1 概況

JPCERT/CCでは、インターネット上に複数の観測用センサーを分散配置し、不特定多数に向けて発信されるパケットを継続的に収集し、宛先ポート番号や送信元地域ごとに分類して、これを脆弱性情報、マルウエアや攻撃ツールの情報などと対比して分析することで、攻撃活動や準備活動の捕捉に努めています。なお、本レポートでは、本四半期に観測された日本宛のパケットを中心に分析した結果について述べます。

宛先ポート番号別パケット観測数のトップ5を [表1]に示します。

図1は、期間中のトップ5の宛先ポート番号ごとのパケット観測数の推移を示しています。

送信元地域のトップ5を [表2]に示します。

図2に期間中のトップ5のパケット送信元地域からのパケット観測数の推移を示します。

本四半期は、23/TCP宛のパケットが1月以降減少しました。23/TCPの現象については、「2.2」で詳しく述べます。また、3月中旬から445/TCP宛のパケットが増加しています。この増加の原因は、はっきりしませんが、新たなConfickerの亜種の活動も懸念されますので、Windows OSやWindows Server を使用している場合は、適切なセキュリティ対策(セキュリティ更新プログラムの適用や、ログオン認証に安易なパスワードを使用しないなど)の実施をお勧めします。その他については、多少の増減はありましたが、特筆すべき状況の変化は見られませんでした。

2 注目された現象

過去の定点観測レポート (*2) で、国外のドメインが対象となったDDoS攻撃において、オープンリゾルバを使用し、存在しない多数のFQDNを問い合わせることによって攻撃対象の権威DNSサーバに過剰な負荷を加えようとする攻撃(以下「DNS水責め攻撃」といいます。)の手法が使用された事例を紹介しましたが、2月上旬にトップレベルドメインが「JP」である国内のドメイン(以下「国内ドメイン」といいます。)を攻撃対象とした、送信元ポート番号が53/UDPのパケット(以下「DNS応答パケット」といいます。)およびDNSサービスのポート不達を示すICMPエラーパケット(Destination unreachable)を多数観測しました(図3を参照) (*3) 。

トップレベルドメインがJPであるドメインを対象とするDDoS攻撃で、DNS水責め攻撃の手法が使用された初の事例だとJPCERT/CCは考えています。

今回のDNS水責め攻撃の対象となった国内ドメインは、国内のドメイン登録代行事業者が運用する権威DNSサーバに登録されていました。この権威DNSサーバは、国内でも利用者数の多い複数のサイトのドメインを管理していました(以下、複数ドメインを管理する権威DNSサーバを「共有DNSサーバ」という。)。このため攻撃により国内の共有DNSサーバに過剰な負荷が上がることで、対象となった国内ドメインだけではなく、同一の共有DNSサーバで管理されていた複数のドメイン(クラウドを使用したサービスを提供している事業者やオンラインゲームなど)も名前の解決ができなくなり、Webサイトが閲覧できない、メールが受け取れないなどの問題が発生していたと推測されます。

さらに、この国内の共有DNSサーバが応答しない状態に陥ったことで、攻撃に加担したオープンリゾルバも、国内の共有DNSサーバ間にある複数のISPなどのキャッシュDNSサーバも、共有DNSサーバからの応答を待つ問合せ処理が多数積み上がり、異常に負荷が上がります。これによりキャッシュDNSサーバの利用者にも同様にWebサイトの閲覧ができない、メールの送受信ができないなどの問題が発生していたと推測されます。

なお、WHOIS 情報を確認したところ、国内ドメインは、攻撃発生当初は、国内の共有DNSサーバに登録されていましたが、その後、海外の事業者が運用する共有DNSサーバに変更されていました。これは、本攻撃への対策として行われた変更と推測されます。

3月上旬には、米国の大手レジストラが運用する共有DNSサーバで管理されていたドメインが対象となるDNS応答パケットおよびDNSサービスのポート不達を示すICMPエラーパケットを観測しました。この米国のレジストラの共有DNSサーバは、国内サイトのドメインの登録先としても利用されるケースがあり、この共有DNSサーバを利用していたドメインは、本攻撃により、Webサイトが閲覧できないなどの障害が発生していた可能性があります。

図4は、本四半期の送信元ポート番号が53/UDPとするパケット観測数のグラフです。グラフのパケット全てがDDoS攻撃パケットではありませんが、DDoS攻撃を目的としたと思われるパケットを多く観測しています。

今回JPCERT/CCで確認した国内ドメインを対象とするDNS水責め攻撃だけでなく、日頃から発生している海外のドメインを対象とするDNS水責め攻撃やDNS Amp攻撃などに関連しても多数のオープンリゾルバが国内に存在しており、意図的ではないにせよDDoS攻撃に加担する結果となっていることは我が国として由々しき問題です。攻撃の踏み台となっているオープンリゾルバを減らすために、特に次の点について確認してください。

なお、JPCERT/CCでは、オープンリゾルバを減らすための活動の一環として、インターネット定点観測システムで観測したDNS 応答パケットおよびDNSサービスのポート不達を示すICMPエラーパケットを調査し、その送信元となっている国内のIPアドレスの管理者に対して調査を依頼しています。

図5が示すように、本四半期は、23/TCP宛のパケットが1月以降減少しました。23/TCP宛のパケットの送信元地域は、中国が約54%を占めていますが、1月以降、中国を送信元とするパケットが大きく減少したのに伴い総数でも減少傾向となりました。中国からのパケットの減少の原因は不明です。送信元地域が国内のパケットも本四半期の2月上旬から減少しています。前四半期から観測した国内を送信元とする23/TCP宛のパケットの増加は、過去の定点観測レポートの「2.1 23/TCP, 8080/TCP宛へのパケットの増加」(*8)で紹介しましたが、これは、既知の脆弱性(いわゆるShellshock)をもつQNAP社製のNetwork Attached Storage(NAS)製品(以下QNAP NAS」といいます。)のマルウエア感染に起因すると思われるものでした。

JPCERT/CCでは、攻撃の踏み台となっているマルウエア感染を減らすため、観測した23/TCP宛のパケットの送信元ノードを網羅的に調査し、国内にありQNAP NASの稼働を確認できた場合に、IPアドレスの管理者などに対して調査を依頼しました(動的IPアドレスが割り当てられているノードについては重複して連絡した可能性があります)。調査を依頼した管理者などからは、「対策を実施する」「NASに不審なユーザが作成されていることを確認したので対応した」「当該機器を撤去した」などの返答をいただきました。

図5が示すように、国内を送信元とする23/TCP宛のパケット数は2月上旬以降に減少しました。この理由は、マルウエアの挙動の変化とのた可能性も完全には否定はできませんが、JPCERT/CCからの要請に応じたQNAP NASの利用者によるマルウエア駆除と対策が進んだ結果と考えています。

3 参考文献

Topへ