韓国など4カ国・地域でサーバー25台が侵害…防御の要のファイアウオールが侵入口に

【11月02日 KOREA WAVE】外部からの侵入を防ぐファイアウオールが、逆に攻撃者の内部ネットワークへの侵入口となった。韓国、米国、日本、台湾で計25台のサーバーの最高管理者権限が奪われ、米政府関連機関では内部の管理サーバーまで侵害されたことが分かった。イスラエルのサイバーセキュリティー企業ドリームリサーチが10月26日に公表した報告書によると、攻撃者はPHPの脆弱性「PHP2Shell」と、リナックスのカーネルの権限昇格に関する脆弱性「Fragnesia」を組み合わせて悪用した。

インターネットに公開された約1万9000台のファイアウオールを探索し、応答やソフトウエアのバージョンを確認できた約5000台から、攻撃対象となる240台を絞り込んだ。自動化した攻撃で24台の最高管理者権限「root」を取得。米政府関連機関では内部のファイアウオール管理サーバー1台にも侵入し、侵害したサーバーは計25台となった。国別の台数や、韓国内の機関における追加被害の規模は公表されていない。

攻撃者は、外部に公開された管理用ウェブサーバーのPHPの脆弱性を使って遠隔で命令を実行し、続いてカーネルの脆弱性から権限を昇格させた。ファイアウオールは外部と内部の通信を制御する装置だが、管理機能が外部に露出し、装置に脆弱性があれば侵入経路になり得る。管理者権限を奪われると、通信規則の変更や保存された認証情報の取得、内部ネットワークの構造把握などに悪用される恐れがある。

米政府関連機関では、攻撃者が境界のファイアウオールから内部サーバーの役割や構成を調べ、外部から内部へ接続する通信経路を構築。再起動後も自動的に復旧するよう設定し、通常は外部から直接アクセスできない管理サーバーにも侵入した。報告書は、攻撃者が管理サーバー内のLDAPサービスアカウントのパスワードを復号し、アクティブディレクトリー（AD）の利用者・グループ情報を照会したと分析した。LDAPは組織内の利用者情報などを照会する通信規約で、ADはアカウントや認証、アクセス権限を管理する仕組みだ。攻撃者はさらに、組織名に関連するパスワードを複数のアカウントに試したほか、新たな利用者・コンピューターのアカウントを作り、再侵入経路を確保しようとした。ただ、これらの追加攻撃が成功したかや、関連情報が実際にどこまで流出したかは確認されていない。

また、権限を奪ったファイアウオール24台のうち22台には、遠隔で命令を実行する不正プログラム「ウェブシェル」が残されていた。その後、別の攻撃活動は確認されていないという。専門家は、こうしたプログラムが残れば、攻撃者が任意の時期に再接続し、内部網への侵入や情報流出、ランサムウエアの拡散につなげる危険があると指摘する。

ドリームリサーチは、一部の暗号鍵や機器認証用の鍵も取得されたと分析した。脆弱性を修正するだけでは、既に設置された不正プログラムや別の通信経路は除去されないため、侵害が解消したとは判断できない。専門家らは、侵害範囲の調査、不正プログラムの除去、システムの復旧に加え、アカウントや設定の改変、再接続経路の有無の確認が必要だとする。管理者や流出したサービスアカウントの認証情報を変更し、既存の接続や不審な内部通信も点検する必要がある。装置の正常性を信頼できない場合は、メーカーの指針に沿った安全なソフトウエアでの再インストールも求められる。

(c)news1/KOREA WAVE/AFPBB News