日本ではあまり報道されていないような感じなので、もしかすると知らない人も多いかもしれない。攻撃規模が大きいのと、数週間にわたって攻撃が継続している(現在も続いている)ことから、それなりに注目されている事件である。Ababil”と呼ばれているこの攻撃作戦の概要についてまとめてみたいと思う。Muslim”という映画にある。YouTubeにアップロードされた。当初ほとんど注目されていなかったが、9月までにこの動画にアラビア語の字幕がつけられると、イスラム教を侮辱する内容だとして主にイスラム教国家において批判が巻き起こった。引き金ともなっている*1。Fighters"を名乗る人物による攻撃予告文が公開された*2。Exchangeを指定し、動画が削除されるまで攻撃を行うと宣言したのである。映画とは直接関係のない金融機関を狙った理由だが、自分達に対して行われたことに釣り合うだけのインパクトがあり、米国の政治家や意思決定を行う人々に自らの主張を伝える効果が高い(それくらいの影響がある)、と考えたからのようだ。Googleは複数のイスラム教国家において、問題の動画への閲覧を制限する措置をとっているようだが*3、動画の削除には応じる気配をみせていない。表現の自由を最大限に尊重する米国においては、違法にアップロードされたものでない限り、そう簡単に削除するわけにはいかないようだ。Phase2に分けられる。Fargoなどの金融機関。(30Mpps)の攻撃トラフィックを観測したことを明らかにしている。UDPパケットで回線を埋めつくすタイプの単純な攻撃だけでなく、サーバのアプリケーションレイヤーへの攻撃、SSLへの攻撃など複数の攻撃手法を組み合せているようだ。Phase2として再び攻撃が始まった。Bancorporationなどの金融機関。Phase1で攻撃を受けたところを含めて、攻撃対象が拡大しているようだ。60Gbpsの攻撃トラフィックを観測している。HTTPSなどによる複合攻撃だが、さらに新しいバージョンの攻撃ツールが使われているという。Arborなどのサービスを利用して攻撃を防いだところもあるようだが、サービス停止に追いこまれるサイトもかなりある。DoS攻撃を受け、顧客へのサービスに影響があったことを認めている。Phase1の攻撃に関して、Twitterでサービス停止について顧客に謝罪している。DoS攻撃を受けては相当厳しいだろう。10Gbps越えの攻撃は常態化している。DDoS対策専門のサービスを利用して防ぐしかないのが現状である。ところで攻撃規模に関しては一つ注意点があるので補足しておきたい。Anycastを使って攻撃トラフィックを最寄りのデータセンターで分散処理している。1箇所で処理しているわけではなく、ピーク時の全ての攻撃トラフィックを合計した値だと思われる。(攻撃トラフィックの発生元が狭い範囲に集中しているのであれば別だが。)攻撃の方法は?次に攻撃方法(ツール)について見てみよう。Prolexicなどが攻撃ツールについても報告しており、それによると攻撃者は複数のツールを利用していることがわかっている。攻撃時期によって変化もしているようだ。PHPスクリプトによる攻撃ツールである。Botからの攻撃トラフィックを一度に集中させる攻撃が一般的である。Botを使っている点がやや新しい。Botが一斉に攻撃を行っている。以下に攻撃コードのサンプルを示す。Blogで興味深い報告を行っている。彼等の顧客のうちの一つがこの攻撃スクリプトに感染していたため、その活動内容を観測して結果を公開しているのだ。HSBCなどの金融機関への攻撃がトルコにあるC&Cサーバから指示されていたという。攻撃スクリプトは多重に実行されるようになっていて、サーバリソースを最大限まで活用できるようになっていた。Eコマースサイトへの攻撃も間に行われていたという。Botnetを利用して行われている、と彼等は結論づけている。Botnetをレンタルしているというのはおそらく正しいのだろう。Botが利用されていることから、クラウド事業者などがデータセンターで持っている広帯域のネットワーク回線が攻撃に利用され、それが攻撃規模が大きくなった要因なのではないか、との見方も多い。攻撃トラフィックの発生元に関するデータが公開されていないので、事実かどうかは定かではない。誰が攻撃しているのか?さて次に攻撃者がはたして誰なのかという疑問についてだが、この点に関してもさまざまな意見が出ている。Pastebinに投稿している。複数のメディアへのインタビューに応じており、自らその内容を公開している。これらが実際の攻撃者による回答だとすると、彼等の語っている内容はおよそ次のとおりである。DoS攻撃を実施している、との米政府関係者の話を伝えている。Intelligence)の結果でも、攻撃者グループに関係すると思われるブログへの投稿などから、この攻撃とイランとの関係を示唆するものがある。Analysishttp://www.asherahresearch.org/2012/11/02/op-ababil-preliminary-analysis/しかし当然ながらイランは攻撃への関与を否定しているし、攻撃者へのインタビューにおいてもイランを含め特定の国家による関与を否定している。NYTimesの記事ではイランの関与を示す根拠となる情報がなんら開示されていない。1/21時点において、Phase2の攻撃はまだ継続しているようだ。最近の攻撃者による投稿では、YouTubeで公開されている複数のビデオの閲覧状況などから攻撃期間を算定する方程式をひねり出していて、その計算によるとあと13ヶ月間は攻撃を継続することになる。どこまで本気なのかよくわからない。YouTubeによるビデオの削除が行われる見込みは薄く、攻撃がすぐに中止される可能性も低そうだ。今のところ攻撃対象は米国の金融機関のみに限定されているが、攻撃者がインタビューでも語っているように、今後の状況次第ではどうなるかわからない。状況の推移を注視する必要がある。DDoS攻撃作戦について、その概要をまとめてみた。Botnetを利用していることなど、今回の攻撃はこれまで過去にあまり見られなかった特徴をもっている。一方で、彼らの主張する通りであるならば、リーダー不在のボランティアコミュニティの協力によって攻撃が行われるなど、Anonymousによる攻撃作戦などとの類似も見られ非常に興味深い。(あるいはそう装っているだけかもしれないが。追記)YouTubeで公開されている複数のビデオのうち、最も再生回数の多かった一つが削除された。削除理由はよくわからない。DDoS攻撃を一時中断すると発表した。これは他にまだ多数残っているビデオを削除するための時間的猶予を与えるためであり、さらなるビデオの削除が行われない場合、攻撃が再開される可能性が高い。DDoS攻撃を再開するとの声明を出した。Wikipediaを参考にした。al-Qassamとは80年前に亡くなったイスラムの指導者の名前らしい。*3:国内からのアクセスにおいても、攻撃的な内容を含んでいるとの警告メッセージが表示される。comment2012-08-23Anonymousについて語るなら、これくらいは読んでおけ!securityAPTに続いて「読んでおけ」シリーズ第2弾。Nortonさんによる解説記事。LulzSecに焦点をあてた内容。Anonymous研究の第一人者でメディアにもよく登場してコメントしてます。年内には本も出るようです。Anonymousに関するパネルをよくやっていて、いくつか動画も公開されてます。Part8にリンクあり。よるハクティビズムに関する解説レポート。(日本語版)次に国内から。Anonymousへのインタビュー記事。@IT塚越さんによる解説記事と最近出されたハクティビズムについての書籍。@ITざっとこんな感じでしょうか。偏りがあるかもしれませんが、メジャーなところはかなり網羅しているのではないかと思います。19:30から新宿ロフトプラスワンにて開催される「日本アノニマス超会議!!」にそなえて、景気付け(?)にブログでも書いてみるテスト。某勉強会向けに先月作成した資料からの抜粋。Japanの流れを1枚にまとめてみました。(^^;まあまだ終わったわけではないのですが。piyokangoさんの記事を参照してください。togetterが大変参考になります。CloudFlareへの侵入事件がとても興味深いので、簡単に紹介したい。CloudFlareを狙ったのか理由はよくわからない*1。DDoS対策などのオプションもあり、セキュリティにも力をいれている。Awardも獲得している勢いのある会社のようだ*2。CEOであればそこそこ個人情報も公開されているし、攻撃しやすいと考えたからかもしれない。彼らの具体的な攻撃手順は次のとおり。Gmailアカウントを乗っ取る。Appsを利用)を乗っ取る。CloudFlareの管理者のメールアカウントを乗っ取る。CloudFlareのアカウントを乗っ取る。(1)だが攻撃者はパスワードリセット機能を悪用した。Googleユーザはパスワードを忘れたときのためにリセット機能を利用できるが、この時に確認用コードの送り先をあらかじめ決めておく必要がある。携帯電話の番号かまたは別のメールアドレスを設定するのだが、CEOは自分の携帯電話の番号を登録していた。攻撃者がいくらパスワードリセットをしても携帯に確認コードが送られるので乗っ取ることは不可能だ。CEOの携帯電話のボイスメール機能を操作して、別の番号に転送するように設定していたらしい*3。攻撃者はあらかじめボイスメールに細工したうえで、Gmailのパスワードをリセット。Googleからの確認電話がかかってきたが、知らない番号からの電話だったので出なかった。Gmailのパスワードリセットに成功してしまった。ここからは時間との勝負。CEOも自分のGmailのパスワードがリセットされたとの通知を会社のメールで受けとり、おかしいなと思ってパスワードを元に戻す。時すでに遅し、攻撃者は自分のメールアドレスをパスワードリセット用に登録していたので、再びパスワードを変更。なんと15分間に10回にわたってパスワードの変更合戦が行われたのだ。CEOの携帯電話と会社のメールアドレスを設定から削除。本人がパスワードリセットできないようにしてしまった。Googleの担当者に連絡を取ろうと試みるが、その間に攻撃者は次のステップ(2)へ。Appsを使っていて、二要素認証を有効にしていた。Gmailのアドレスを登録していた。二要素認証が有効な限り、パスワードを簡単にリセットすることはできない。ここで二要素認証は回避されてしまい、攻撃者はCEOの会社のアカウントのパスワードリセットに成功した*4。続いて攻撃者はCEOのアカウントを利用して、他の管理者アカウントのパスワードをリセットし、こちらの乗っ取りにも成功。4chan用アカウントのパスワードをリセット。Twitterアカウントにリダイレクトされるようにしたようだ*5。以上が今回の事件の概要だ。非常に手の込んだ攻撃をしていることがわかる。Blogで解説している。CloudFlareの対応を時系列にまとめた図がとてもおもしろい。両者の緊迫した攻防が手にとるようにわかる。4chan.orgへのメッセージはココで読める。DDoS攻撃などもうまく防いだようだ。AT&Tはノーコメント。AT&Tのサポートスタッフが攻撃者によるソーシャルエンジニアリングによって設定を変更してしまったのではないかと推測している。Googleはパスワードリセット機能に問題があったことを認め、現在は解決されている。いう問題があったのか詳細は不明。管理者アカウントの場合、登録されたメールアカウントからパスワードをリセットすると二要素認証が無効になる、という単純な問題だったようだ。コメントありがとうございます。CloudFlareによって元に戻されるまで約40分間続いた。Anonymousに関する解説記事を書かせていただきました(本日公開)。Anonymousについてよくある疑問にお答えしています。FAQとして是非ご活用ください。FBIに逮捕された*1。Anonymousの逮捕は近年ではあまり珍しくもないが、逮捕に至るまでの経緯がちょっとおもしろいので紹介しよう。2011年後半から活動を開始し、米金融機関トップの個人情報やデモ参加者にスプレーを吹きかけた警官の個人情報を特定して公開するなどしていた。2月に彼らが行ったアラバマ州やテキサス州の法執行機関のサイトへの不正侵入である*3。3月15日に裁判所に提出した文書が公開されているのだが、そこには逮捕に至るまでの経緯、調査によって判明した内容がかなり詳しく書かれている。w0rmerの実名などを特定しており、非常に興味深い内容だ。ここではその一部を紹介したい。Pastebinに投稿し、逮捕の状況について自ら語っている*4。以下は告訴状に記載されている事実の一部。(日付が前後しているが、元の資料の記載にあわせた。サイトに侵入したことを公表。2/5の夜から侵入され、約150人分の個人情報が漏洩した。この情報はネットに公開された。DPSのサイトに侵入したことを公表し、Pastehtmlのリンクをのせる。リンク先にはサイトから漏洩したデータベースの情報が掲載されていた。CabinCr3wからのメッセージが書かれていた。Photoshopで編集されたことがわかった。GPS情報も残っており、オーストラリアで撮影されたことがわかった。Pastebayのリンクをのせる。リンク先にはサイトから漏洩したデータベースの情報が掲載されていた。Safetyのサイトに侵入したことを公表し、Pastehtmlのリンクをのせる。リンク先にはサイトから漏洩したデータベースの情報が掲載されていた。DPSのサイトの時と同じ女性の写真も掲載されていた。CSTで、SQLインジェクション攻撃であることがわかった。IPアドレスを割り当てられていた女性の名前とテキサス州の住所(A)が判明した。www.houstoncounty.orgのサイトに侵入したことを公表。Webサイトを改ざんし、全ての管理者アカウントを削除した。PCのデスクトップ画面を投稿。@higochoaというユーザ名でログインしていることがわかった。w0rmerというキーワードを検索したところ、2000年のあるニュースグループへの投稿が見つかった。w0rmer"と書かれてあった。Ochoaの運転免許証の情報が見つかった。これにより住所(B)、氏名、生年月日が判明した。Webで検索したところ、Geocaching.comのログが見つかった。IIIの写真とよく似ていた。wvcom.comからの情報漏洩についてツイートしていた。@Anonw0rmerのアカウントはまだ存在していなかった。@Anonw0rmerが最初のツイートを投稿した。最初のログインはチェコ共和国のアドレスからだった。IPアドレスを隠蔽していると思われた。IPアドレスからだった。Ochoaは住んでいないことが判明した。賃貸契約を解約して別の住所(C)に引越していた。IPアドレスから割り出された住所(A)と同じアパートだった。WiFiネットワークを不正に利用したものと推定された。Ochoaが住んでいることが確認された。Facebookプロフィールが判明した。Facebookプロフィールによると、彼女はオーストラリアの高校出身だった。EXIFデータから、写真はオーストラリアで撮影されたものとわかった。LinkedInプロフィールも判明した。TXにある会社の管理者をしていた*5。Ochoaが一連の不正侵入の実行犯であると判断して逮捕に踏み切ったようだ。通信会社のログや免許証の情報などは法執行機関でなければ入手できないが、その他の多くの情報はインターネットで誰でも入手できる。実際、今回の記事を書くにあたって告訴状に記載されていた内容は自分でも確認できた。私達は好むと好まざるとにかかわらず、個人情報ダダ漏れの時代を生きている。FBIに逮捕されていたことがわかった。4/16に公開された起訴状から明らかになった。2つのサイトへの侵入事件。Megauploadに関連して起きた攻撃。Found*1:逮捕の翌日にすぐに保釈されたようだ。*2:OWSは昨年よりやや規模が小さくなったものの、現在もまだ続いている。Webサイトを改ざんし、内部情報を漏洩した。他にも多数のサイトに侵入している。Ochoaが書いた文章を別の誰かが投稿したものらしい。Houstonの郊外にある。2chなどで個人を特定する祭りが度々起こるが、やっていることは今回の事例とほとんど同じと言えるだろう。