Lead Initiative 2019 (2019/10/23)

最近のサイバー攻撃動向自己紹介

根岸 征史 (@MasafumiNegishi)
IIJグループの CSIRT 所属 (IIJ-SECT, 2001年結成)
https://sect.iij.ad.jp/
SANS JAPAN 公式インストラクター(2007年〜)OWASP Japan アドバイザリーボード(2012年〜)

WASForum Hardening Project 実行委員 (2012年〜)
CODE BLUE レビューボード

(2015年〜)

ポッドキャスト「セキュリティのアレ」(2017年〜)https://wizsafe.iij.ad.jp/

https://sect.iij.ad.jp/

https://www.iij.ad.jp/dev/report/iir/本日のトピック
DDoS 攻撃標的型ランサムウェア

DDoS 攻撃

DDoS 攻撃の最近の傾向▸ カジュアル化← Booter / Stresser サービス、SNS▸ 攻撃手段の多様化← 攻撃インフラの整備▸ 攻撃件数、攻撃規模、ともに横ばい ← 観測情報

DDoS 攻撃

DDoS 攻撃の目的、動機▸ ハクティビズム (政治的あるいは社会的な主義や主張)
少数の確信犯による執拗な攻撃 ( 多数の匿名参加者による攻撃)
政治、外交、スポーツイベント
日本および周辺諸国における活動- 歴史的特異日 (9/18 など)- 反捕鯨、小型クジラ漁反対 (#OpKillingBay 2013年〜)- 香港デモ (2019年 6月 Telegram, 2019年 8月 LIHKG)- 日韓関係 (2019年 10月)
▸ 金銭、怨恨、娯楽、ほか

DDoS 攻撃Booter / Stresser (DDoS-as-a-Service, DDoS-for-Hire)▸ 誰でも手軽に安く DDoS 攻撃が実施できるサービスの普及

DDoS 攻撃

Carpet Bombing (絨毯爆撃)▸ 単一の IP アドレスを狙うのではなく、サブネット (CIDR) 単位で攻撃する▸ UDP アンプ攻撃や TCP SYN/ACK リフレクション攻撃との併用▸ IP アドレス単位での攻撃検知を回避▸ 2018年頃から急増

DDoS 攻撃DDoS 攻撃の主な攻撃手法▸ UDP アンプ 攻撃
DNS, NTP, CLDAP, SSDP
Apple Remote Desktop (3283/udp), WS-Discovery (3702/udp)▸ TCP SYN/ACK リフレクション攻撃
2018年頃から急増, 2019年 8月 Servers.com への攻撃事例 (UDP + TCP)
▸ IoT ボットネットによる攻撃
TCP / UDP / HTTP Flood
多数の小規模ボットネット (数百 IP 程度) と一部の大規模ボットネット (数万 IP 程度)
2019年 9月 Wikipedia, Twitch, Blizzard への攻撃事例 (moobot)

https://wizsafe.iij.ad.jp/2019/10/764/

IIJ ハニーポットにおける攻撃観測https://sect.iij.ad.jp/d/2019/09/175257.html

利用者
Booter / Stresser
UDP Amp

SYN/ACKIoT BotnetWebRouter

NTP
DNS

Admin Console

踏み台

DVR
ARD

WSD

FTP

IP Camera

増幅効果

被害者

Carpet Bombing

標的型ランサムウェア

標的型攻撃 + ランサムウェア▸ 侵入からマルウェア感染に至る攻撃手法は標的型攻撃に近い→ 組織内での横展開の活動もあり▸ 長期間に渡る潜伏、調査活動→ 攻撃に慣れてくると短くなる傾向▸ 最後にランサムウェアに一斉に感染させる▸ 特定の業種、組織が狙われるケースが多い (病院、地方自治体など)

標的型ランサムウェア“Opportunistic”
Ransomware
不特定多数の個人“Targeted”
Ransomware
攻撃対象

特定企業、業種の組織

初期感染

スピアフィッシング
RDP による侵入感染拡大

手動による横展開(潜伏調査期間あり)

低額(端末単位)

身代金

高額(組織単位、交渉の余地あり)

Locky, Cerber など

例

Ryuk, Dharma など

スパムメール
ドライブバイダウンロードなし(あるいは自動)

時期

被害組織

2017年 6月 NAYANA

2018年 1月 Hancock Health2018年 3月 アトランタ市
ジョージア州2019年 3月
ジャクソン郡

ランサムウェア 身代金支払い

ErebusSamSamSamSam

Ryuk

攻撃の特徴

あり

韓国のホスティングプロバイダー NAYANA で 6/10 に 153台の Linux サーバが Erebus ランサムウェアに感染。3,400〜5,000 の Web サイトに影響。2重のバックアップも含めてすべてのデータが暗号化されており、復旧が困難に。攻撃者は当初 1台あたり 10 BTCを要求。4日間にわたる交渉の結果、トータル397.6 BTC (13億ウォン相当) で決着。

あり

RDP から侵入し、バックアップデータを先に破壊。攻撃者は 4 BTC ($55K 相当) を要求。
1/11 感染、1/13 身代金支払い、1/14 復旧なし

攻撃者は 6 BTC ($51K 相当) を要求。市は緊急対応として $2.6M 相当のサービスを調達。
(復旧のために $17M 相当の支出が必要との試算)あり攻撃者と交渉の末、$400K 相当の身代金を支払い。侵入経路は不明だが、攻撃者はシステム内に数週間潜伏していた可能性がある。

2019年 3月 Norsk Hydro

LockerGoga

なし

攻撃者は Active Directory を利用した可能性がある。多数の IT システムが影響を受け停止し、プラント操業は手動操作に切り替えて継続。復旧まで約 3ヶ月、約50〜55億円相当の被害金額を想定。

2019年 5月 ボルチモア市

RobbinHood

なし

攻撃者は 13 BTC ($76K 相当) を要求。復旧に1ヶ月以上。$18M 相当の被害金額を想定。

フロリダ州
2019年 5月
リビエラビーチ

Ryukあり

攻撃者は 65 BTC ($600K 相当) を要求。復旧のため、合計 400台の PCを $941K で購入。

フロリダ州
2019年 6月
レイクシティ

Ryukあり

攻撃者は 86 BTC を要求、交渉の結果 42 BTC ($460K 相当) を支払い。サイバー保険が適用された。

なし

攻撃者はトータル $2.5M を要求。MSP (TSM Consulting) 経由で感染した (ConnectWise Control が利用された)。

テキサス州
2019年 8月
22の地域

REvil

標的型ランサムウェア

特異なビジネス構造
攻撃者
金額交渉

MSP

専門業者
交渉委託

保険会社
サイバー保険被害組織

標的型ランサムウェア対策の考え方▸ 侵入経路はメールと RDP が大半を占める→ マルウェアやフィッシング対策など、基本をしっかりやる▸ バックアップ▸ 事業継続の観点を忘れずに

(参考情報)2018年観測レポート振り返り ‒ wizSafe Security Signal -安心・安全への道標- IIJ https://wizsafe.iij.ad.jp/2019/03/601/
Return to Normalcy: False Flags and the Decline of International Hacktivism https://www.recordedfuture.com/international-hacktivism-analysis/
DDoS-as-a-Service: Investigating Booter Websites ̶ University of Twente Research Information https://research.utwente.nl/en/publications/ddos-asa-service-investigating-booter-websites
NETSCOUT Threat Intelligence Report | NETSCOUT https://www.netscout.com/blog/asert/netscout-threat-intelligence-report
UDP-Based Ampliﬁcation Attacks | CISA https://www.us-cert.gov/ncas/alerts/TA14-017A
A Call to ARMS: Apple Remote Management Service UDP Reﬂection/Ampliﬁcation DDoS Attacks | NETSCOUT https://www.netscout.com/blog/asert/
call-arms-apple-remote-management-service-udp
New DDoS Attack-Vector via WS-Discovery/SOAPoverUDP, Port 3702 https://zero.bs/new-ddos-attack-vector-via-ws-discoverysoapoverudpport-3702.html
Anatomy of a SYN-ACK attack - Akamai Security Intelligence and Threat Research Blog https://blogs.akamai.com/sitr/2019/07/anatomy-of-a-syn-ackattack.html
Root cause analysis and incident report on the August DDoS attack https://www.prnewswire.com/news-releases/root-cause-analysis-and-incidentreport-on-the-august-ddos-attack-300905405.html
The Botnet Cluster on the 185.244.25.0/24 https://blog.netlab.360.com/the-botnet-cluster-on-185-244-25-0-24-en/
2019 年ランサムウェア最新動向 | トレンドマイクロ https://resources.trendmicro.com/jp-docdownload-form-m129-web-2019-ransomware.html
Early Findings: Review of State and Local Government Ransomware Attacks https://www.recordedfuture.com/state-local-government-ransomwareattacks/
Research Report Examines Ransomware Negotiations and Response https://go.ﬂashpoint-intel.com/forrester/forrester-guide-to-paying-ransomware
Targeted Ransomware: Proliferating Menace Threatens Organizations | Symantec Blogs https://www.symantec.com/blogs/threat-intelligence/targetedransomware-threat
Ransomware Amounts Rise 3x in Q2 as Ryuk & Sodinokibi Spread https://www.coveware.com/blog/2019/7/15/ransomware-amounts-rise-3x-in-q2-asryuk-amp-sodinokibi-spread
The Extortion Economy: How Insurance Companies Are Fueling a Rise in Ransomware Attacks ̶ ProPublica https://www.propublica.org/article/theextortion-economy-how-insurance-companies-are-fueling-a-rise-in-ransomware-attacks