巨大ボットネットに利用されたDNSサーバの運用、米連邦裁判所により120日間延長に
2012年3月6日(米国時間)、米連邦裁判所は、同国政府の要請を承認し、DNSチェンジャーと呼ばれる不正プログラムによる感染被害者の救済目的で設置した安全な DNSサーバの運用が 120日間延長されることとなりました。
2012年3月6日(米国時間)、米連邦裁判所は、同国政府の要請を承認し、DNSチェンジャーと呼ばれる不正プログラムによる感染被害者の救済目的で設置した安全なDNSサーバの運用が120日間延長されることとなりました。米国政府は、当初、不正なDNSサーバを正常なDNSサーバに置き換えることを民間企業に許可する要請について承認を受けていました。この当初の決定では、2012年3月8日までにその代替サーバの運用が停止されることが決められていました。しかし、今回の決定により、これらのサーバがさらに4カ月間稼働されることとなりました。この期間延長により、DNSチェンジャーの被害者にとってはPC復旧のための時間がさらに猶予されることとなりました。この期間延長については、エストニアの裁判所が「Rove Digital」の子会社である「Esthost」の運営に関与していた4名の身柄を新たに引渡す承認をした数日後に決定されました。2011年11月に逮捕された6人の容疑者全員、エストニア政府の承認のもと、米国に引き渡されることになります。
昨年行われたEsthost解体は、オンラインセキュリティ業界にとっての勝利と考えられています。米連邦捜査局(FBI)、NASA、エストニア警察、トレンドマイクロ、そしてその他業界関係者による連携により、「Operation Ghost Click」と呼ばれる作戦名のもと、400万以上のボット(感染コンピュータ)で構成される巨大な「DNS改変型ボットネット」が閉鎖されました。このDNS改変型ボットネットは何百万の個人ユーザおよび企業ユーザに影響を及ぼしていたと推定されています。この「史上最大規模のサイバー犯罪者の摘発」ともいわれるEsthostの解体に関する詳細は、過去のブログ記事をご参照ください。
・明らかになった巨大ボットネットの正体-史上最大規模のサイバー犯罪を摘発
・2011年を振り返る-1)セキュリティ業界、サイバー犯罪撲滅に貢献
今回の延長が意味することは?復旧にはまだまだ時間が必要か
その後、この巨大ボットネットに悪用されたDNSサーバは、正常なサーバに設置し直されて運用されており、2012年3月8日(米国時間)に停止される予定となっていました。しかし、正常なサーバに置き換えられたといえども、同様のIPアドレスを使用していたため、このボットネットに利用された「DNS設定の変更を行なうトロイの木馬型の不正プログラム(DNSチェンジャー)」に感染したPCは、3月8日以降、DNSの名前解決ができなくなり、Webサイト閲覧などの際に不具合が生じることが懸念されていました。
今回の期間延長は、被害に遭ったPCの復旧には当初決定されていた3月8日の期限では不十分であるという新たな情報のもとに承認されました。先月に公開された報告によると、300万ものPCがいまだ感染したままである、と指摘しています。DNS改変型ボットネットの被害者の中には、「Fortune 500(フォーチュン500)」に名を連ねる企業の50%と全米政府機関のほぼ半数が含まれています。米政府は、当初予定していた期日に代替サーバを停止することによって、被害を受けた企業や団体、個人ユーザが混乱するだけだと主張していました。
なお、今回のDNSチェンジャーは、悪意ある第三者により設置されたDNSサーバを利用できるように設定変更することが、昨年11月の閉鎖以前から確認されていました。この変更の結果、感染ユーザの検索結果を乗っ取ることが可能となり、最終的には、不正プログラムが仕込まれたWebサイトやアドウェアなどに誘導されることになります。また、このDNSチェンジャーは、この感染への対処を手助けするようなセキュリティWebサイトを閲覧できないように変更する機能も備えていたようです。こうして、DNSチェンジャーの被害に遭ったユーザは、長期間この脅威にさらされることになっています。
現在、被害者が依然としてこのDNSチェンジャーに感染し続けている中で、代替サーバを停止することは、ユーザがインターネットにアクセスできなくなることを意味しています。トレンドマイクロのSenior Threat ResearcherであるFeike Hacquebordは、DNSチェンジャーの被害から完全に復旧するにはある程度時間がかかるだろう、と見ています。「Rove Digitalは長年に渡ってDNSチェンジャーや他の不正プログラムを拡散し続けてきました。5年以上の期間をかけて行われた不正プログラムによる感染活動によってもたらされた最悪な状況を収束させるのは簡単な仕事ではありません」と説明します。一方で、Hacquebordは、今回の120日間の延長が前向きな結果をもたらすであろうという期待を寄せています。「DNS Changer Working Group(DCWG)」は、感染者への連絡や感染PC復旧のサポートなどインターネットサービスプロバイダ(ISP)への支援を積極的に行っています。こうしたことから、今後数カ月のうちには、感染端末数が大幅に減少するだろうと期待しています」と述べています。
今回の120日間延長の決定は、Rove DigitalやEsthostによってもたらされた被害の深刻さを浮き彫りにしています。ユーザは、Webサイト「eye check」で使用しているIPアドレスを確認することで、コンピュータが感染しているかどうかを確認できます。DCWGも、このボットネットの影響を受けているかをユーザが確認するための、役立つ対処法を提供しています。
感染確認方法については、以下の情報をご参考ください。
翻訳:太田 真理(Core Technology Marketing, TrendLabs)