガシーURLレピュテーション回避（LURE）攻撃は、Webサイトの信頼度に基づいてドメインをカテゴリ分けするWebフィルタを回避して行う攻撃です。攻撃者は、一般的なセキュリティシステムによって「信頼できる」とカテゴリ分けされたWebサイトの中からセキュリティが不十分なサイトを見つけてそれを侵害し、そこを拠点にしてマルウェアを配信したり、ユーザーの認証情報を盗んだりします。LURE攻撃は驚異的な速度で増加しており、Menlo Labsの研究チームによると、過去2年間の増加率は950%以上でした。ブラウザーを適切に可視化して制御できるようにしなければ、このような検知回避型脅威（HEAT）（HEAT：Highly Evasive and Adaptive Threat）は今後も増加し、エンドユーザーに影響を与え続けるでしょう。

LURE攻撃はどのように行われるのでしょうか?

攻撃者はWordPressのようなサイト構築ツールの脆弱性を簡単に見つけ出すことができ、そのようなWebサイトを大量に侵害します。そして、SEO（検索エンジン最適化）ポイズニングなどの手法を使ってこれらのサイトの検索順位を高めます。SEOポイズニングは、タイポスクワッティングやキーワードスタッフィングなどの様々な手法を使用して、悪意のあるWebサイトが検索エンジンの検索結果で上位に表示されるようにし、その結果被害者はこれらのサイトを見つけ、クリックしやすくなります。

これらのキャンペーンは通常、短期間（通常は2日程度）で終了します。それまでに、従来型のセキュリティソリューションがWebサイトの本質に気づき、カテゴリを「悪意のあるサイト」に変更するからです。これが、検知回避型脅威（HEAT）の仕組みです。LUREサイトは入念に準備され、検知を回避して標的を狙いますが、それが検知された場合には、攻撃者は用意していた別のLUREサイトを使用して、疑いを持っていない被害者に同様の攻撃を仕掛けるのです。

もっと小規模な標的型攻撃の場合、攻撃者は正規に動作する悪意のないWebサイトを新規に作成し、カテゴリ分けエンジンのWebクローラーがそれらを無害であると判定するまで、辛抱強く待つことさえあります。無害という判定を得た時点で、攻撃者はWebサイトを悪意のあるコンテンツで武器化し、標的とする被害者にスピアフィッシングを仕掛け、Webサイトに誘導します。

悪意のあるファイルを配布するキャンペーンの場合、そのファイルをDiscordやGoogle Drive、Boxなどの信頼されているコラボレーションサービスでホストすることで、Webサイトのレピュテーションを利用して悪意のあるWebサイトへのアクセスを防ごうとするセキュリティツールを回避できる場合があります。

もう1つの心理学的な手法として、CAPTCHAの利用が挙げられます。Webサイトにこのようなセキュリティのための仕組みが組み込まれていると、ユーザーは正規のサイトであると考えます。悪意のあるサイトにCAPTCHAを組み込むことで、サイトの信頼性を高めるのです。また、正規のサイトはAPIボットから身を守るためにCAPTCHAを使用しますが、WebサイトにCAPTCHAが組込まれていると、Webをカテゴリ分けするためのクローラーがサイトを巡回することができません。そのため、WebフィルタリングやURLレピュテーションのソリューションがWebサイト内のコンテンツを確認することができなくなります。攻撃者がCAPTCHAを使用するのは、そのようなクローラーからサイトの本当の目的を隠すためでもあります。

組織に与える影響はどのようなものでしょうか?

LUREなどの検知回避型脅威（HEAT）は常に進化しており、ブラウザー内のアクティビティを可視化できない、従来型のネットワークセキュリティでは対抗できません。そのため、これらは非常に強力な脅威となっています。Webプロキシやファイアウォールなどの従来型のセキュリティソリューションは、既知の脅威のシグネチャやパターンに基づいて、疑わしい添付ファイルや異常なトラフィックを検知します。リモートワークやハイブリッド環境が増加したことで、ユーザーや組織は高度に回避的な脅威に対してさらに脆弱になりました。フィッシングやソーシャルエンジニアリングはますます増加し、個人を騙し、ユーザーを誘導する一見無害なWebサイトに誘導するために使用されています。

LURE攻撃を防ぐにはどうすれば良いですか?

ブラウザーを標的とするLURE攻撃やその他の回避的な脅威に効果的に対抗するために、企業はクラウドベースのブラウザーセキュリティソリューションなど、既存のセキュリティ層を強化する防御策に優先的に取り組む必要があります。ブラウザーセキュリティソリューションを使用すると、ブラウザー内の可視性と制御性を確保し、検知ベースのアプローチでは見落とされがちなブラウザー固有の動作についての洞察を得ることができます。回避的な攻撃をリアルタイムで迅速に認識して阻止することは組織にとって非常に重要であり、セキュリティチームは動的なポリシーの適用をブラウザーに直接実装する必要があります。攻撃者が常に戦術を環境に適応させているのと同様に、企業はWebブラウザー内で防御メカニズムをアクティブに強化することができる、適応型のセキュリティ制御を導入する必要があります。このプロアクティブなアプローチは、検知できない脅威によるデバイスやユーザー、あるいは機密データの侵害を防ぐための鍵となります。