EXIF に潜むマルウェア

EXIF ヘッダにマルウェアが埋め込まれているという話が興味深かったのでメモ。

• JPEG画像のEXIFヘッダにマルウェアを隠して実行させる新しい手口が登場 - GIGAZINE
• Malware Hidden Inside JPG EXIF Headers | Sucuri Blog

PHP のバックドアというと、リモートのファイルをインクルードする^*1という攻撃方法がポピュラーでしたが、下記の攻撃は直接スクリプトファイルを読み込むのではなく、スクリプトを EXIF に埋め込んでおき、exif_read_data()^*2 で読み出すという方式になっています。そして最終的に利用されるのは preg_replace()^*3 の e 修飾子^*4 。これまでも e 修飾子については、攻撃の踏み台として使われることが多かったので、5.5 では非推奨となっており、将来的には削除されるものと思われますが、それまではこのような攻撃が発生し続けると思われます。

このような方式だと単純なフィルタリングでは検知できないかもしれないので、注意が必要ですね。

• ^*1: 今週のSecurity Check - リモート・ファイル・インクルード攻撃：ITpro
• ^*2: PHP: exif_read_data - Manual
• ^*3: PHP: preg_replace - Manual
• ^*4: PHP: 正規表現パターンに使用可能な修飾子 - Manual