2013年6月25日に発生したサイバーテロの分析レポート （2）

 ===================================================
 
 
 
2013年6月25日に発生したサイバーテロの分析レポート
 DDoS 攻撃分析レポート　（２）
 
 
 

2013．06．28
 アンラボ　セキュリティ対応センター（ASEC）
 

Ⅱ．攻撃方法の分析

2.　悪性スクリプトベースのDDoS攻撃

（1）攻撃のシナリオ

「6.25 DDoS攻撃」の最大の特徴は、ゾンビPCを利用した既存の攻撃方式以外にも、悪性スクリプトを利用した攻撃方式が使われたという点である。この場合、一般ユーザーがWebブラウザを通じて改ざんされたWebサイトへアクセスするだけで悪性トラフィックが発生する。

 

[図19]　悪性スクリプトベースのDDoS攻撃のシナリオ

[図19]で示すように、悪性スクリプトをベースにしたDDoS攻撃の手順は次の通りである。

① 攻撃者は、不特定のユーザーが多くアクセスする経由サーバーを事前にハッキングする。

② 経由サーバーで使用する正常ページにDDoS攻撃スクリプトを挿入する。

③ 不特定多数のユーザーがWebブラウザを通じて経由サーバー（改ざんされたWebサイト）へアクセスすると、ユーザーPCでDDoS攻撃スクリプトが実行される。

④ スクリプトに設定された攻撃対象サーバーに、大量の HTTP GET を要求して悪性トラフィックを誘発する。

悪性スクリプトを利用したDDoS攻撃方式は、ユーザーがそのWebサイトへアクセスした際にトラフィックが発生する方式である。その為、ユーザーがアクセスしたブラウザを閉じるか、別のサイトへ移動する場合、悪性スクリプトが中断される為、ブラウザを通じた HTTP GET要求も同時に終了される。

（2）経由地/攻撃対象サーバーの情報

1）　経由サーバー

経由地として利用されたサーバーは、主に外国人が主に利用する下宿・考試院*の情報提供サイトで、攻撃の目的に応じて次のように一部のファイルが改ざんされたが、現在は通常に戻っている。
（*　考試院：国家試験等の受験準備をする宿泊施設）

[表5]　経由サーバーの情報

2）攻撃対象サーバー

攻撃対象である3つのWebサイトの、合計60個のサブURLを対象に「DDoS HTTP GET 攻撃」が行われた。
（詳細は「（5）攻撃対象の詳細」項目を参照）

（3）攻撃トラフィックの分析

1）HTTP GET パケットの情報

[図20]は、HTTP GET 要求パケットの情報で、[表6]のHTTP GET要求の特徴が確認できる。

 

[図20]　HTTP GET 要求パケット情報

[表６]　HTTP GET 要求の特徴

2）DDoSトラフィックの統計情報

攻撃スクリプトは、[図21]のように、setInterval 周期が「0」になるように実装されている。この場合、HTTP GET 要求が発生する頻度は、ブラウザごとに多少の違いがある。

 

[図21]　HTTP GET 要求を試みる為のスクリプト設定

分析環境（IE10）で再現した結果、[図20]のように毎秒およそ60回程度の HTTP GET 要求を試みることを確認した。（※Google Chrome ブラウザでは、毎秒40回以上の要求が発生すると分析された。）

 

[図22]　毎秒60回の HTTP GET 要求

（4）攻撃スクリプトの構成

攻撃者は、次のように、多数のユーザーがアクセスする経由サーバーをハッキングし、DDoS攻撃を行う為のスクリプトを挿入した。

 

[図23]　経由サーバーのメインページ改ざん前

[図24]　経由サーバーのメインページ改ざん後

[図25]　Java スクリプトファイルの改ざん前

 

[図26]　Java　スクリプトファイルの改ざん後

[図27]のように、makeHTTPRequest 関数で実際の攻撃URLを設定して HTTP GET 要求トラフィックを発生させる。

 

[図27]　 makeHTTPRequest　関数

[図28]のように、setInterval　関数を利用して一定の時間単位で攻撃URLを要求する settingUrl　関数を呼び出す。

 

[図28]　 settingURL　関数
 

以上