「function createCSS(selector,declaration){ ～」サイト改ざん攻撃コード


　ページの最後尾付近に、下のようなJavaScriptタグがあったらサイトが改ざんされとります。ブラウザのCSS（スタイルシート）の処理を利用した攻撃コードの一部です。JavaScriptがうまく処理されると、<IFRAME>タグが生成されて攻撃ページがブラウザ内で強制的に読み込まれウイルス感染攻撃が行われる流れ。



<script>function createCSS(selector,declaration){ [～中略～] </script>


　日本国内サイトでも、この攻撃コードが挿入さてしまってるところが複数ありますな。カスペルスキーhttp://atq.ad.valuecommerce.com/servlet/atq/gifbanner?sid=2219441&pid=877212733&vcptn=shpg%2Fp%2FxfyEHKJf5d1rq45IWF5d（Kaspersky）の報告でもこの攻撃コードにつてのお話が登場。
・ マルウェアマンスリーレポート : 2011 年 2 月



サイバー犯罪者、ドライブバイ攻撃をレベルアップ


2 月には、スクリプトダウンローダ用の部分的なデータを含む CSS (Cascading Style Sheets) の使用でかなりの進捗がみられました。マルウェアを拡散させる新しい方法は、多くのアンチウイルスソリューションによる悪意あるスクリプトの検知をより困難にしています。この方法は、現在多くのドライブバイダウンロード攻撃で使用されているもので、サイバー犯罪者はエクスプロイトを検知されることなくユーザーのマシンにダウンロードすることができます。


この方法を使用するドライブバイ攻撃では、通常は iFrame が使用され、ユーザーは感染した Web サイトから CSS データを含んだページにリダイレクトされます。このタイプの感染した Web ページのうち 3 つが 2 月のインターネット上で検知されたマルウェア TOP20 にランクインしています。Trojan-Downloader.HTML.Agent.sl は今回 1 位、Exploit.JS.StyleSheeter.bは 13 位、Trojan.JS.Agent.bte は 19 位となっています。

・ サイト改ざん復旧方法