ルータのDNS設定を変更するサイバー攻撃にご用心

こんにちは。サイバーグリッド研究所　チーフリサーチャーの谷口です。

最近、一部のインターネット利用者の間で、Webサイトを閲覧した際に「Facebook拡張ツールバッグを取付て安全性及び使用流暢性を向上します」（原文ママ）という表示が出て、マルウェアがダウンロードされたり、インターネット接続ができなくなったりすることが話題となっています。

この事象は、WebサイトのIPアドレスを問い合せる先のDNSサーバの設定が第三者に勝手に変更され、攻撃者のWebサイトへ誘導されるサイバー攻撃が原因です。DNSサーバの設定が変更される方法はいくつか考えられますが、今回は、私が用意した環境で第三者がルータの管理画面へログインして設定変更する行為を観測しましたので、攻撃手法の概要と対策について解説します。

確認した事象

初期パスワードのままでルータの管理画面をインターネットに公開したところ、第三者によりDNS設定などが勝手に書き換えられた
その状態でWebサイトへアクセスすると、攻撃者が用意したWebサイトへ誘導された
対策

管理画面をインターネットに公開しない
管理画面のログインパスワードに初期パスワードをそのまま利用しない、また新たに設定しても推測可能なものとはしない
ファームウェアは最新のものにアップデートする
注）ファームウェアとは、コンピュータやデジタル家電などに搭載されている、本体を動かすために必要なソフトウェア（プログラム）のこと。

攻撃の観測方法

今回は次のような環境で攻撃を観測しました（図1）。

本事象は複数のルータで起きていることが確認されていますが、今回の検証用にはロジテック社のLAN-W300N/Rを2台使いました。私が今回観測したい攻撃以外にもルータを狙った攻撃は複数あり、これらの観測対象以外のものを除外するため *1 、ルータをインターネットに直接公開することはせずに、手前のモデムでポート転送して攻撃経路を制限しました。検証用ルータ1では80番ポートで、検証用ルータ2では8080番ポートで管理画面を公開し、ログインパスワードは初期値のままにして、各ルータに届くパケットをキャプチャするように設定しました。

4月3日～6月6日の2カ月間、観測を続けた結果、DNS設定が変更されたのは8回でした（表1）。

今回は検証用ルータにおいて意図的に管理画面を公開しましたが、古いファームウェアを利用している場合は利用者の意図とは関係なく管理画面が公開されてしまう問題があります *2 。現在はベンダから対策版のファームウェアが公開されていますので、当該機種をお使いの方はまずファームウェアのアップデートを確実に実施してください。

攻撃リクエスト

ルータの管理画面はBasic認証がかかっていますが、攻撃者は初期パスワードで認証を試行し（図2 No.18）、認証突破後にDNSの設定変更を試みています（図2 No.36）。ロジテック社のLAN-W300N/Rには存在しないdnscfg.htmlやtcpipwan.htmへのアクセスもあり、複数ルータの設定変更に対応したツールで攻撃している可能性があります（図2 No.34,47）。

今回観測した攻撃は、ブルートフォースで認証突破をしている痕跡がありませんでした。このため、初期パスワードで管理画面をインターネットに公開しているルータを狙ったものだと推測されます。

DNS設定変更後の挙動

DNS設定が変更された状態で名前解決を行うと、一部ドメインを除いて一律に 23.239.97[.]221 のIPアドレスが返ってきます。試しに、http://example.com/ へアクセスすると通常とは異なる応答が返ってきました。具体的には、Facebook拡張ツールをインストールさせようとするポップアップや仮想通貨発掘ツールのスクリプトが埋め込まれているWebページが返ってきました（図3、図4）。その他、http://23.239.97[.]221/に直接アクセスしても404を返す細工がなされていました（図4）。


参考情報

インターネットプロバイダやルータを販売するメーカーから注意喚起が出ています。ルータをお使いの方は使用機種の対応状況をご確認ください。

[掲載は順不同]

大切なお知らせ ｜ BUFFALO バッファロー
重要なお知らせ - > インターネット上での接続障害について　- ロジテック
不正なアプリのダウンロード案内が表示される事象について | IODATA アイ・オー・データ機器
不正なアプリのダウンロード案内がされる事象について｜Aterm（エーターム）サポートデスク
https://www.lac.co.jp/lacwatch/people/20180607_001647.html