IE10/9のゼロデイ脆弱性を狙った攻撃、日本国内のウェブサイトでも確認

　トレンドマイクロ株式会社は24日、Internet Explorer（IE）に影響する未修正の脆弱性を悪用するゼロデイ攻撃が、日本国内のウェブサイト改ざん事例で確認されたとして、注意を喚起した。

　この脆弱性は、米国の海外戦争復員兵協会のウェブサイトを狙った攻撃の中で11日に発見された「CVE-2014-0322」。サイトは何らかの方法で改ざんされており、この脆弱性を悪用して閲覧者のPCに不正プログラムを感染させるコードが埋め込まれていた。

　トレンドマイクロでは、この攻撃につながるウェブサイト改ざん事例が、日本国内のウェブサイトでも複数発生したことを確認。今回確認された事例では、脆弱性を攻撃するためのHTMLファイル、Flashファイル（SWF）、Javaアーカイブファイル（JAR）が改ざんサイト内に設置されていたことが共通していたという。

　脆弱性は、IE10およびIE9のみに影響があり、IE11およびIE8/7/6には影響がない。現時点で、マイクロソフトからこの脆弱性を修正するセキュリティ更新プログラムは提供されていないが、脆弱性の影響を緩和するためのツール「Fix it」が提供されている。トレンドマイクロでは、最新のIE11であればこの脆弱性の影響を受けないため、IE11にアップデートすることを推奨している。