ブログトップ記事一覧ログイン無料ブログ開設

piyolog

2014-11-27

複数のWebサイトでSyrian Electronic Armyの画像が表示された件をまとめてみた

Web改ざん | 06:00 |

2014年11月27日21時頃より国内外複数のWebサイトでSyrian Electronic Army(SEA)の画像に転送されるとの報告が相次ぎました。ここではその関連情報をまとめます。

公式発表

Gigyaの発表

Regarding Today’s Service Attack

SEAのTweet

Happy thanks giving, hope you didn't miss us! The press: Please don't pretend #ISIS are civilians. #SEA pic.twitter.com/ZXzMWbXoYp
— SyrianElectronicArmy (@Official_SEA16) 2014, 11月 27

タイムライン

日時	出来事
11月27日 20時45分	GigyaがDNS サーバー情報が改ざんされたことを確認。
11月27日 21時頃～23時過ぎ	日本国内でSEAの画像が掲載されたサイトに転送されるとの報告多数。
11月27日 21時40分	GigyaがDNS サーバー情報の改ざんを修正。
11月28日 1時頃	GigyaがBlogに不正アクセスについて報告。

SEA画像が表示されるまでの流れ(一部推測あり)

確認されている事象

公式、SNS等で報告されている事象は次の通り。

Gigya社のサービスを利用しているユーザーのWebサイトで発生。
アラートダイアログが表示されたのち、画像掲載サービス(imgr)サイトに転送される。

影響を受けた国内のWebサイト

Twitter等で当該事象の発生確認が報告されていたサイトは次の通り。

原因

Gigya社のサービスを提供するドメイン「cdn.gigya.com」のレジストラが不正アクセスされ、DNS サーバーの情報が書き換えられたことによる。
レジストラがどのように不正アクセスを受けたかについては公式発表には掲載無し。
改ざんされたのはGigyaのDNS サーバーの情報であり、Gigya社やそれを利用しているユーザーのWebサーバーが不正アクセスを受け、改ざんされたわけではない。

Gigyaのサービスについて

GIGYAのSNSの拡散サービスで使用しているドメインが影響を受けた。(GigyaはCDN事業者ではない。)
国内外でサービスを提供している。ユーザー数は700以上。
国内では「Torchlight」が代理店(ライセンサー)としてサービスを提供している。
- GIGYA：エンドユーザーとの関係強化のためのトータルソリューション・プラットフォーム
影響を受けた1つの毎日新聞では導入事例が紹介されている。

全世界の他700以上のユーザーに提供をしている模様。

導入ユーザーとして紹介されているもののうち、事象が報告されていない国内関係組織は次のものがある。

日本電気
キヤノン
日本航空
- JAL旅プラス http://www.jal.co.jp/tabi/
パナソニック
ホンダ
CAPCOM

改ざんの詳細

日本時間11月28日 21時前にcdn.gigya.comのDNSサーバー情報が書き換えられた模様。
- cdn.gigya.comはGIGYAのCDN用のドメイン。
- 改ざんされていた際のDNS情報やcdn.gigya.comのIPアドレスについて情報持っている方教えてください。:)

DNS サーバーが書き換えられた状態でcdn.gigya.comにアクセスした場合、参照先IPアドレスが変わり、以下のJavaScriptが別のものにすり替えられていた可能性。

cdn.gigya.com/JS/socialize.js

cdn.gigya.com/JS/gigyaGAIntegration.js

表示される画像は次のもの。
- imgurは画像掲載サービスのWebサイトであり、SEAの管理するサイトではない。

以下のJavaScriptが呼ばれる。(報告事例)
- Alertダイアログの表示とimgurへの遷移する。
- 別パターンはpiyokangoは11月28日3時時点で確認していない。

alert("You've been hacked by the Syrian Electronic Army(SEA)");

windows.location="i.imgur.com/qD53RZY.png";

更新履歴

2014/11/28 AM 新規作成

*1：ハッカー攻撃:米ＩＴ企業が被害　メディアサイトなど被害,毎日新聞,2014/11/28アクセス:魚拓

*2：https://twitter.com/kaz_konno/status/537971142808862720

*3：http://detail.chiebukuro.yahoo.co.jp/qa/question_detail/q11138745411

*4：http://okwave.jp/qa/q8839566.html

*5：https://twitter.com/Blackearowl/status/537964196609019904

*6：DELLのサイト、毎日新聞のサイトがハックされてる？ - 釣りが大好きなホームページ屋さんの日記

*7：https://twitter.com/plqs_terada/status/537970642709000192

*8：https://twitter.com/mim_co/status/537966549479342080

*9：https://twitter.com/plqs_terada/status/537960152695971840

*10：https://twitter.com/lrdgnm_fx/status/537955527859245056

*11：https://twitter.com/mirror/status/537950319259287552

*12：https://twitter.com/kenz_tweets/status/537956949787037696