InternetWeek 2022 DNS DAY
ドメイン名ライフサイクルマネージメント

本当にあったドロップキャッチの怖い話〜Visionalistの場合〜2022年11⽉29⽇

NTTコミュニケーションズ株式会社
イノベーションセンター
神⽥ 敦© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

$whoamic

https://engineers.ntt.com/entry/2022/06/07/101505© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

2

本⽇お伝えしたいこと© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

3

ドメイン（特にタグドメイン）をドロップキャッチされることの怖さ© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

4

前提知識

© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

5（ドメイン）ドロップキャッチとは“ドメイン名が更新されなかった場合、すぐに再登録が可能となるわけではなく、⼀定期間登録ができない状態に置かれた後、再び先願による登録が可能な状態となります。
この再登録が可能になる瞬間を狙って、 ⽬的のドメイン名を登録しようとする⾏為をドロップキャッチと⾔います。”（JPNIC インターネット⽤語1分解説）※ ドロップキャッチそのものは違法⾏為ではありません

https://www.nic.ad.jp/ja/basics/terms/dropcatch.html© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

6

（SaaS）タグとはSaaSを利⽤するためにWebサイトに埋め込まれるコード（へのリンク）c【⽤途】• 外部情報（広告や地図など）の表⽰• アクセス解析

https://www.ntt.com/など
c© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

7

タグを⽤いるSaaSの特徴
I. もともと外部からコードを読み込んで実⾏することが正規の使い⽅• リンクの先のコードを無条件に信頼する前提

II. コードが実⾏されるのはWebサイト訪問者の端末（Webブラウザ）

III. サービス事業者とWebサイト管理者で責任が分担されている• Webサイトにタグを埋め込むのはWebサイト管理者の責任範囲• 同様にWebサイトからタグを削除するのもWebサイト管理者の責任範囲（だが放置されがち）© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

8

SaaSタグ × ドロップキャッチが怖い理由

悪⽤する側の視点から⾒ると、ドロップキャッチしたドメインでサーバを⽴ててコードを置いておくだけで（タグを削除し忘れているWebサイトがあれば）みんなが勝⼿に持っていって実⾏してくれる© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

9

Visionalistで実際に起きたこと© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント10

Visionalist ASP
NTTコム オンラインが提供していたWebアクセス解析サービス

https://www.visionalist.com/（既にWebサイトは閉鎖）© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

11

きっかけchttps://twitter.com/tiketiketikeke/status/1523858880073469955© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

12タイムライン
発⽣⽇

イベント

2020年

7⽉31⽇ Visionalist サービス終了

2022年

4⽉30⽇ Visionalistで使⽤していたタグドメイン(tracer[.]jp)が完全に失効
5⽉5⽇ NTTコムオンライン以外の第三者がtracer[.]jpを再登録
5⽉10⽇ 不審なスクリプト配置が報告され始める

不審なスクリプトが有効だった期間

5⽉17⽇ tracer[.]jpのDNSレコードが削除され、名前解決できなくなる
5⽉18⽇ NTTコムオンラインによる注意喚起© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント13

不審なスクリプト（抜粋）（応答に応じて）親ウィンドウのURL変更c

アクセス元URLやタイムスタンプ情報の送信応答によって任意のURLに遷移させる=リダイレクタ© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

14

ドロップキャッチしたのは誰︖• トルコ語圏と⾒られる組織名• ”Yazılım Hizmetleri”＝”Software Service”の意• 同名のIT企業がトルコに実在するようだが関連は不明• 同じ登録者名で登録されているドメインの中には今も当時のtracer[.]jpと同じIPを返すものも．．．

https://twitter.com/tiketiketikeke/status/1523858880073469955© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

15

（余談） JPドメインは海外勢には登録不可では︖【事実】• 汎⽤JPドメイン名は⽇本国内に通知を受け取ることができる住所を持つ場合、登録することができる• この海外レジストラ（Marcaria）はJPドメインの登録にも対応している（と謳っている）• この海外レジストラ（Marcaria）は⽇本国内に住所を持たない登録者向けに窓⼝代⾏サービス（Trustee Service）も提供している（と謳っている）

https://twitter.com/tiketiketikeke/status/1523858880073469955© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

16

ドロップキャッチしたのは誰︖
昨年、中東を狙った⽔飲み場攻撃で同じコードが同じIPから配信されていた（レポートを公開したESET社はイスラエルとの関連を指摘）chttps://www.welivesecurity.com/2021/11/16/strategic-web-compromises-middle-east-pinch-candiru/© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

17その他のSaaSタグドロップキャッチ事例© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

18

繰り返し発⽣するSaaSタグドロップキャッチ
既に終了した（死んだ）SaaS 49サービスを追跡調査（2022年6⽉）死んだSaaSへの通信が検出されたウェブサイト数1

死んだSaaSタグで利⽤されていたドメインの状況

10

100

1000

10000

通信が検 ︵出 215c

335

さ6S︶

れ サ"た ビ
各 スaa

SaaS事業者が引き続き保持再登録可能状態

Sc

第三者がドメインを再登録（7サービス）

第三者が再登録済み
坂本 ⼀仁, 室園 拓也, “タグ・オブ・ザ・デッド: 死んだSaaSのタグがゾンビになるとき”, Computer Security Symposium 2022
https://datasign.jp/blog/paper-for-investigation-saas-tags/※ 論⽂のデータをグラフ化© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

19

繰り返し発⽣するSaaSタグドロップキャッチ
既に終了した（死んだ）SaaS 49サービスを追跡調査（2022年6⽉）死んだSaaSへの通信が検出されたウェブサイト数1

死んだSaaSタグで利⽤されていたドメインの状況

10

100

1000

10000

通信が検 ︵出 215c

335

さ6S︶

れ サ
"た ビ
各 ス
aa

SaaS事業者が引き続き保持再登録可能状態

Sc

第三者がドメインを再登録（7サービス）
不審な挙動を確認（3サービス）

第三者が再登録済み

坂本 ⼀仁, 室園 拓也, “タグ・オブ・ザ・デッド: 死んだSaaSのタグがゾンビになるとき”, Computer Security Symposium 2022
https://datasign.jp/blog/paper-for-investigation-saas-tags/※ 論⽂のデータをグラフ化© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

20

繰り返し発⽣するSaaSタグドロップキャッチ
既に終了した（死んだ）SaaS 49サービスを追跡調査（2022年6⽉）
3サービスで不審な挙動を確認• 特定ドメインを起点としたアドフラウドに類似した挙動︓2件• odnaknopka[.]ruを起点として様々なWebサイトへアフィリエイトIDがついたリクエストパラメータを送信• 強制的なフィッシングサイト等へのリダイレクト︓1件

坂本 ⼀仁, 室園 拓也, “タグ・オブ・ザ・デッド: 死んだSaaSのタグがゾンビになるとき”, Computer Security Symposium 2022
https://datasign.jp/blog/paper-for-investigation-saas-tags/© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

21

繰り返し発⽣するSaaSタグドロップキャッチ
類似事案は今⽉も発⽣c※ 上記事案もodnaknopka[.]ruへの通信を発⽣（アドフラウドの疑い）

https://twitter.com/58_158_177_102/status/1587218686376828929© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

22

ではどうすれば良いのか© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

23取りうる対策
I. サービスへの通信量をモニタして⼗分にトラフィックが減ったことを確認してからドメインを廃⽌• それでも何かが起こればSaaS事業者への⾮難の声は上がる

II. サービス終了時にWebサイト側で⼈⽬につくような仕組みを⼊れる• エンドユーザが気づくとタグ削除が進みやすい

III. ドメインを（半）永久的に保持• 結局これが⼀番安上がりでは︖© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント

24取りうる対策IV. コーポレートドメインのサブドメインを使⽤する• 独⾃ドメインよりドロップキャッチのリスクは低い• 事業買収や倒産のリスクは残る• サービスブランド戦略次第© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント25

ご清聴、ありがとうございました© NTT Communications Corporation All Rights Reserved.

IW2022 DNS DAY ドメイン名ライフサイクルマネージメント