2013年を振り返る～ 新たなセキュリティ事例の紹介と今後に向けて ～一般財団法人 日本データ通信協会
テレコム・アイザック推進会議
企画調整部 西部喜康

Copyright©2004-2013 Telecom-ISAC Japan. All Rights Reserved.

Telecom-ISAC Japan のご紹介

Copyright©2004-2013 Telecom-ISAC Japan. All Rights Reserved.

Telecom-ISAC Japanの概要
https://www.telecom-isac.jp/● 2002年7月に日本で最初のISACとして発足● 通信事業者の商用サービスの安全かつ安心な運用の確立を目的に、テレコム通信事業者を含む会員が関連情報を共有分析し、業界横断的な問題に対してタイムリーな対策をとる場を提供する活動を行う● 世界に広がるサイバー空間の中で、「日本(jpドメイン)」が消失しないようサイバー脅威からネットワークを守る● 事業者単独では手に負えない大規模なサイバー脅威に共同で立ち向かう「互助会型」の通信事業者連携● ビジネス競合関係にある国内大手ISPが、会社の壁を越えて協力・連携するための会費会員制の民間組織
会員企業
会長：
副会長：
会員企業：

緑文字はISPor通信事業者を示す
飯塚 久夫
NTT コミュニケ―ションズ株式会社、ニフティ株式会社、一般財団法人日本データ通信協会
日本電気株式会社 、NTTコミュニケーションズ株式会社 、KDDI株式会社 、株式会社NTTドコモ、
株式会社インターネットイニシアティブ 、ニフティ株式会社、株式会社日立製作所、沖電気工業株式会社 、
ソフトバンクBB株式会社、東日本電信電話株式会社、西日本電信電話株式会社、日本電信電話株式会社、株式会社KDDI研究所 、NECビッグローブ株式会社 、富士通株式会社 、インターネットマルチフィード株式会社 、NTTコムテクノロジー株式会社 、エヌ・ティ・ティ・データ先端技術株式会社 、ソネット株式会社
アライアンスメンバー：
株式会社ラック 、日本アイ・ビー・エム株式会社、トレンドマイクロ株式会社 、
マイクロソフト株式会社 、株式会社サイバーディフェンス研究所 、
株式会社FFRI、株式会社情報通信総合研究所
一般社団法人日本ネットワークインフォメーションセンター 、BBIX株式会社 、
日本インターネットエクスチェンジ株式会社、NRIセキュアテクノロジーズ株式会社
オブザーバー： 総務省、独立行政法人情報通信研究機構(NICT) 、
一般社団法人日本インターネットプロバイダ協会（JAIPA）、一般社団法人テレコムサービス協会、一般社団法人電気通信事業者協会（TCA）

大規模攻撃に対する事業者間の協調対処の必要性
韓国事案やDNSリフレクション攻撃のような非常に大規模であり、1組織が単独で行える有効な手立てはない。ISP・通信キャリア・DNS事業者・SOC事業者等との協調対処が必要になる。
(2)DNSサーバのアクセス制限見直し 外部NWから来た
DNS検索要求について、自ドメイン名に対する検索要求のみ応答し(権威DNS)、自ドメイン名以外の要求(キャッシュDNS)に対しては応答しない

攻撃対象
サーバ

ISP

INTERNET

ISP

ISP

ISP

(1)ISPによる通信制限 IP
アドレスを詐称している攻撃者PC、ボットPCからの通信をISP上で制限する
キャッシュ
DNS

LAN

PC
個人

LAN

権威DNS
キャッシュ
DNS

ブロードバンド
ルータ

DMZ
法人

ISP

一方、問題の根絶のためにはユーザ・端末側のセキュリティ対策向上が必須であり、・NW機器の脆弱性問題対応
・ユーザのセキュリティリテラシの向上、基本動作の徹底・励行
・PC/サーバのセキュリティ対策(セキュリティ設定の強化、運用手順の見直し)
は喫緊の課題と言える。

外部NW
ユーザ

Telecom-ISAC JapanのWG/SiGの設置状況
WG1-1) ACCESS-WG

2007年4月設置
インターネットアクセスNWサービスの運用品質向上のための情報交換、ベストプラクティス共有や有識者を交えた意見交換
1-2) SoNAR-WG
2007年12月設置
ネットワークを利用した不正・不法行為対応(ABUSE対応)に関する情報の共有。インシデントの拡大を抑止するフレームワークの策定

1-3) DoS攻撃即応-WG

2011年10月設置
DoS攻撃への迅速な対応と複数事業者による協調対処の仕組みの検討。日本国内におけるDoS攻撃発生の、予測、早期検出、迅速かつ適切な対応の実現を目指す。

1-4) ルータ脆弱性問題-WG

2012年07月設置
危険な脆弱性を保有する特定ルータに対する具体的な対応の検討と調査を実施

1-5) 脆弱性保有ネットワークデバイス調査-WG

2013年05月設置
国内IPに接続されたネットワークデバイスの脆弱性保有状況の全容把握と調査を実施

3-1) 経路情報共有-WG

2005年7月設置
ISP間の経路情報の共有、経路情報異常時の迅速な対応。および経路奉行システムの運用

4-1) サイバー攻撃即応スキーム検討WG（国際サイバーWG）

2011年12月設置
マルウェアやDDoSなどの様々なサイバー攻撃情報をISP間およびセキュリティ関連機関と共有し、予知・即応可能なサイバー攻撃対応スキームを検討

4-2) ACTIVE業務推進-WG

2013年07月設置
総務省ACTIVEプロジェクトの施策推進。マルウェアの感染防止、駆除を推進し、より安心・安全なインターネットの実現を目指す

4-3) WiFiリテラシー向上-WG

2013年09月設置
電波の有効利用（オフロード推進）を目的に、WiFiの利用および設置・運営において障壁となる情報セキュリティ課題の検討、対策の実施

6-1) サイバー攻撃対応演習-WG(CAE-WG)

2009年5月設置
電気通信事業者等の参加する、サイバー攻撃を想定した対応演習の企画、実施

SiG
DNS運用者連絡会-SiG

2008年6月設置
DNSに関わる、脆弱性対応・情報の共有、DNSSEC化に備えた情報交換サイバー攻撃の移り変わり

Copyright©2004-2013 Telecom-ISAC Japan. All Rights Reserved.

ネットワーク脅威とTelecom-ISAC Japan
2000

2002

2004

2006

2008

2010

2012

2013

T-ISAC-J 発足

攻撃手法・
事例

『脅威』の変遷

マルウェア▼Happy99/Melissa
・LoveLetter/Sircam
メール添付型・マスメール型▼CodeRed/Nimda

ファイル共有型▼Zotob/Bobax▼Slammer▼Mydoom/Netsky▼Conficker/Blaster/Sasser/Bagle▼Antinny▼Silly/Autorun
脆弱性を利用したネットワークワーム▼ DoS攻撃▼ SPAMメール▼ サーバへの不正アクセス▼ パスワードクラッキング

ボット型
・トロイの木馬▼ 標的型攻撃

不正送金
マルウェア

▼Exploitツール▼モバイルマルウェア▼アカウントハッキング▼DNSリフレクション攻撃▼ 偽AVソフト

標的・
目的● 重要インフラ○ 機密情報窃取▼PWS-Zbot▼ZeroAccess ▼Citadel

Android
ウイルス▼ SQLインジェクション ▼ ゼロデイ攻撃▼ ウォードライビング○ 個人情報窃取

Web感染型▼ DNSキャッシュポイズニング● 組織○ 金銭目的USB型▼SpyEye▼Geimini▼ ドライブ・バイ・ダウンロード攻撃▼ ボットネット▼ フィッシング詐欺

● 個人
○ 愉快犯

P2P型

▼ Antinny攻撃▼ DDoS攻撃▼ Web改ざん

マスメール型▼Gumblar○ 組織活動妨害● 国家○ サイバーテロ○ ハクティビズム

○ 不正送金流行DoS/DDoS 協調対応2004~
NWディバイス調査

Cyber Clean Center 2006~2011

近年の特徴●攻撃側のリスクが低くコストが安い「マルウェア」を活用する傾向

RDB 2009~2012●簡単に乗っ取れるWebサイトから、ユーザPC（デバイス）にマルウェアを感染させ悪用

PRACTICE 2011~2016●クレジットカード情報など金銭目的の①情報窃取と、②DDoS攻撃などの迷惑・妨害行為に大別①企業機密・重要インフラ情報・国家機密など深層情報へのアクセスが目的に②ＤＮＳ等を踏み台にしたDDoS攻撃などの事例も増加（攻撃の効率化）
6

2012~

ACTIVE 2013~

サイバー攻撃の発生状況
時期(近年のサイバー攻撃発生状況)
2011年

インシデント・4月 SONY
アノニマスによる大規模な抗議活動(#OpSONY)によりWeb閲覧停止・
1億人超の個人情報流出

2012年

2013年

・6月 政府系Webサイト
違法DL罰則化抗議活動(#OpJapan)による改竄、閲覧停止

・7～11月 衆参議院
標的型攻撃による情報漏洩

・2011年9月 三菱重工
国家防衛機密漏えい事件

攻撃傾向

・ハクティビズムの台頭、攻撃者の組織化

・9月 公共機関等Webサイト
尖閣諸島問題によるWeb改竄・閲覧停止

・10月～ 各金融機関
ネットバンキングを中心と不正送金・出勤事件の多発・3月 韓国内の銀行・放送局における3万台超のPC/サーバダウン
・3月 Spamhause
DNSリフレクション攻撃による最大
300Gbps超の大規模DoS攻撃・3月～ リスト型攻撃の多発
大手会員サイトに対するリスト型不正アクセス攻撃が多発
・5月～ Web改ざん多発
トヨタを初め、多数の国内Webサ
イトが改ざん被害・6月 ISP-N
不正アクセスによるユーザ情報書
き換えインシデントが発生

・高度な脆弱性攻撃(Exploit)ツールの流行による攻撃の容易化・多発化

・国家/競合企業間の情報戦争、標的型攻撃の増大

・オープンリゾルバを利用したDDoS攻撃の大規模化

サイバー攻撃には大きく、Web改竄による示威行為に代表されるハクティビズム目的の攻撃と、国家/競合企業の機密情報、銀行口座/クレジットカード情報等の個人情報詐取等による営利目的とみられる情報漏洩・詐取の攻撃が見られる。
しかし、その攻撃手法は非常に多様になっており、標的型攻撃による特定ターゲットへの攻撃が顕著になる一方で、マルウェア拡散のような不特定へのマス型攻撃も継続してみられている。

報告されているネットワークディバイスの脆弱性

Copyright©2004-2013 Telecom-ISAC Japan. All Rights Reserved.

NWデバイスの脆弱性事例①■攻撃パターン：

認証の脆弱性(デフォルトパスワード、平文保存等)

L社製ルータ問題(※1)に見られるケースで、多くのNWデバイスに搭載されているWeb管理画面のID/パスワードが周知のもの、もしくは容易に推測可能であることを利用して、悪意のユーザがNWデバイス管理画面へ不正アクセスを行うものである。

脆弱性①
脆弱性②

悪意の
第三者

(出典)
http://www.logitec.co.jp/i
nfo/2012/0516.html?lin
k_id=out_oshirase_20120
516_2_2

一般的に…
ユーザはBBルータのWeb画面上から、プロバイダ提供のアカウント情報を登録してインターネットを使用する

インターネット
脆弱性③
カウント情報(PPPoE認証ID/PW)が詐取される※1 https://www.telecomisac.jp/news/news2012073
0.htmlBBルータ
ISPが提供するID・
PWを設定

ユーザ

■BBルータのある機種に実在するセキュリティ脆弱性の例① BBルータ管理画面の初期ID/PWが”admin”,”password”のように平易なものであり、かつHP・マニュアルなどで周知のものとなっている② WAN(インターネット)側からBBルータ管理画面へアクセス可能な状態となっている(アクセスフィルタ機能が無い)③ BBルータ管理画面上において、設定されているISP提供のPPPoEアカウント(ID/PW)情報が容易に読み取り可能な状態(平文)で保存されている

9

NWデバイスの脆弱性事例②(出典)
http://www.routerpass
words.com/

BBルータ・IPカメラ等

初期設定が“admin/パスワード無し”、などNWデバイスの多くは、マニュアル説明の簡便性等の理由から”admin”等の簡易なパスワードが初期設定として行われているが、これらは推測容易な値であり認証強度に問題があるほか、そもそもBBルータのマニュアルやRouterPasswords.com のサイト等によってWeb公開されていることが多いため、第三者にとって非常に容易に不正ログインできる状況となっている。

NWデバイスの脆弱性事例③■攻撃パターン：

コマンドインジェクション

UPnPに利用されるSOAPインタフェースの脆弱性に関して、metasploitの Exploitコードを参考に脆弱性の例を示す。
ルータに対して実行したいコマンド文字列を挿入したSOAPリクエストを送信することで、攻撃者が任意の操作をルータに対して実行できる(情報詐取、バックドア作成等)非常に危険な攻撃である。

b.バックドア(telnet)を不正作成する例

a. ルータ内に不正ファイルをダウンロードするコマンド例
SOAP信号の作成ソース箇所

本攻撃は、SOAPインタフェースによる
AddPortMapping機能を利用したものになっている。
SOAPインタフェースによるUPnP機能毎の各動作は(機能有無も含めて)各ルータ毎の実装に依存するものだが、SSDPポートがオープンとなっており、かつSOAPインタフェースが公開されているデバイスが多いという事実
は、本例に示すような危険な攻撃を成立させるリスクを増やしていると言える。

a,bのようなコマンドをSOAP信号にて送信(出典) http://www.exploit-db.com/exploits/27044/

NWデバイスの脆弱性事例④■攻撃パターン：

バッファオーバフロー■libupnpバッファオーバフロー脆弱性により任意のコマンドを実行される可能性
RAPID7の報告(※)によると、libupnp (Intel/Portable SDK for UPnP Devices) のバージョン
1.6.18 より下位のSDK利用したUPnP実装の場合、次頁に示すような脆弱性があり、今回の調査で未だ脆弱性のあるバージョンを搭載した各種機器が多数存在していることを確認した(後述/赤字機器)(※出典)RAPID7 : Security Flaws in Universal Plug and Play: Unplug, Don‘t Play.

CVE-2012-5958

CVE-2012-5959

CVE-2012-5960

CVE-2012-5961

CVE-2012-5962

CVE-2012-5963

CVE-2012-5964

CVE-2012-5965

SSDP parser in the portable SDK for UPnP Devices before 1.6.18 allows
remote attackers to execute arbitrary code via a UDP packet with acrafted string
SSDP parser in the portable SDK for UPnP Devices before 1.6.18 allows
remote attackers to execute arbitrary code via a long UDN (aka uuid) fieldwithin a string that contains a :: (colon colon) in a UDP packet.
SSDP parser in the portable SDK for UPnP Devices before 1.6.18 allows
remote attackers to execute arbitrary code via a long UDN (aka
upnp:rootdevice) field in a UDP packet
SSDP parser in the portable SDK for UPnP Devices 1.3.1 allows remoteattackers to execute arbitrary code via a long UDN (aka device) field in a
UDP packet.
SSDP parser in the portable SDK for UPnP Devices 1.3.1 allows remoteattackers to execute arbitrary code via a long DeviceType (aka urn) field ina UDP packet.
SSDP parser in the portable SDK for UPnP Devices 1.3.1 allows remoteattackers to execute arbitrary code via a long UDN (aka uuid) field within astring that lacks a :: (colon colon) in a UDP packet.
SSDP parser in the portable SDK for UPnP Devices 1.3.1 allows remoteattackers to execute arbitrary code via a long ServiceType (aka urn
service) field in a UDP packet.
SSDP parser in the portable SDK for UPnP Devices 1.3.1 allows remoteattackers to execute arbitrary code via a long DeviceType (aka urn device)
field in a UDP packet.

下記のように細工されたSSDPリクエスト信号を送信することによって、攻撃者は任意のコマンドを実行させることができるという。

M-SEARCH * HTTP/1.1
HOST: 239.255.255.250:1900
ST: uuid:schemas:device:AAAA[...]AAAA:anything
MAN: "ssdp:discover“
MX: 3

NWデバイスの脆弱性事例⑤■攻撃パターン：

認証回避■D-Linkルータにおけるコードに埋め込まれたバックドアの事例
SANS Internet Storm Center(ISC)が10/14に発表した報告によると、D-Link社製ルータの幾つかのモデルにおいて、ユーザ認証を回避してWeb管理画面にアクセス可能となる脆弱性が発見されているという。

(出典) https://isc.sans.edu/forums/diary/Old+D-Link+routers+with+coded+backdoor/16802

現在のところ、本脆弱性に対処したファームウェアは用意されておらず、無線の暗号化や端末のアクセス制限によって問題の回避を行うことが呼び掛けられている。

NWデバイスの脆弱性事例⑤
本脆弱性は組込デバイスのハッキングサイト「/DEV/TTYS0」で発表されたもので、HTTPのUser-Agentヘッダに”xmlset_roodkcableoj28840ybtide”という特殊な文字列を設定してWeb接続することで、ユーザID/パス
ワードの認証無しに管理Web画面が表示されるもの。
D-Link製ルータの管理画面。
認証無しにログインが可能になってしまう。

D-Link製ルータのファームウェアのリ
バースエンジニアリング内容。

逆から読むと“edit by 04882 joel backdoor”となっていることから本件は”joel backdoor”と呼ばれている(出典) http://www.ruckuswireless.com/products/zoneflex-indoor/2942

このような認証バイパス機能が残されている理由は定かになっていないが、一部の意見では「開発者によるデバグ
用」、「何かしらの自動処理用途を想定したもの」等と推測されている。

NWデバイスの脆弱性事例⑥■無線LAN製品 Zoneflex の認証回避脆弱性
JPCERT/CCの報告によると、無線 LAN アクセスポイント 製品である Ruckus Wireless Zoneflex の一部のモデルについて認証機構が回避される脆弱性が発見されたという(JPCERT/CC Weekly Report 2013-10-17号)(出典) US-CERT Recently Published Vulnerability Notes(出典)
http://www.ruckuswireless.com/prod
ucts/zoneflex-indoor/2942

正しく認証されていないユーザであっても、認証失敗のあとに URI を直接編集してWeb画面を開くことで、/configuration/device.asp 等ルータの管理画面を開いてしまうことができるという。

NWデバイスの脆弱性事例⑦■FiberHome Modem Router HG-110 の認証回避脆弱性
認証回避の脆弱性を利用し、HTTPリクエスト送信によってDNSサーバの設定書き換え・ルータ再起動が可能な例を示す。以下の情報は脆弱性公開サイト「EXPLOIT DATABASE」で公開されているmetasploitの Exploitコードである。

modificarパラメータに任意のDNSサーバアドレスを指定する●DNS設定を変更…

●ルータを再起動…
(出典) http://www.exploit-db.com/exploits/28450/

NWデバイスの脆弱性事例⑧■攻撃パターン：

オープンリゾルバを利用したDNSリフレクション攻撃■DNSリフレクション攻撃を実現させるオープンリゾルバの存在
DNSの仕組みを悪用してDoS攻撃を増幅させるDNSリフレクションという攻撃手法が流行している。
この攻撃手法では、アクセス制限無くあらゆるユーザからのDNS通信を受け付けるオープンリゾルバが悪用されている。
キャッシュ
DNS

NWダウン
サーバダウン

攻撃命
令

攻撃者

キャッシュ
DNS

キャッシュ
DNS

ボットネット(不正遠隔操作PCの集
まり)

攻撃対象
サーバ

キャッシュ
DNS

オープンリゾルバ(大容量データをキャッシュ)攻撃者は上記手法によって、DoS攻撃の増幅性と匿名性(なりすまし)の効果を得ることができてしまう。使用されている技術は決して新しいものではないが、効果が高い攻撃法としてDDoS攻撃に活用されるケースが増えており、昨今では100Gbps超にもおよぶ大規模なDDoS攻撃の事例も発生している。

国内で起こったBBルータの脆弱性に起因するサイバー攻撃とISPによるその対応

Copyright©2004-2013 Telecom-ISAC Japan. All Rights Reserved.

L社製BBルータで起きた脆弱性■攻撃パターン：

認証の脆弱性(デフォルトパスワード、平文保存等)(出典)
http://www.logitec.co.jp/i
nfo/2012/0516.html?lin
k_id=out_oshirase_20120
516_2_2

脆弱性①
脆弱性②

悪意の
第三者

一般的に…
ユーザはBBルータのWeb画面上から、プロバイダ提供のアカウント情報を登録してインターネットを使用する

インターネット
脆弱性③
カウント情報(PPPoE認証ID/PW)が詐取される※1 https://www.telecomisac.jp/news/news2012073
0.htmlBBルータ
ISPが提供するID・
PWを設定

ユーザ

■BBルータのある機種に実在するセキュリティ脆弱性の例① BBルータ管理画面の初期ID/PWが”admin”,”password”のように平易なものであり、かつHP・マニュアルなどで周知のものとなっている② WAN(インターネット)側からBBルータ管理画面へアクセス可能な状態となっている(アクセスフィルタ機能が無い)③ BBルータ管理画面上において、設定されているISP提供のPPPoEアカウント(ID/PW)情報が容易に読み取り可能な状態(平文)で保存されている

L社製BBルータで起きた脆弱性
L社製300Mbps無線LANブロードバンドルータ(LAN-W300N/R、LAN-W300N/RS、LANW300N/RU2)にて、ネットワーク側からルータの管理画面に対してアクセスが可能、平易なパス
ワードで管理画面に入ることが可能である、設定情報が平文で格納されているという脆弱性が存在している。
本脆弱性は2012年05月に発覚し、製造メーカー(L社)、JPCERT/CC、IPA、JVN、TelecomISAC Japanなどからユーザに対して脆弱性やその対応についての注意喚起が行われた。

Telecom-ISAC Japanでの本問題への取り組み
2012年度の活動
L社製品(BBルータ)の脆弱性に起因するISPユーザの接続に関する
インシデントが発生● HP告知による注意喚起の実施● 関連省庁への要望書提出● 脆弱性対応がとられていない装置への対応● 本脆弱性を利用した不正アクセス事件の摘発● 端末機器以外の通信機器(家庭用ルータ等)に係るセキュリティルール化の検討● 通信機器の脆弱性問題が発生した場合の対応窓口、ルールの整備

対応強化依頼 ➤ 関連省庁によるメーカヒヤリング等など
情報通信ネットワーク安全・信頼性基準の改正への意見提出 ➤ 反映
2013年度
春先より本脆弱性を悪用した、更なるサイバーセキュリティインシデントの発生が確認
され、さらに踏み込んだ対策の実施が必要となる

現在インターネットで起こっているインシデント
悪意の第三者によるサイバー攻撃の発信元IP(インターネット接続)での利用
悪意の第三者が複数の会員サービスサイトにリスト型攻撃を行うなどの不正アクセス案件が確認されている。
このリスト型攻撃等において、悪意の第三者がインターネット接続に利用しているPPPoE認証ID/PWとして、L社製脆弱性保有BBルータ(もしくはその利用者)から詐取したPPPoE認証ID/PWが相当数利用されており、各
ISPにおいてその対応におわれている・・・・・ インシデント①

詐取したPPPoE認証ID/PWへの攻撃(詐取された人への攻撃
悪意の第三者が詐取したPPPoE認証ID/PWを利用して、ISP契約内容変更
サイトにアクセスしPPPoE認証PWを変更する不正アクセスを実施している。
・・・・・ インシデント②
また、上記の手口でISP契約内容変更サイトにアクセスしオプションサービ
ス(VoIP等)を購入し、本来の持ち主への金銭的負担をしいる行為も実施さ・・・・・ インシデント③
れている

発生している被害概要 (インシデント①)
ユーザなりすましを利用したWebサイトへの不正アクセス③ リスト上のアカウント毎にログイン試行→結果確認を繰り返すことで、攻撃対象サイトのアカウント情報を確認する(=アカウント詐取)ことができる

インターネット② 悪意の第三者はリスト攻撃用の情報を基に、攻撃対象サービスへの不正ログインを試行する

リスト型攻撃の通信(オンライン)
不正アクセス後の問合せ・解析(オフライン)

各会員サービスサイト
被害サイトからISPに対して不正アクセス元に関する問合せ/対応
依頼

ISP運用者

ISP-A
攻撃用リスト情報

ISP-Aからは攻撃元IPアドレスはユーザAが使用していたように見えるため、ユーザAに対して問合せを実施する(ユーザAは攻撃を知らな
い)

NW機器(なりすまし設定)
悪意の第三者① 悪意の第三者は攻撃の隠れ蓑とするために、ユーザAのアカウント情報を不正利用してISP-Aへログイン(なりすまし)する

ユーザA

攻撃者がWebサイト不正アクセス(サイバー攻撃)を実行するにあたり、第三者の認証情報を利用することで(なりすま
しを行うことで)、攻撃者自身の特定を困難にしている。
※ 悪意の第三者の特定を困難にするための認証情報が簡単に取得できる環境が存在していることの危険性が存在している

発生している被害概要 (インシデント②)
詐取したPPPoE認証ID/PWを利用したPPPoE認証IDに対するPWの変更行為
正規ユーザのログイン不可事象

パスワード不正変更発生

インターネット

ISP② 攻撃者が詐取した認証IDに対するパスワードへ変更してしまう
詐取したISPアカウント情報
によるログインISP契約内容変更
サイト① 詐取したアカウント情報でISPが提供するISP契約内容変更サイトへログイン

悪意の第三者

意図せずネット接続がNGとなり、ユーザはISPへ問合せを行う。
※ただし、既に確立済みPPPoEセッションが不正変更後もそのま
ま残っているケースもあり、不正変更に気づかないユーザも存在

インターネット接続(PPPoEログイン)がNGになる

正規のユーザア
カウント情報

BBルータ
ユーザ

ユーザ問合せによって、アカウント詐取事象が発覚した。

発生している被害概要 (インシデント③)
ログイン不可事象ばかりではなく、アカウント情報詐取によって金銭被害につながるインシデントも発生
例) プロバイダサービスの不正利用(不正電話利用)② ユーザAアカウント上でIP電話用オプションサービ
スを購入する

ISP契約内容変更
サイト

国際電話サービス

インターネット④ ユーザAに対して、オプション購入
分の料金/それに伴う利用料が課金される

ユーザ管理情報

ISP-A

IP電話不正利用による高額課金被害① 詐取されたユーザAア
カウントを利用して、ISP
契約情報変更サイトへログ
インする

NW機器
(なりすまし設定)
悪意の第三者③ 悪意の第三者が、不正購入したオプションサー
ビスを利用して国際電話等を利用するユーザ

本脆弱性撲滅への対応の実施
脆弱性対応がとられていない該当製品への踏み込んだ対応● 本脆弱性に対し、製品メーカ、ISP、セキュリティ団体から広く注意喚起が実施されているが、未だに脆弱性対策を実施していないと思われる該当製品を利用し続けているユーザが多数存在しており、サイバー攻撃のインフラとして悪用されているとともに、インシデントに巻き込まれている● 外部からの観測とISP個別に持っているユーザ接続情報等を照らし合わせ脆弱性
対応未実施の該当製品の利用者を特定し、注意喚起＆脆弱性対応のお願いをする● 本事例に関しての公表を実施することで、利用者への更なる注意喚起と悪用者(サイバー攻撃者)への牽制

ユーザ特定による注意喚起
Telecom-ISAC Japanおよび本施策に対し賛同した会員ISPで、① L社製脆弱性保有ルータをネットワーク側から調査を実施し② スキャン結果とISPが保有するユーザ接続情報を照らし合わせることで③ 該当脆弱性保有ルータの利用者を特定し、④ 特定した利用者に対し、手紙、電子メール等を利用して注意喚起を行う
とともに脆弱性対応をお願い
脆弱性対応依頼 = ・ルータ ファームウェアのヴァージョンアップ
+ PPPoE認証ID / PW の変更

T-ISAC-Jで実施
ISPで実施ISPで実施ISPで実施Telecom-ISAC Japan、会員ISP、製品メーカ(L社)との合意の下に本施策を実施※ 製品メーカとの協議においては一部協議中の事項も有● ネットワーク側からの調査により＊＊＊＊ (実施ISP合計)の利用者を特定● 9/24より各ISPよりユーザへの注意喚起を実施※ 10/31時点でのべ注意喚起数 = ＊＊＊＊ (実施ISP合計)● 10/31現在 ＊＊＊＊のユーザより注意喚起への応答 (対応依頼)※ 応答率 = ＊＊＊＊%● 調査日時変更(曜日属性、時間属性の変化)により更なる利用者の抽出● 応答率を上げるためのより効果的な注意喚起の実施の検討参考) 他メディアでの報道ネットワークディバイスの脆弱性調査

Copyright©2004-2013 Telecom-ISAC Japan. All Rights Reserved.

調査実施の背景
Telecom-ISAC Japanでは昨年度より、ルータなどのネットワークデバイスの脆弱性問題について議論を重ね、対策検討を行ってきた。
本年2月にはUPnPの脆弱性が国内外で指摘され、3月にはDNSのOpen Resolverを踏み台とした大規模なDoS攻撃が発生、6月にはPPPoE認証ID詐取による不正利用な
ど、 NW機器の脆弱性に起因した多くの問題が既に現実として発生している。
将来的には、スマートグリッド、ネットワーク家電、モバイル機器の普及・定着、そしてIPv6の導入によるNWの総グローバルIP化等に見られるよう、社会のネットワーク
化が進むにつれて、これまで以上にネットワークに接続されているデバイスの脆弱性が社会インフラに与える影響は増すばかりの状況となっている。
また従来、システムの脆弱性は攻撃を受けてから調査・対策を行うことが常態化しており、対策側は常に後手に回っていた。攻撃の未然防止・被害低減を図るためにも、国内のセキュリティレベルをプロアクティブに調査する手法の確立も今後重要なテーマになりうると考えられる。

NWデバイス調査に向けた脆弱性事例の調査■NWデバイスの脆弱性と起こり得るインシデント NWデバイスをとりまく主だった脆弱性とそれを利用した攻撃種別、
その結果発生し得るインシデント例の関係を以下の図に示す。

ルータ機能の脆弱性

DNS

DoS

外部ネットからの調査でわかる範囲
SSDP
不正ユーザが外部からアク
セス可能

WAN向けの不要なポート開
放

HTTP

コマンド
インジェクション…

バッファ
オーバフロー

周知のデフォルト
パスワード設定
不正ログイン

情報の保管方
法

推測容易な
パスワード

設定改ざん

DNS設定改ざん
NAT改ざん

個人情報を
平文保存

情報詐取

オープンプロキシ
脆弱な暗号化PPPoE ログイン不可
ISP会員オプション不正購入
攻撃者の身元隠匿
通信の盗聴
通信内容の不正閲覧

認証回避処理の存在

ネット調査以外で知る範囲

管理機能の脆弱性

機器の不正な停止操作
システムクラッシュ
DNS Amp攻撃
PPPoE アカウント詐取

SNMP

認証に脆弱性がある

サービス妨害フィッシング悪性サイト不正誘導
MITM攻撃不正通信の踏み台利用
ブログ不正投稿(犯罪予告等)
SPAM発射台化
不正遠隔操作NWデバイス調査範囲■調査対象プロトコルの選定
Telecom-ISAC Japanでは前述各種の事例やその他セキュリティ情勢・サイバー攻撃状況を鑑みた結果、HTTP・
DNS・ssdp に着目することとした。
DNS• オープンリゾルバを踏み台としたDNS リ
フレクション攻撃の流行

SSDP
インターネット

HTTP• デフォルトパスワード脆弱性• 認証回避の脆弱性
 Web管理画面・認証情報の漏洩
 外部から設定変更が可能
 任意のコマンドが実行可能• UPnPライブラリの脆弱性によるバッファオー
バフロー/コマンドインジェクション
• 公開されたSOAP APIの不正利用
 DNS/NATなどNW設定の不正変更
 ファイル閲覧等による情報漏洩 シャットダウン等によるサービス停止• Location情報閲覧による情報漏洩

BBルータ等
NWデバイス

本活動では、特に危険度の高いと思われる脆弱性に注目し、具体的に以下を対象として調査を実施した。
・HTTPリクエストに対する応答状況の調査
・DNSクエリの送信に対する応答状況の調査
・UPnP(SSDP)リクエストに対する応答状況の調査

調査ネットワーク構成概要
Telecom-ISAC Japan環境からISP様ご提供のIPアドレス帯に対し、各通信コマンド(DNS/HTTP/SSDP)を実施する。実行結果はDBへ登録し、通信内容に関する分析を行う。

Internet
通信(DNS/HTTP/SSDP)

通信はISPあたり最大同時200セッション※1ユーザに対しては最大2セッション

赤坂ビル
処理高速化のため、通信実行⇒DB登録まで多重化(スレッ
処理高速化のため多重化(スド)処理を行う
レッド)を行う※最大スレッド数=200(ISP様ご提供)

IPアドレス
リスト

ISP

通信コマンド結果から該当箇所を抽出する

コマンド実行

スキャン対象はISP配下のユー
ザ割りあてIPアドレス

コマンド
結果解析
DBへ
結果登録

調査ツール
(Perl/Java)

ユーザ

DB
分析の実施

ユーザ

ユーザ

・・・

NW脆弱性保有デバイス調査 実施条件
■調査対象
Telecom-ISAC Japan会員ISPのコンシューマサービスIPアドレス■調査対象アドレス総数
約750万 IPアドレス (ユーザ割り当て用にDHCP等にプールしているもの)■調査実施期間
８/9(金)～8/21(水)間の日中帯(10:00～19:00）を中心に実施※一部は上記期間の夜間帯、または予備調査期間(6月)に実施したものもあり■調査実施内容
・DNS調査・HTTP調査
・SSDP調査http調査結果まとめ● 401認証がオープンになっている機器はGoAhead-Websなど組込系Webサー
バソフトウェアが多く占めており、BBルータ等管理画面(Webインターフェイス)を持つNW機器が該当することが推測される● 外部ネットワークに対し401認証がオープンになっている機器が一定の規模で存在し、その内、一定数の割合で公表された脆弱性の対処をしていないL社製ルータが存在している● 外部ネットワークに対し401認証がオープンになっている機器は限定された機種に限る物ではなく、複数メーカ、複数機種で起こっている事象である● 外部ネットワークに対し401認証がオープンになっている機器の内、平易な
ID/PWでのloginが可能なものが少なからず存在すると考えられるが、本調査手法では調査することが不可能であり、各機種やそのファームウェアの調査など更なる調査を実施する必要がある

DNS調査結果まとめ● open resolverとして機能する機器は、今回調査範囲の0.36%であり、やはり一定の数が存在している● open resolverとして機能する機器のDNSクエリに対するversion.bind値を確認したところ、ISP各社のDNSサーバと同一の特定文字列が現れるものが80～90%を占める● このことから、 open resolverとして機能する機器の多くがDNSフォワーダ
動作を行っており、上位にあたるISPのDNSサーバを参照しており、その大半は家庭用BBルータであると推測される
INTERNET

公開DNS

キャッシュDNS

個別に設定すれば、インター
ネット上に公開されたDNSを参照することもできるが…

DNS

ISP

多くのNWデバイスではデフォルトでDNS検索に上位DNSを参照利用している(=フォワーダ動作)

Web

…
Eメール

ssdp応答調査まとめ● ssdp応答機器の割合は調査IPに対し3.07%
なお、比較として下記 レポートを参照すると、IPv4 空間の 2.2% が UPnPリクエストに反応するという結果が確認されており、おおよそ近い結果が見られた。
RAPID7 : Security Flaws in Universal Plug and Play: Unplug, Don't Play.
https://community.rapid7.com/docs/DOC-2150● ssdp (UPnP) に関しては現状、脆弱性に関する報告は多数されているものの深刻な攻撃は確認されていない● ssdp (UPnP)が外部から応答することに関しての危険性や、本調査で外部からのリクエストに正常応答したものの内で各報告で危険とされている脆弱性がどの程度存在するかを知る必要はあるが、追調査などの実施により慎重に精査し判断することが重要である実機利用の個別NWデバイス調査■基本方針●認証/DoS脆弱性など、ネットワーク経由では実施することのできないNWデバイスに対する詳細調査
を実現する●NWデバイス毎のフィンガープリント(HTTP server/authヘッダ値、SSDP server/locationヘッダ値等)情報を収集し、脆弱性NWデバイス調査結果への突合せによって調査分析の深堀りを実現する

ポートス
キャン

脆弱性確
認
フィン
ガープリ
ント

■調査項目(案)•機種特定の手掛かりとなる情報(フィンガープリント)の採取
HTTP(server/authヘッダ値等)
SSDP(server/locationヘッダ値等)

PPPoEサーバ(ISP疑似)•Web(HTTP)管理画面の認証脆弱性確認•SSDP(UPnP)機能に関する脆弱性確認
WAN側からのDescription情報取得可否
WAN側からのSOAP-IFアクセス可否

調査対象NWデバイス

個別NWデバイス調査の狙いどころ
ルータ機能の脆弱性

不正ユーザが外部からアクセス可能

DNS

WAN向けの不要なポート開
放

DoS

SSDP
HTTP

コマンド
インジェクション

サービス妨害機器の不正な停止操作
システムクラッシュ
DNS Amp攻撃
PPPoE アカウント詐取

SNMP

…

バッファ
オーバフロー

周知のデフォルト
パスワード設定
不正ログイン
認証に脆弱性がある

情報の保管方
法

推測容易な
パスワード

設定改ざん

DNS設定改ざん
NAT改ざんパスワードを平文保存

情報詐取

オープンプロキシ

管理機能の脆弱性

通信の盗聴
通信内容の不正閲覧

認証回避処理の存在

脆弱な暗号化PPPoE ログイン不可
ISP会員オプション不正購入
攻撃者の身元隠匿フィッシング詐欺
悪性サイト不正誘導
MITM攻撃不正通信の踏み台利用
ブログ不正投稿(犯罪予告等)
SPAM発射台化
不正遠隔操作

この箇所を試験観点として、ルータ毎の個別詳細調査を実施する。

調査対象機種
個別NWデバイス調査始めの調査対象として、主要BBルータメーカから販売されている以下の市中製品をサンプルとして調査を実施した。
メーカ

機種名

製造時期

A社

A社①

2003年10月

A社

A社②

2013年7月

B社

B社③

2012年4月

C社

C社④

2009年8月

C社

C社⑤

2013年5月

D社

D社⑥

2013年7月

E社

E社⑦

2009年7月

E社

E社⑧

2009年12月(画像出典) 価格.com http://kakaku.com/

調査結果(HTTP)
LAN-W300N/R(C社④)のみ、WAN側からのWebアクセスが可能である結果となった。しかし、他ルータにおいても推測容易なID/パスワードの利用、パスワードの平文保存などが確認されており、もしポート開放等の理由によって第三者にアクセスされた場合、容易にログイン可能であることから注意が必要である。
WANからのWeb画面閲覧

機種名

デフォルトのWeb画面認証ID/パスワード

PW平文保存

A社①

不可

root

(無し)

-

A社②

不可

admin

password

無

B社③

不可

(認証なし)(認証なし)

-

C社④

可

admin

admin

有

C社⑤

不可

admin

admin

有

D社⑥

不可

admin

(ユーザ設定必須)

無

E社⑦

不可

admin

password

有

E社⑧

不可

admin

password

有調査結果(DNS)
・ポケットWi-FiルータのE社⑦において、オープンリゾルバの反応が確認された。
・version.bind値からは簡易なDNSキャッシュサーバとして利用されるソフトウェア「dnsmasq」が確認できた。

機種名

オープンリゾルバ確認

version.bind値

A社①

timeout-

A社②

timeout-

B社③

timeout-

C社④

timeout-

C社⑤

timeout-

D社⑥

timeout-

E社⑦

NOERROR

dnsmasq-2.40

E社⑧

timeout-

調査結果(SSDP)
４機種においてWAN側からSSDP(UPnP)応答が確認され、うち C社④、 E社⑧ の２機種においては
Descriptionファイルへ外部からアクセスすることができた。
機種名

応答

ext

Serverlocation

WANからのDescription閲覧

A社①

200OK

uuid:00000000-0000- BBR-4MG/2.04
Release 0002
0001-0000106f3f3f4fb8::upnp:root UPnP/1.0 UPnPDevice-Host/1.0
device

A社②

無

-

-

-

不可

B社③

無

-

-

-

不可

C社④

200OK

uuid:63041253-10192006-1228OS 1.0 UPnP/1.0
00018e5f63b0::upnp:ro Realtek/V1.3
otdevice

http://192.168.2.1:52881/simplecfg.x
ml

可

C社⑤

無

-

-

-

不可

D社⑥

無

-

-

-

不可

http://192.168.1.1:49152/description.
xml

不可

E社⑦

200OK

E社⑧

200OK

uuid:28802880-2880- Linux/2.6.21,
UPnP/1.0, Portable
1880-a8800022cf155010::upnp:ro SDK for UPnP
devices/1.3.1
otdevice
uuid:28802880-2880- Linux/2.6.21,
UPnP/1.0, Portable
1880-a8800022cf2cbf94::upnp:roo SDK for UPnP
devices/1.3.1
tdevice

http://192.168.11.1:62128/igd.xml

不可

http://192.168.111.1:49153/descripti
on.xml可(※port番号は異なる)

UPnP Descriptionファイルについて
DescriptionファイルはUPnP対応NWデバイスの機器情報・提供機能を記すXMLファイルである。製品型番、シリアル番号など機器に関する詳細情報が確認できるほか、グローバルIPアドレス取得・ポートマッピング設定等のNW機器設定に関する機能を確認することができる。
グローバルIPアドレス取得
PPP切断
ポートマッピング設定/削除
DNSサーバ設定・・・等
提供機能情報(service)

Internet

Description
ファイル

UPnP対応機器

通常はLAN内端末がアプ
リケーションの通信用に
UPnPを利用するLAN

機器情報(device)
製品モデル名
メーカ名
製品番号
個体識別番号 ・・・等

実際には機器情報の記載内容や提供機能は各機器毎の実装に応じて異なっており、必要に応じて各機器毎に確認が必要である。

UPnP/IFが公開されていた場合の危険性
Descriptionファイルを含むUPnP機能は本来LAN向けの機能であるが、一部の機種において、WAN側からのアクセスが可能であることが確認された。
HTTP/1.1 200 OK【探索パケット応答】
Cache-Control: max-age=1800
ST: upnp:rootdevice
USN: uuid:63041253-1019-2006-1228-00018e5f63b0::upnp:rootdevice
EXT:
Server: OS 1.0 UPnP/1.0 Realtek/V1.3
Location: http://192.168.2.1:52881/simplecfg.xml

SSDP

LocationヘッダのIPアドレス箇所(※)をWANアドレスに書換えてアクセスす
ると、Descriptionファイルが見れる機器がある。
※ MZK-W300NH2はport番号の書換えを行った上で閲覧可能であったInternet

Description
ファイル
UPnP対応機器

なお、Descriptionに記載された機能(Service)がWAN側からアクセス可能かどうかは機器毎の実装によるものとなっており、今後の詳細調査で引き続き調査を進めていく方針である。

まとめ● 現在、インターネットに接続している一定数以上のネットワークディバイス(主にBBルータ)において、外部からの http / DNS / ssdp などのリクエストに対して応答する機器が存在し、サイバー攻撃の対象やインフラとして悪用される危険性が存在する。
● また、現在購入可能なBBルータにおいても、外部からの http / DNS / ssdp などのリクエス
トに応答する機種が存在した。
しかしながら、サンプル調査においては危険性の高いSOAPコマンド要求を受け付けた機種は見受けられなかった。
● 今回の講演させて頂いた調査では、現状、インターネットに接続されて利用されているネット
ワークディバイスにおいて、各種報告にある脆弱性が確かに存在しサイバー攻撃の対象やインフラとして悪用される危険性は存在しているが、その危険性の深刻さについては、本講演の調査範疇で明らかにできるものではなく、より詳細な調査や広範囲な情報収集が必要であるものと考える● 今後、BBルータの様な直接ネットワーク機器につながりながら利用者の目にとまりにくい機器(例:インターネット家電)が増えてくることから、目に触れる機会の少ないインターネット機器の脆弱性やその対処について、利用者への注意を促す仕組み作りや利用者への意識の向上を図る仕組みについて関係者への働きかけを実施する必要性があるご清聴ありがとうございました！
nishibe@telecom-isac.jp

Copyright©2004-2013 Telecom-ISAC Japan. All Rights Reserved.