本稿では、IIJの提供するセキュリティ事業において収集・観測した攻撃活動について示します。当月も継続してDDoS攻撃やスキャン行為、マルウェアを利用した攻撃など、様々な攻撃活動を観測しています。DDoSプロテクションサービスでmemcachedを用いた攻撃を観測し、最大で33.08Gbpsの通信量が発生していました。攻撃件数は1日あたり22.77件と前月の18.93件から増加しました。Serverの脆弱性(CVE-2017-10271)を利用した攻撃を、多数観測しました。お客様環境からインターネットへの通信においては、改ざんされたと推測されるWebサイトへのアクセスや、仮想通貨のマイニングスクリプトへのアクセスが検出されています。メール経由での攻撃では、10年以上前から活動するMyDoomマルウェアが、現在も継続して活動していることを観測しています。これらは、総じて先月と同様の状況が続いています。エンジンの脆弱性(CVE-2018-8174)については、脆弱性の検証コードが公開されており、既に攻撃に利用されていることを確認しています。Officeドキュメント経由で攻撃が可能であるため、注意が必要です。5月25日には個人データのプライバシー保護を目的した、EUの一般データ保護規則(GDPR)が施行され、世界中の個人情報を扱う事業において対応が実施されました。DDoS攻撃の観測情報IIJではIIJマネージドセキュリティサービスやバックボーンなどでDDoS攻撃に対処しています。DDoSプロテクションサービスで検出した当月中のDDoS攻撃を取りまとめました。2018年5月には1日あたり22.77件のDDoS攻撃を観測しており、最も大規模な攻撃は33.08Gbpsでした。以下に今回の対象期間で検出した、DDoS攻撃の検出件数を示します。今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は706件であり、1日あたりの件数は22.77件でした。期間中に観測された最も大規模な攻撃は、最大335万ppsのパケットによって33.08Gbpsの通信量を発生させました。この攻撃は主にmemcachedを用いたものでした。なった日がありましたが、それぞれ異なる特徴が確認されています。Amplificationによる攻撃が多数ありました。中旬には14日から17日に、前述のmemcachedを用いた大規模な攻撃がありました。SYNを用いた攻撃が多数ありました。これらの攻撃については攻撃対象や手法が異なるなど、関連性は見つかっていません。以下に今回の対象期間で検出した、DDoS攻撃の攻撃継続時間の割合を示します。攻撃の継続時間は、30分未満が84.64%、30分以上60分未満が8.21%、60分以上90分未満が2.25%、90分以上が4.90%でした。Amplificationによる攻撃でした。本項では、IIJマネージドセキュリティサービスのうち、IIJマネージドIPS/IDSサービスで観測した当月中の攻撃を取りまとめました。以下に今回の対象期間で検出した、1サイトあたりの攻撃の検出件数を示します。1サイトあたりの攻撃検出件数5月21日(月)と22日(火)、28日(月)と29日(火)に検出件数が増加しています。2の脆弱性(CVE-2017-5638)を標的とした攻撃が多く、28日はZmEuによるスキャン活動、29日はパスワードファイル(”/etc/passwd”など)へのアクセスが多数観測されていました。1週間単位でみると、5月の後半では月曜日と火曜日に検出件数が増加していますが、攻撃内容や送信元IPアドレスに相関はなく、関連する攻撃であることは確認できませんでした。次に、今回の対象期間中に検出した攻撃種別トップ10の割合を示します。Exploit”であり、毎月検出件数は常に上位の攻撃です。5月14日に発覚した、国内の調査サービス企業が被害を受けた情報漏えい事案についても、SQLインジェクション攻撃によるものと公表されています[1]。Vulnerability(CVE-2017-10271)”の検出件数の割合が増加していました。この脆弱性は攻撃者により任意のコードが実行可能となるものです。検出した攻撃にて実行されるコードの内訳を日別にグラフにしたものが図-5です。ほとんどの攻撃がGhostMinerのインストールを狙ったものでした(GhostMinerに関しては過去に本ブログでも取り上げていますのでご参照ください)。5月12日をピークに徐々に減少傾向が見られ、5月31日には検知件数がピーク時の4分の1まで減少しています。Vulnerability(CVE-2017-10271)に含まれる攻撃コード種別Web/メールのマルウェア脅威の観測情報インターネット上には、攻撃者によって改ざんされたWebサイトが多数存在し、このようなWebサイトを閲覧させることで、マルウェアに感染させる攻撃が行われています。攻撃者が電子メールにマルウェアを添付し、感染させる攻撃も頻繁に発生しています。本項では、IIJマネージドセキュリティサービスのうち、IIJセキュアWebゲートウェイサービス、IIJセキュアMXサービスで検出した当月中の攻撃を取りまとめました。以下に今回の対象期間に検出した、Webサイト経由のマルウェアの種類の割合を示します。観測された傾向は直近3ヵ月と変わらず”Trojan.JS.Agent”と”Trojan.JS.Miner”が大半を占めています。”Trojan.JS.Miner”はこれまでと同様に、クライアントの端末上で仮想通貨のマイニングを行うJavaScriptを検知しています。”Trojan.JS.Agent”については、これまでに観測してきたWordPressの脆弱性を利用したWebサイトの改ざんにより蔵置されたJavaScriptの検知が多くを占めていました。”Trojan.JS.Agent”の検知内容の特徴として、図-7に示すようなWindowsの偽警告画面を表示するスクリプトを多数のサイトで検出しています。Windowsの偽警告画面表示は、企業などの改ざんされたサイトに蔵置された文字列が指定する外部のJavaScriptが実行されることで行われます。このJavaScriptは、解析・追跡防止のためのリダイレクトを複数回繰り返し、最終的に偽警告画面を表示します。今回SOCで確認した偽警告画面表示に関連するサイトの改ざん事例では、全て同じ外部スクリプトを呼び出す文字列が蔵置されていました。以下に表示される偽警告画面の一例を示します。表示される偽警告画面には、システムから読み取ったOSのバージョン情報やファイル削除までのカウントダウンを表示するなど利用者の危機感を煽るパターンがあります。画面上のリンクをクリックすると不正なプログラムのダウンロードサイトへ誘導されます。このプログラムは、コンピュータ内をスキャンし、発見したシステム上の問題の修復を依頼するように促すなど、アンチウイルスソフトを装った、いわゆるスカムウェアとして振る舞うことを確認しています。このようなスカムウェアでは、有償版ソフトウェアの購入を急かしたり、表示された電話サポートに連絡すると高額なPCサポート契約やセキュリティ製品購入契約をさせられる例も報告されています。以下に今回の対象期間に検出した、メール経由のマルウェアの種類の割合を示します。今回の対象期間中にはMyDoomが多く検出され、過半を占めました。検出数は先月から大きな変化がないことから、これには他のマルウェアの検出が少なかったことが影響しています。MyDoomが初めて確認されたのは2004年で、既に各社のアンチウィルスソフトで検出が可能です。過去数ヶ月に渡って定常的に検出され続けていることから、その感染活動は未だ継続していることが分かります。MyDoomの感染経路はメール経由であり、感染端末からメールアドレスの収集を行うことで、更なる感染活動を実施します。MyDoomは、自身が添付されたメールをシステムからのエラーメッセージに見せかけて送付します。以下は、観測されたメールで用いられていた件名の例です。delivered上記のメールに添付されているファイルをユーザが開くことでMyDoomに感染します。添付ファイルの名前には、いくつかのパスと拡張子の組み合わせがランダムに用いられます。以下に、観測されたものの中から代表的なものを示します。message.exetext.scrattachment.scrdocument.scrfile.pifこのような特徴を持ったメールを受け取った際には、添付ファイルを決して開かないようご注意ください。セキュリティインシデントトピックここでは、SOCが期間中に収集・分析した情報の中から、主要なトピックについて示します。欧州連合(EU)の一般データ保護規則(GDPR)施行による影響5月25日、EUの一般データ保護規則(GDPR)が施行されました。GDPRは個人データのプライバシー保護を目的としており、EUに加盟する28カ国およびアイスランド、リヒテンシュタイン、ノルウェーを含めた欧州経済領域(EEA)31カ国に適用されるEU法です。保護対象となるのは、これらの国に所在する個人のデータです。個人を直接的に識別できるデータをはじめ、組み合わせることで間接的に個人を識別することが可能なデータも含まれるため、その対象は非常に広範にわたります。EEA域外へデータを移転する場合は、欧州委員会から十分なレベルの個人データ保護が行われていることを認められる必要があります。個人データの取扱いに関するガイドラインを策定し、EEAと日本の円滑なデータ移転を行うための調整を進めています。4%のいずれか高い額が賦課されることになります。規則のひとつにデータ侵害の報告義務(第33条)が存在しますが、これは保護対象となるデータが外部に漏えいした場合、データ管理者は侵害を知った時点から72時間以内に侵害の報告を所管のデータ保護監督機関に行う義務があることを定めています。6月4日に公表された海外の個人情報漏えいの事例では、サービスを運営するイスラエルの企業が外部からの報告を受けたその日のうちに漏えいの事実を公表しており、併せてGDPRの監督機関へ報告を行っています[2]。総務省が2017年に発表した情報通信白書では、GDPRを含むデータローカライゼーションについての企業向けアンケートの結果が公開されています[3]。ここから、国内の企業における認知度の低さと、対応が十分に進んでいない様子が見て取れます。一方で、国内では昨年から今年の5月にかけて、Webサービスなどの提供事業者におけるGDPR準拠に向けた動きが、サービス利用者の視点からも数多く見られるようになりました。利用者に向けたプライバシーポリシー更新のアナウンスもそのひとつです。これらの動きは、日本国内でもGDPRの認知が進み、対応できる環境が徐々に整備されてきた結果であると考えられます。このような動向は日本国内だけではなく海外でも見られます。WHOISと呼ばれるドメインやIPアドレスなどの登録情報を管理するデータベースでは、GDPRが制定された2016年4月から対応が検討されています。ICANNによって対応指針は示されているものの暫定的な対策に留まっています。5月25日の施行以降、一部のWHOIS情報が確認できなくなる事象が確認されていますが、これは、ICANNが示した対応指針に対して一部のレジストリやレジストラ(ドメイン情報の登録事業者)が対応を始めているためです。Model)を発表しました[4]。暫定モデルで推奨されているWHOIS情報の表示項目を表-1に示します。暫定モデルでは、公開が制限される項目は多岐にわたっており、ドメインの登録者や管理者に関する項目はほぼ非表示となります。そのため、不正アクセスなどによってドメインの侵害が発生した場合など、調査に必要な管理者の情報が特定できず、連絡がとれなくなるといった弊害が生じるおそれがあります。この問題に対し、暫定モデルでは法的機関やセキュリティ関連企業などの承認された機関だけが制限された情報にアクセスできる制度を設ける案が組み込まれていますが、現状では犯罪捜査への影響が生じています。ICANNの暫定モデルで推奨されているWHOIS情報の表示項目についてICANNはGDPRにおける暫定モデルの適合性についてEUへ確認していますが、4月23日時点で承認は得られておらず、5月初旬の時点でなお調整が続いています。このため、ドメインを管理する各国の事業者は独自の判断で対応を進めている状況であり、このモデルとは異なる方針で対応を行う事業者も現れています。IIJも自社の対応に加えて、セミナーやコンサルティングなどを通してお客様のGDPR対応についてお話を伺う機会がありますが、その影響は大きいと感じます。GDPRは対象となる範囲が広く、問題が生じた際には迅速な対処が求められることから、対応を模索する動きも多く見られます。施行されているEU法ですが、インターネット利用者や各事業者が対応の変更を迫られる機会は今後も想定され、継続的に対応していく必要があります。5月3日にTwitter社は同社の提供するSNSサービスであるTwitterのアカウントのパスワードが平文で内部ログに記録されていたことを公表しました[5]。この事象はバグであり、既に修正されていること、パスワードの流出、悪用がないことが確認されています。Twitter社はこの事実を受けて、Twitter利用ユーザにTwitterアカウントのパスワード変更を呼びかけています。Twitterアカウントで利用していたパスワードを他サービスで使いまわしている場合、そのサービスのパスワードも変更することを推奨しています。現在利用されているログイン認証はパスワードをそのまま使うのではなく、ハッシュ化してから利用することがあります。ハッシュ化は、文字列を全く別の文字列(ハッシュ値)に変換する処理です。ハッシュ化された文字列から元のパスワードを推測することは困難とされています。パスワードのハッシュ値を保存することで、不用意にユーザのパスワードを保持することを防止できます。今回の事例ではハッシュ化前のパスワードが内部ログに記録されていたため、注意喚起が行われました。この事例では内部ログに出力されてしまいましたが、このような認証情報に限らず、管理者が意図していない情報が外部に出力されている場合があります。管理しているシステムが意図しない情報の出力を行っていないか、改めて確認いただくことをお勧めします。日本時間、5月9日にMicrosot社が5月のセキュリティ更新プログラムをリリースしました[6]。Concept)が公開されています。実際の攻撃に利用されたことが確認されているため注意が必要です。ExplorerのWebクライアント処理などに利用されています。Explorerでアクセスすることで、任意のコードを実行させることができます。ドキュメントにこの脆弱性を突くコードを埋め込み、ファイルを開くことで、任意のコードを実行させることも可能です。PoCが公開されており、SOCでも実際に悪用可能であることを確認しています。この脆弱性を利用して意図しないスクリプトをインストールさせられる事例が観測されています。実際に攻撃者が本脆弱性を悪用していることから、早急なセキュリティ更新プログラムの適用を推奨します。今月中に起こったセキュリティインシデントのうち、SOCが注目したイベントをカレンダー形式で示します。Systems社は、同社が提供する複数のセキュリティ製品において脆弱性(CVE-2018-0226、CVE-2018-0234、CVE-2018-0235、CVE-2018-0252、CVE-2018-0253、CVE-2018-0258、CVE-2018-0262、CVE-2018-0264)が存在することを公表した。Twitter社は、Twitterアカウントのパスワードが暗号化されずに、そのまま内部ログに保存されるバグがあったことを発見し、修正したことを公表した。外部への流出や悪用された形跡などは見つかっていないが、同じパスワードを利用しているすべてのサービスでパスワードを変更することや二要素認証を使用するなどの対策の実施を呼びかけている。wgetにCookieインジェクションの脆弱性(CVE-2018-0494)があることが明らかになり、修正したバージョン1.19.5がリリースされた。脆弱性が悪用された場合、細工されたSet-Cookieヘッダーにて任意のCookie値の挿入や既存のCookie値の書き換えなど、Cookieを悪用した攻撃を実行される恐れがある。本バージョンではその他メモリリーク、バッファオーバーフロー、整数オーバーフローの脆弱性が修正されている。ハードウェアアーキテクチャのデバッグ例外を適切に処理していない問題(CVE-2018-8897)が公表された。脆弱性が悪用された場合、認証された攻撃者によって、メモリ上の機微なデータを取得されたり、より高い特権レベルのオペレーティングシステム機能を操作される可能性がある。Playerの任意のコードが実行可能な脆弱性(CVE-2018-4944)を修正したセキュリティアップデートを公開した。IPAから、SSL/TLS暗号設定ガイドラインの第2.0版が公開された。第2.0版では、本ガイドラインが定める設定基準に関して、SSL3.0の利用を許容している「セキュリティ例外型」を中心に見直しを行い、TLS1.3に関連する情報の追記等、最新動向を踏まえた内容へ更新している。Microsoft社は、2018年5月のセキュリティ更新プログラムを公開した。Playerの脆弱性などを含む、複数の脆弱性に対する修正が行われた。66.0.3359.170が公開された。重要度がCriticalである第三者にシステム制御権を奪取される脆弱性を含む3件の脆弱性が修正された。Acrobat及びReaderのセキュリティアップデートを公開した。これらのアップデートには、遠隔の第三者により任意のコードが実行可能な脆弱性の修正が含まれている。SmartKeyの認証不備の脆弱性を修正したバージョン2.1.1を公開した。以前のバージョンにおいて、アプリケーションロックをかけている場合でも、特定の操作を行うことでロックを突破される恐れがあった。OpenPGPとS/MIMEの脆弱性を用いて、暗号化された電子メールを平文にされて読み取られてしまうEFAILと呼ばれる攻撃が公表された。Thunderbird)の脆弱性を悪用して、暗号化された電子メールの平文を直接抽出される手法。一つは、OpenPGPおよびS/MIMEの仕様に存在する脆弱性を突いて平文を直接抽出する手法が存在するとのこと。7のDHCPクライアントパッケージに含まれているNetworkManager統合スクリプトに、任意のコードが実行可能な脆弱性(CVE-2018-1111)が存在するとして、修正バージョンを公開した。Systems社は、複数の同社製品の脆弱性に対するアップデートを公開した。重要度criticalの3件(CVE-2018-0222、CVE-2018-0268、CVE-2018-0271)を含む、複数の脆弱性が修正された。経済産業省は、製造業の産業サイバーセキュリティ分野における日独連携について、両国の専門家による検討の成果と今後の方針などをまとめた共同文書をベルリンで開催された国際カンファレンスにて公表した。FireEyeは、違法な商材なども取り扱う中国の闇市場において、2億件以上の日本人の個人情報が2017年12月に販売されていたとの調査結果を発表した。販売されていた情報は、日本のウェブサイトや企業などから流出したデータである可能性が高いことが分かり、国内の顧客企業に照会したところ、過去のインシデントで流出した顧客情報であったとのこと。4.9.6が公開された。Regulation、一般データ保護規則)対応を見据えたプライバシーポリシー機能に関する機能追加、及び複数の不具合が修正されている。仮想通貨のコミュニティで、攻撃者によりネットワーク全体の採掘速度の50%以上を支配して不正な取引を行う「51%攻撃」、及び仮想通貨の交換所に法定通貨を二重払いさせる「二重支払い攻撃」により、仮想通貨取引所が損失を被る可能性が公表された。Workアルゴリズムを変更するアップグレードが予定されているとのこと。9.12.xのソフトウェアにおいて脆弱性が存在するとして、修正バージョンを公開した。これにより、短時間の間にゾーン転送を連続で行った場合に例外が発生し、namedが停止する可能性がある脆弱性(CVE-2018-5736)及びserve-stale機能において、その機能が有効でない場合でもアサーションエラー等の不具合を発生する可能性がある脆弱性(CVE-2018-5737)が修正される。52.8.0が公開された。遠隔の第三者により任意のコードが実行可能な脆弱性(CVE-2018-5183)を含む13件の脆弱性が修正された。3.8.8をリリースした。同アップデートでは9件の脆弱性を解消したほか、50件のバグを修正している。国内の医薬品通販会社は、同社が運営する妊娠排卵検査薬など扱うショッピングサイトにおいて、外部からの不正アクセスにより最大で11,314件のクレジットカード情報(会員名、カード番号、有効期限、セキュリティコード)が流出した可能性があることを公表した。Systems社のセキュリティ部門であるTalosが、ネットワーク機器に感染するVPNFilterと呼ばれるマルウェアの活動について公表した。感染機器は、少なくとも54か国において50万台にのぼるとのこと。一部を改正する法律案が参議院審議で可決され、公布された。国内の有料道路の料金収受業務を行う会社は、過去にシステム管理を担当していた元社員が、同社のウイルス駆除ソフト管理ツールへ不正にアクセスし、複数のパソコン端末からウイルス駆除ソフトを意図的に削除した事案が発生したことを公表した。この元社員は同社の業務に支障を与えたとして、2018年5月24日に書類送付されたとのこと。Regulation、一般データ保護規則)が施行された。GDPRは、欧州連合(EU)が欧州経済領域(EEA)に所在する個人に関わるデータの保護を目的として、2016年に制定されている。EEA内に所在する個人に関わるデータを取り扱う場合は、EEA外で取得したとしても保護対象となるため、日本の組織においても対応が求められる。2.13.7、2.14.4、2.15.2、2.16.4、2.17.1が公開された。–recurse-submodules”でクローンした場合に、任意のコードが実行可能となる脆弱性など、計2件の脆弱性(CVE-2018-11233、CVE-2018-11235)が修正された。67.0.3396.62が公開された。重要度がHighである解放済みメモリ使用の脆弱性(CVE-2018-6127)やユニバーサルクロスサイトスクリプティングの脆弱性(CVE-2018-6128)を含む34件の脆弱性が修正された。記事内容の一部に誤りがありましたので、7月4日に正しい記載に改めました。お詫びして訂正いたします。誤)攻撃件数は1日あたり24.35件と前月の18.93件から増加しました。正)攻撃件数は1日あたり22.77件と前月の18.93件から増加しました。誤)今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は755件であり、1日あたりの件数は24.35件でした。正)今回の対象期間で検出したDDoS攻撃の総攻撃検出件数は706件であり、1日あたりの件数は22.77件でした。