当月もDDoS攻撃やマルウェアを利用した攻撃など、様々な攻撃活動を観測しています。DDoS攻撃では、最大通信量は25.05Gbps、1日あたりの件数は14.9件でした。件数は前月が14.87件で大きく変わりませんでしたが、最大通信量は前月が15.17Gbpsでしたので、こちらは10Gbps程増加しました。DDoSを除くインターネットからの攻撃においては、引き続きNetis社、Netcore社、D-Link社製ルータの脆弱性を狙った攻撃が大勢を占める一方で、9月17・18日は検出された主要な攻撃が他の日とは大きく異なるなど、傾向が異なる日も見受けられました。Webサイト閲覧における通信からは、外部Webサイトに設置されたJavaScriptにアクセスする動作が多く検出されています。この動作は前月までも同様に観測されていましたが、前月まではWordPressで構築されていたWebサイトの改ざんによるものが多く見られていたことに対し、当月はその比率が2割以下に減少していました。これらの多くはCookie情報を含むリクエストヘッダを外部ドメインに送信する内容であり、複数の国内ブログサイトから参照されていました。Office数式エディタの脆弱性)を狙った攻撃を多く検出しており、こちらも他の日とは異なる傾向が見られました。当月もSNSサービスの脆弱性を用いたアクセストークンの流出や、攻撃者グループによるECサイトの改ざんなど、様々なセキュリティ事件がありました。Javaのバージョンアップに伴い、リリースサイクルやサポートポリシーに変化が生じるなど、ソフトウェアサポート面でも変化があった月です。SOCにおける検知でも特定日に不自然な通信回数の増加を検出するなど、様々な観点で多くのトピックがあった月でした。DDoS攻撃の観測情報IIJではIIJマネージドセキュリティサービスやバックボーンなどでDDoS攻撃に対処しています。DDoSプロテクションサービスで検出した当月中の攻撃を取りまとめました。以下に今回の対象期間で検出した、DDoS攻撃の検出件数を示します。今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は447件であり、1日あたりの件数は14.9件でした。期間中に観測された最も規模の大きい攻撃では、最大245万ppsのパケットによって25.05Gbpsの通信量が発生しました。Amplificationでした。以下に今回の対象期間で検出した、DDoS攻撃の継続時間の割合を示します。攻撃の継続時間は、30分未満が84.79%、30分以上60分未満が8.05%、60分以上90分未満が1.79%、90分以上が5.37%でした。今回最も長く継続した攻撃は3時間に渡るもので、この攻撃では主にHTTP通信及びHTTPS通信が用いられていることを確認しています。先月に引き続きNetis及びNetcore社製ルータの脆弱性を狙った攻撃を多く観測しています。先月と比較して、インド(IN)、シンガポール(SG)を送信元とする攻撃を新たに観測しましたが、その数は少なく全体の状況に変化はありませんでした。攻撃内容に関しては先月と同様、当該ルータの脆弱性を悪用し、最終的にはMiraiの亜種に感染させることを目的としていたことを確認しています。トップ10の割合を示します。Netis及びNetcore社製ルータの脆弱性を狙った攻撃が全体の約85%を占めていることから、以下2つのグラフからはそれらを除外しています。Scannerで、全体の約30%を占めていました。多くはセーシェル共和国(SC)を送信元とする単一IPアドレスからのスキャンで、月の後半に多く観測しています。このIPアドレスは2018年7月28日には活動していたことが確認されており、当該シグネチャに該当するスキャンのみを行っていることを確認しています。Vulnerabilityで、全体の約17%を占めました。月の前半は、当該シグネチャによる攻撃が最も多く観測された攻撃でした。月の後半には検出数が減少したことから、月の全体では2番目に多く観測された攻撃となりました。攻撃内容に関しては先月と大きな変化はなく、ルータの脆弱性を狙いMirai亜種へ感染させることを目的とした攻撃であったことを確認しています。9月17日と18日には攻撃種別トップ10圏外(Other)の攻撃も多く検出しています。9月18日の前後は、攻撃が発生しやすい期間として知られています。この2日間は、他の期間と比べて攻撃種別は増加しておらず、日常的に観測している攻撃の種別及び件数が多く検出された期間となります。以下に今回の対象期間において、Webアクセス時に検出したマルウェア種別の割合を示します。先月に引き続き、Trojan.JS.Agentが全体の過半数を占めています。Trojan.JS.Agentは、これまでWordPressを利用したWebサイトを中心に検出していましたが、今月はWordPressを利用していないWebサイトによる検出が8割以上を占めていました。これらの多くは3つのWebサイト上に設置されたJavaScriptを検知したもので、いずれもCookie情報を含むリクエストヘッダを外部ドメインに送信する内容でした(図‒6)。複数のWebサイトで確認されていますが、一部パラメータや送信先のドメイン以外の差分は見られないため、関連性があるように見受けられます。Trojan.JS.Agentとして検出された上記JavaScriptは、20以上の国内ブログサイトにて読み込まれていました。いずれもJavaScriptが設置されたWebサイトとは異なるドメインです。これらのブログサイトが改ざんされ、悪性なJavaScriptを読み込むようになった可能性もありますが、該当するブログの数が多く、難読化などの検知回避が施されていないことから、ブログサイトの管理者によって正規に記述されているよう見受けられました。JavaScriptが設置されているURLの一部については、ブログの表示形式を変更するツールとして2009年頃に紹介されていることが確認できました。これらの状況から、ブログサイトの管理者はブログの表示をカスタマイズするためにJavaScriptを利用していたものと思われます。SOCで確認した時点では、当該JavaScriptにブログの表示形式を変更するような機能は含まれておりませんでした。このJavaScriptが設置されているドメインは2018年7月21日に取得されており(2018年10月調査時点)、ブログの表示形式を変更するツールとして紹介されていた時期と不一致があります。状況より、ツールを公開していたブログパーツ提供サーバの管理者によるドメインの更新が行われず、一度ドメインが失効し、第三者(攻撃者)によって再度取得されたものと推測されます。この場合、ドメインに紐付くIPアドレスがブログパーツ提供サーバのものから、攻撃者の用意したサーバのIPアドレスに変わります。それにより、ブログパーツ提供サーバ上のJavaScriptを読み込むようなブログサイトにおいては、ブログサイト自体を改ざんすることなく、攻撃者の用意した悪意のあるJavaScriptを実行させることが可能となります(図-7)。本事例のように、攻撃者はWebサイト自体の改ざんだけではなく、広告や公開ツールといった多数のWebサイトから参照されるコンテンツを改ざんし、一度に多くのユーザに対し攻撃を仕掛けることがあります。外部コンテンツを使用するWebサイトの管理者は、参照するコンテンツを自身ではコントロールできないため、自身のWebサイトを堅牢にしている場合でも、攻撃に利用される恐れがあることを認識する必要があります。参照するコンテンツが改ざんされた場合、Webサイトの表示に崩れが生じたりサイト制作者が用意したものではないWebページが新しいウィンドウで表示されたりするなど、意図しない挙動が見られることがあります。管理するWebサイトの動作については定期的に確認することをお勧めします。以下に今回の対象期間における、メール受信時のマルウェア検出傾向を示します。数値は総検出件数を100%として正規化しています。上記のグラフから9月20日にマルウェアの検出数が増加していることが確認できます。この増加はExploit.MSOffice.CVE-2017-11882を9月19日と20日の2日間に集中して検出したためです。次に、今回の対象期間において、メール受信時に検出したマルウェア種別の割合を示します。前月に引き続きEmail-Worm.Win32.Mydoomを多く検出しています。次点は前述したExploit.MSOffice.CVE-2017-11882であり、SOCの観測では初めて、本シグネチャによる検出数が上位に入りました。Officeの数式エディタの脆弱性を悪用したマルウェアを検出しています。Officeドキュメントです。Officeの環境でこのファイルを開くとマルウェアに感染します。Officeの数式エディタの脆弱性については過去の観測レポートで詳しく解説していますので、併せてご覧ください。当該脆弱性については、既にMicrosoft社がセキュリティ更新プログラムをリリースしています。昨年に公開された脆弱性である点を踏まえると、CVE-2017-11882の脆弱性に対応していないクライアントを狙った攻撃と考えられます。セキュリティ更新プログラムが適用されていない環境下で、暫定的な回避策として数式エディタを無効化することで本脆弱性に対処したユーザは攻撃の対象となる恐れがあります。脆弱性の公開から約1年が経過した現在、本脆弱性に対する認識の低下が想定されます。した状況下で、作業の都合で数式エディタを有効化し、設定がそのままになっているクライアント端末が存在する可能性が考えられます。Officeの設定や更新プログラムの適用状況をご確認ください。セキュリティインシデントトピックここでは、SOCが期間中に収集・分析した情報の中から、主要なトピックについて示します。アクセストークンは認証システムから発行される認証情報であり、Facebookではログイン状態の保持やAPI利用時の認証に利用されています。アクセストークンの発行例を図-10に示します。Webサービスへのログインが成功すると、Webサービスはアクセストークンを発行し、認証結果と一緒にユーザ(Webブラウザ)に送ります。送られたアクセストークンはWebブラウザのCookieに格納されます。ユーザはCookie内から取得可能なアクセストークンを用いて認証することができ、改めてユーザ名やパスワードを入力することなくログインできます。アクセストークンには有効期限が設定されているため、有効期限が切れている場合はCookie内にアクセストークンを格納していても認証に失敗します。今回の事例ではFacebookのプレビュー機能に存在する一部機能の脆弱性が悪用されました。プレビュー機能はユーザのプロフィールが他のユーザからどのように見えるかを確認できる機能です。このプレビュー機能はプロフィールの確認を意図したものですが、誤って動画投稿機能も提供されていました。この動画投稿機能には他のユーザへ動画を投稿する本来の機能に加え、投稿者に対しアクセストークンを発行する脆弱性が存在していました。攻撃者はこの脆弱性を悪用することで、他ユーザのアカウントへのアクセストークンを不正に発行できました。このアクセストークンを用いて不正にログインすることで、攻撃者はそのユーザの個人情報を窃取したり、そのユーザになりすましたりすることが可能でした。プレビュー機能の脆弱性の悪用により、5,000万件近くのアカウントが影響を受けたと報告されています。Facebook社はこの脆弱性を既に修正しており、影響を受けたアカウントのアクセストークンをすべてリセットしています。脆弱性を悪用されたプレビュー機能の一時利用停止など、予防的措置も取られています。アクセストークンが流出した場合、パスワードの変更や二段階認証(二要素認証)の設定など、ユーザ側で可能な設定変更では対策ができません。サービス提供者は適切に対応する必要があり、またサービス開発者はこのような挙動が発生しないようにサービスを構築する必要があります。被害を受けたWebサイトでは、攻撃者によってクレジットカードなどの情報を窃取するスキミング用のプログラムが設置されていたことが判明しています。スキミングプログラムは、利用者がECサイト上で入力したり決済ページに出力された個人情報、クレジットカード情報などを抽出するために利用されます。このプログラムによって、クレジットカード情報を含む顧客データが外部のサーバへ送信されていました。同様の被害は他にも複数のECサイトで確認されていますが、一連の攻撃はMagecartと呼ばれるグループ及びキャンペーンによる活動と見られており、2015年頃から複数の組織や研究者によってその動向が調査されています。Airwaysの他にも、Ticketmaster、Neweggなど、多くの利用者を抱えるサービスも被害を受けており、同様にスキミングなどの手法でクレジットカード情報を含むデータが盗まれています。これらのWebサイトを改ざんし、スキミングプログラムを設置する手段として、サプライチェーン攻撃と見られる手法が使われていました。ソフトウェアにおけるサプライチェーン攻撃では、ソフトウェア製品などの製造過程で攻撃者によってマルウェアやバックドアなどの不正なコードが追加され、そのまま正規の製品として提供されます。攻撃者は、その不正なコードを悪用しWebサイトへの侵入などを試みます。