【DNS】ルータ乗っ取りのサイバー攻撃に注意！初期パスワード・簡単なパスワードは危険 全てのページを仮想通貨採掘サイトに転送
■ このスレッドは過去ログ倉庫に格納されています
ルータのDNS設定を変更するサイバー攻撃にご用心
こんにちは。サイバーグリッド研究所 チーフリサーチャーの谷口です。
最近、一部のインターネット利用者の間で、Webサイトを閲覧した際に「Facebook拡張ツールバッグを取付て安全性及び使用流暢性を向上します」（原文ママ）という表示が出て、マルウェアがダウンロードされたり、インターネット接続ができなくなったりすることが話題となっています。
この事象は、WebサイトのIPアドレスを問い合せる先のDNSサーバの設定が第三者に勝手に変更され、攻撃者のWebサイトへ誘導されるサイバー攻撃が原因です。DNSサーバの設定が変更される方法はいくつか考えられますが、今回は、私が用意した環境で第三者がルータの管理画面へログインして設定変更する行為を観測しましたので、攻撃手法の概要と対策について解説します。
確認した事象
初期パスワードのままでルータの管理画面をインターネットに公開したところ、第三者によりDNS設定などが勝手に書き換えられた
その状態でWebサイトへアクセスすると、攻撃者が用意したWebサイトへ誘導された
対策
管理画面をインターネットに公開しない
管理画面のログインパスワードに初期パスワードをそのまま利用しない、また新たに設定しても推測可能なものとはしない
ファームウェアは最新のものにアップデートする
注）ファームウェアとは、コンピュータやデジタル家電などに搭載されている、本体を動かすために必要なソフトウェア（プログラム）のこと。
攻撃の観測方法
今回は次のような環境で攻撃を観測しました（図1）。
本事象は複数のルータで起きていることが確認されていますが、今回の検証用にはロジテック社のLAN-W300N/Rを2台使いました。私が今回観測したい攻撃以外にもルータを狙った攻撃は複数あり、これらの観測対象以外のものを除外するため *1 、ルータをインターネットに直接公開することはせずに、手前のモデムでポート転送して攻撃経路を制限しました。検証用ルータ1では80番ポートで、検証用ルータ2では8080番ポートで管理画面を公開し、ログインパスワードは初期値のままにして、各ルータに届くパケットをキャプチャするように設定しました。
4月3日〜6月6日の2カ月間、観測を続けた結果、DNS設定が変更されたのは8回でした（表1）。
今回は検証用ルータにおいて意図的に管理画面を公開しましたが、古いファームウェアを利用している場合は利用者の意図とは関係なく管理画面が公開されてしまう問題があります *2 。現在はベンダから対策版のファームウェアが公開されていますので、当該機種をお使いの方はまずファームウェアのアップデートを確実に実施してください。
攻撃リクエスト
ルータの管理画面はBasic認証がかかっていますが、攻撃者は初期パスワードで認証を試行し（図2 No.18）、認証突破後にDNSの設定変更を試みています（図2 No.36）。ロジテック社のLAN-W300N/Rには存在しないdnscfg.htmlやtcpipwan.htmへのアクセスもあり、複数ルータの設定変更に対応したツールで攻撃している可能性があります（図2 No.34,47）。
今回観測した攻撃は、ブルートフォースで認証突破をしている痕跡がありませんでした。このため、初期パスワードで管理画面をインターネットに公開しているルータを狙ったものだと推測されます。
DNS設定変更後の挙動
DNS設定が変更された状態で名前解決を行うと、一部ドメインを除いて一律に 23.239.97[.]221 のIPアドレスが返ってきます。試しに、http://example.com/ へアクセスすると通常とは異なる応答が返ってきました。具体的には、Facebook拡張ツールをインストールさせようとするポップアップや仮想通貨発掘ツールのスクリプトが埋め込まれているWebページが返ってきました（図3、図4）。その他、http://23.239.97[.]221/に直接アクセスしても404を返す細工がなされていました（図4）。
参考情報
インターネットプロバイダやルータを販売するメーカーから注意喚起が出ています。ルータをお使いの方は使用機種の対応状況をご確認ください。
[掲載は順不同]
大切なお知らせ ｜ BUFFALO バッファロー
重要なお知らせ - > インターネット上での接続障害について - ロジテック
不正なアプリのダウンロード案内が表示される事象について | IODATA アイ・オー・データ機器
不正なアプリのダウンロード案内がされる事象について｜Aterm（エーターム）サポートデスク
https://www.lac.co.jp/lacwatch/people/20180607_001647.html ／￣￣￣Y￣￣ ＼
l l
ヽ,,,,,／ ￣￣￣￣ ヽﾉ
|::::: ι l
|::: ＿_ ＿ | ソウルを火の海にするニダ
（6 ＼●> <●人
! ι ι )・・( l
ヽ (三) ﾉ 【2get☆】
／＼ 二 ノ
/⌒ヽ. ｀ー ─ 一' ＼
l | ヽo ヽ
非韓三原則を守りましょう！！
「関わらない・教えない・助けない」
ルータのパスワードが
・パスワードなし
・初期パスワード
・数字4桁
はヤバイ 馬鹿にインターネッツは早過ぎた。そして日本人の八割は馬鹿だから仕方ない いや、初期パスワードもそこそこ複雑なのになってるだろ
メーカーがパスワード漏らしまくってるってかよ user admin password 1234いっぱいいるだろ >>5
違法で漫画を読むから感染したんだね。もう手遅れだよ。
ただそのPCにロクな情報が入っていないのなら心配する必要はない。 >>1
どんな複雑なパスワードでも
ルータにアクセスしに行くときに
解析されてしまうだろ デフォルトでLAN側からじゃなくてインターネット側から操作できるのか…
どんだけザルに作ってんだよ これ無理だろ
禿のルーターとか説明書に書いてないし id:root
pass:root
id:admin
pass:admin Basic認証なのをどうにかしてほしいもんだ。
せめてDigestにしろよ・・・ はぁ・・・
例のWPAも更新来なかったし
カスタムロム焼きするかなぁ
めんどくせえええ ルーターのパスワード変更してたらどんなパスかわからんくなってしもたわ ルーターのパスワードなんか変更する奴ほとんどいないだろ スマフォでウェブサイトを閲覧中に、Googleのロゴと「あなたのシステムは4つのウイルスによってひどく損なわれています」という画面が表示されるのもあるな。
引っ掛かる馬鹿はいないのに。 うちは15年以上前の古いルータだからそろそろ手を打たないと危ないな 感染状態が明白だと、利用者に対策対応されてしまうだけではｗ ソフトバンクの機器使ってる人達は、詰んでるだろこれ……… 最近のルーターはファームの自動更新機能がついていて勝手に再起動するし、
メンテナンスフリーだからあまりアクセスしない。
そのうちに乗っ取られるリスクは上がったな。 ルータ画面てWAN側からみられんのかよ
なんでそんな設定にしてんのよヽ('A`)ﾉ >>33
俺もそれ思ったわ
一般家庭向けルータでWANから管理画面に行けるルータとか見たことない >>33
リモートでLAN内のPC経由か、VPN経由なら見れる。 >>1
大昔CATVのネットでDNSキャッシュが
おかしくなったのか
エロサイトに誘導された思い出 >>3
俺のルーター
admin
password >>1
WANから管理者ページに行ける不具合をどうにかしろw 最近ネットのスピードが明らかに遅いからおそらくうちもやられてるなこれ 最近バーチャルYouTuberは3,000人を越えています。
そこで今どのVtuberが人気なのか調べてみようと思います。
第二回バーチャルYouTuber人気投票
今回は一人三票です。今回からモンスト、鈴木ヒナ、ポン子、アイドル部など強力な新人さんも入っておりますので、
投票をよろしくお願いいたします。
あなたの好きなVtuberは？
https://goo.gl/forms/wHUyA3Phxj6y2nu73
・2018/6/5時点でチャンネル登録数10,000人以上のVtuberを対象としています。
・一つのチャンネルでVtuberが複数人いる場合は、それぞれ分けています。
・一人三票です。
・このグーグルフォームに投票するにはグーグルアカウントでログインする必要があります。
・並び順は前回の得票数の高い順と新人は登録者数の多い順に並んでいます。
・今回も1,000人の方が投票するまで継続します。
第一回バーチャルYouTuber人気投票結果（2018年5月7日〜5月30日、全投票数1,000票）（スプレッドシート）
https://docs.google.com/spreadsheets/d/e/2PACX-1vTpmFxf3MHjezIdvmte2CD6kWk4so-gtI8a9XJVjS_O0aMZhekYnSCj-n4DCLfHGXhke7HZYbJM1TEa/pubhtml?gid=0&;single=true
DNS GMOにレジストラ任せてるようなトコに限ってこういうこという。 これWAN側の接続リクエストを破棄するみたいな設定ならば大丈夫なの？ うちのルーターのパスワードはPASSWORD。
教えてやったからな。
エブリバディ、カモーン！ｗｗｗ NTTはルータのファームウェアをUGしてくれるんだろうか？ インターネット側から機器の設定ができるってことがそもそもおかしいのでは？ >>9
初期パスなんてマニュアルに書いてあんだろ
生産品の初期パスがそれぞれ違うなんて思ってんのか 俺の暗号には必ず 093877 奥さん・バナナ を入れるようにしている ルーターのマニュアルのpdfダウンロードすると
ログイン名と初期パスワードが
書いてあるね
本体のステッカー参照
ってしとけばわからないのに >>59
0721 （オナニー）
893 （ヤクザ）
37564 （皆殺し）
みたいな語呂合わせで
数字を仕込むと覚えやすいよね 初期パスワードも誰にももらさなければ
わからないだろ ■ このスレッドは過去ログ倉庫に格納されています
