仮想通貨速報まとめ隊

ビットコイン・アルトコインの仮想通貨ニュース速報まとめ

仮想通貨速報まとめ隊

ヘッダー下

【DNS】ルータ乗っ取りのサイバー攻撃に注意！初期パスワード・簡単なパスワードは危険　全てのページを仮想通貨採掘サイトに転送

   
0 コメ

タイトル下

人気記事ランキング

1: 名無しさん 2018/06/10(日) 13:48:11.32 _USER9
ルータのDNS設定を変更するサイバー攻撃にご用心

こんにちは。サイバーグリッド研究所　チーフリサーチャーの谷口です。

最近、一部のインターネット利用者の間で、Webサイトを閲覧した際に「Facebook拡張ツールバッグを取付て安全性及び使用流暢性を向上します」（原文ママ）という表示が出て、マルウェアがダウンロードされたり、インターネット接続ができなくなったりすることが話題となっています。

この事象は、WebサイトのIPアドレスを問い合せる先のDNSサーバの設定が第三者に勝手に変更され、攻撃者のWebサイトへ誘導されるサイバー攻撃が原因です。DNSサーバの設定が変更される方法はいくつか考えられますが、今回は、私が用意した環境で第三者がルータの管理画面へログインして設定変更する行為を観測しましたので、攻撃手法の概要と対策について解説します。

確認した事象

初期パスワードのままでルータの管理画面をインターネットに公開したところ、第三者によりDNS設定などが勝手に書き換えられた
その状態でWebサイトへアクセスすると、攻撃者が用意したWebサイトへ誘導された
対策

管理画面をインターネットに公開しない
管理画面のログインパスワードに初期パスワードをそのまま利用しない、また新たに設定しても推測可能なものとはしない
ファームウェアは最新のものにアップデートする
注）ファームウェアとは、コンピュータやデジタル家電などに搭載されている、本体を動かすために必要なソフトウェア（プログラム）のこと。

攻撃の観測方法

今回は次のような環境で攻撃を観測しました（図1）。

本事象は複数のルータで起きていることが確認されていますが、今回の検証用にはロジテック社のLAN-W300N/Rを2台使いました。私が今回観測したい攻撃以外にもルータを狙った攻撃は複数あり、これらの観測対象以外のものを除外するため *1 、ルータをインターネットに直接公開することはせずに、手前のモデムでポート転送して攻撃経路を制限しました。検証用ルータ1では80番ポートで、検証用ルータ2では8080番ポートで管理画面を公開し、ログインパスワードは初期値のままにして、各ルータに届くパケットをキャプチャするように設定しました。

4月3日～6月6日の2カ月間、観測を続けた結果、DNS設定が変更されたのは8回でした（表1）。

今回は検証用ルータにおいて意図的に管理画面を公開しましたが、古いファームウェアを利用している場合は利用者の意図とは関係なく管理画面が公開されてしまう問題があります *2 。現在はベンダから対策版のファームウェアが公開されていますので、当該機種をお使いの方はまずファームウェアのアップデートを確実に実施してください。

攻撃リクエスト

ルータの管理画面はBasic認証がかかっていますが、攻撃者は初期パスワードで認証を試行し（図2 No.18）、認証突破後にDNSの設定変更を試みています（図2 No.36）。ロジテック社のLAN-W300N/Rには存在しないdnscfg.htmlやtcpipwan.htmへのアクセスもあり、複数ルータの設定変更に対応したツールで攻撃している可能性があります（図2 No.34,47）。

今回観測した攻撃は、ブルートフォースで認証突破をしている痕跡がありませんでした。このため、初期パスワードで管理画面をインターネットに公開しているルータを狙ったものだと推測されます。

DNS設定変更後の挙動

DNS設定が変更された状態で名前解決を行うと、一部ドメインを除いて一律に 23.239.97[.]221 のIPアドレスが返ってきます。試しに、http://example.com/ へアクセスすると通常とは異なる応答が返ってきました。具体的には、Facebook拡張ツールをインストールさせようとするポップアップや仮想通貨発掘ツールのスクリプトが埋め込まれているWebページが返ってきました（図3、図4）。その他、http://23.239.97[.]221/に直接アクセスしても404を返す細工がなされていました（図4）。

参考情報

インターネットプロバイダやルータを販売するメーカーから注意喚起が出ています。ルータをお使いの方は使用機種の対応状況をご確認ください。

[掲載は順不同]

大切なお知らせ ｜ BUFFALO バッファロー
重要なお知らせ – > インターネット上での接続障害について　- ロジテック
不正なアプリのダウンロード案内が表示される事象について | IODATA アイ・オー・データ機器
不正なアプリのダウンロード案内がされる事象について｜Aterm（エーターム）サポートデスク
https://www.lac.co.jp/lacwatch/people/20180607_001647.html

http://asahi.5ch.net/test/read.cgi/newsplus/1528606091/

3: 名無しさん 2018/06/10(日) 13:50:46.61
ルータのパスワードが
・パスワードなし
・初期パスワード
・数字4桁
はヤバイ
4: 名無しさん 2018/06/10(日) 13:51:24.96
馬鹿にインターネッツは早過ぎた。そして日本人の八割は馬鹿だから仕方ない
5: 名無しさん 2018/06/10(日) 13:52:06.97
いきなりCPUが100％になんのこれ？
11: 名無しさん 2018/06/10(日) 13:56:48.12
>>5
違法で漫画を読むから感染したんだね。もう手遅れだよ。
ただそのPCにロクな情報が入っていないのなら心配する必要はない。
6: 名無しさん 2018/06/10(日) 13:54:02.14
普通にクライアント側でDNS設定しとけよ
7: 名無しさん 2018/06/10(日) 13:55:10.74
そんなバカいるわけ、いるんだよなこれが
9: 名無しさん 2018/06/10(日) 13:56:13.98
いや、初期パスワードもそこそこ複雑なのになってるだろ
メーカーがパスワード漏らしまくってるってかよ
10: 名無しさん 2018/06/10(日) 13:56:14.48
user admin password 1234いっぱいいるだろ
13: 名無しさん 2018/06/10(日) 13:58:28.64
>>10
QAZWSXですがなにか
12: 名無しさん 2018/06/10(日) 13:57:13.77
管理者pw4桁しか設定できない機種は死亡だな
14: 名無しさん 2018/06/10(日) 14:01:05.44
>>1
どんな複雑なパスワードでも
ルータにアクセスしに行くときに
解析されてしまうだろ
15: 名無しさん 2018/06/10(日) 14:03:30.23
ID固定とかあるしな
もうこれわざとだろ
16: 名無しさん 2018/06/10(日) 14:05:37.40
パス初期化で使ってる所は多い
17: 名無しさん 2018/06/10(日) 14:05:49.06
デフォルトでLAN側からじゃなくてインターネット側から操作できるのか…
どんだけザルに作ってんだよ
18: 名無しさん 2018/06/10(日) 14:06:41.88
これ無理だろ
禿のルーターとか説明書に書いてないし
20: 名無しさん 2018/06/10(日) 14:08:43.95
Basic認証なのをどうにかしてほしいもんだ。
せめてDigestにしろよ・・・

ブログランキング

PCリンクユニット

関連コンテンツ

こちらの記事も読まれています

RSS

人気記事ランキング

RSS こちらもどうぞ

RSS3

 - マイニング, 事件・出来事