パスワードを忘れた？ アカウント作成
Close
19794 story
インターネット

「詐欺的DNSサーバ」が増加中 58

ストーリー by mhatta
あの手この手 部門より

pinbou 曰く、

本家/.の記事より。悪意あるクラッカーにより設置され、問い合わせ に対し正当なIPアドレスを返さない「詐欺的DNSサーバ」 (Rogue DNS Servers)が増加しているそうだ(AP 通信の記事)。ジョージア工科大学とGoogleが共同で行った調査によ ると、インターネット上には約68,000もの詐欺的DNSサーバが存在する。 マルウェア等によりエンドユーザのコンピュータの設定が汚染されたDNS サーバを参照するように改変されてしまった場合、クラッカーはいかなる 偽サイトにもユーザを誘導することができる。実際に誘導される先はいか にもインチキくさいものからほぼ完璧なコピーサイトまで様々のようだが、 深刻な脅威であることに違いはない。アンチウイルスソフトでは手の施し ようがない場合が多いのが、この手法の普及に一役買っているようだ。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

「詐欺的DNSサーバ」が増加中 More

  • hostsファイル汚染の次はやはりこれですか (スコア:4, 興味深い)

    by Anonymous Coward on 2008年02月18日 15時17分 (#1299174)
    偽DHCPサーバやらhostsファイルの注入やら色々ありますが
    そのうちDNSサーバの信頼性を定期的にチェックしなければならないのかなぁ・・・

    「whoisにホスト登録されたDNS」か「そこから相互認証しているDNS」しか受け入れないとかやります？
    それともユーザのいるセグメントからインターネットの53番ポートへのブロックとか？

    • Re:hostsファイル汚染の次はやはりこれですか (スコア:4, すばらしい洞察)

      by Anonymous Coward on 2008年02月18日 15時34分 (#1299183)
      つか、自らが参照してるDNSサーバの変更を監視すればいいんじゃね?

      マルウェア等によりエンドユーザのコンピュータの設定が汚染されたDNS サーバを参照するように改変されてしまった場合
      なんだし。
      普段のDNSサーバそのものが汚染ってのは、目的のサイトそのものが汚染と同様、エンドユーザーにはどうにもならんでしょ。
      シェア
      親コメント

      • Re:hostsファイル汚染の次はやはりこれですか (スコア:2, 参考になる)

        by Anonymous Coward on 2008年02月18日 21時28分 (#1299393)

        ファイアウォールを設置しているのであれば、ファイアウォールで内側にある「信頼できる」DNSサーバ以外からのDNSクエリ (udp/tcp.port=53) を落とすようにすれば良いのではないかと。
        万が一DNSの設定を書き換えられたとしても「DNSの問い合わせが失敗する」＝「見えなくなる」形で問題が顕在化するので安心できるはず。

        シェア
        親コメント

      • Re:hostsファイル汚染の次はやはりこれですか (スコア:1, 参考になる)

        by Anonymous Coward on 2008年02月18日 17時33分 (#1299253)

        日本のご家庭の多くはブロードバンドルータに類するものを使っていると 思いますし、ブロードバンドルータ自身からの、またはプロバイダから 指定されるネームサーバへのdnsパケットだけを通し、 それ以外はフィルタすればいいんじゃないでしょうか。

        知らないうちに外部のDNSサーバを参照するよう変更されてしまっても すぐに気づきますし、それが導く被害にあう危険を防止できます。

        シェア
        親コメント

      • Re:hostsファイル汚染の次はやはりこれですか (スコア:1, 興味深い)

        by Anonymous Coward on 2008年02月19日 0時50分 (#1299494)
        CodeRedのように、ファイル自体は書き換えないが、 応答プロセスをフックした例もあります。多角的な 方法が必要のようですね。 一定時間ごとに問い合わせを行ってみるとかでは ダメでしょうか。
        シェア
        親コメント

  • 「詐欺的」じゃなくて (スコア:3, すばらしい洞察)

    by Anonymous Coward on 2008年02月18日 16時44分 (#1299224)
    「詐欺DNSサーバー」でいいんじゃないですかね。
    他人を欺罔し錯誤に陥れさせているのが明白ですから。

    「詐欺的」だと「詐欺っぽいけどぎりぎり合法」と言われているような気が。

    • Re:「詐欺的」じゃなくて (スコア:1, 興味深い)

      by Anonymous Coward on 2008年02月18日 19時50分 (#1299336)
      いや「オレオレDNS」って呼び方がいいと思う。
      シェア
      親コメント
    • 詐欺以外の用途は思いつかないけど、それを判断するのはどこかの司法機関だから･･･

      ということでしょうか。

    • Re: (スコア:0)

      by Anonymous Coward
      > 「詐欺的」だと「詐欺っぽいけどぎりぎり合法」と言われているような気が。

      そのセンスは理解しがたいな。君は「科学的」は「詐欺っぽいけどぎりぎりインチキ」と受け取る？

      • typo (スコア:0)

        by Anonymous Coward
        君は「科学的」は「科学っぽいけどぎりぎりインチキ」と受け取る？

        です。

    • Re: (スコア:0)

      by Anonymous Coward
      D：ドメイン
      N：ネーム
      S：詐欺

  • 野良無線LANとかも危ないよね (スコア:3, すばらしい洞察)

    by Anonymous Coward on 2008年02月18日 17時38分 (#1299260)
    ネットワークただ乗りだ～とかやってるお馬鹿さんがDHCPであぼんとか。

    • Re:野良無線LANとかも危ないよね (スコア:2, すばらしい洞察)

      by Anonymous Coward on 2008年02月18日 20時28分 (#1299358)
      そもそも、他人が掌握しているネットワークに接続する危険は、
      DHCPでDNSが偽装されるだけじゃないです。

      通信するすべてのパケットのログをとられているかもしれないし、
      そのパケットすら偽装されているかもしれないということを考慮しなきゃあかん。

      つまり、野良無線LANで接続されたネットワークに、
      信頼性もなきゃ、秘匿性もまったくないというリスクを認識すべき。
      シェア
      親コメント

  • 良い詐欺的DNSサーバ? (スコア:3, 興味深い)

    by unyuchan (22065) on 2008年02月18日 21時49分 (#1299407)
    草の根公衆無線LANサービスFON [srad.jp]用の激安無線LANルータFoneraが組み込み用LinuxのOpenWRTで動いていて
    改造していじくりまわす人が多いのですが、蓋を開けてシリアルコンソールでアクセスする人も居ますが
    こいつが定期的にFON本部のサーバにアクセスして更新プログラムを実行しているのを悪用して
    詐欺的DNSサーバと偽RADIUSサーバ [datenbruch.de]を使ってiptablesのルールの変更とsshdの起動を行い、お手軽にログインするのが流行っています

    • Re: (スコア:0)

      by Anonymous Coward
      それの何が「良い」のか解説を求む
      誰に対して良いのか、そして誰かに不利益をもたらしている可能性を明確に
      • 要するに、他人様に迷惑かける目的ではない偽装DNSサーバのことを、「悪い」の反語として「良い」といっているだけでしょう。
        # 別に第三者に利益を与えるものではないですね。

        あと予想ですが、このような利用方法をFONは認めているわけではないかと。
        まあせいぜい黙認しているレベルの話でしょうね。
        --
        @ytnobody
        シェア
        親コメント

  • 手のうちようがない？ (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2008年02月18日 15時24分 (#1299177)
    ＞アンチウイルスソフトでは手の施し ようがない場合が多いのが、この手法の普及に一役買っているようだ。

    んーっと。
    多分こういうときに一番に狙われるのは、
    検索サイトや、銀行、カード会社ですよね？

    定期的に、nslookup で、DNSサーバ決めうちのクエリを狙われやすいサイトに対してかけて
    それがサーバ決めうちでない結果と大きく食い違ったら（ネットワークのオーナーとかが）
    警告を出すとか？

    # まあこの仕組みをアンチウィルス系の会社がやろうとおもったら
    # 正しいDNSサーバ(決めうち側)をどう用意するかが問題ですが

    • Re:手のうちようがない？ (スコア:2, 興味深い)

      by Anonymous Coward on 2008年02月18日 16時13分 (#1299209)
      複数のDNSサーバに問い合わせて結果を照合する
      シェア
      親コメント

      • Re:手のうちようがない？ (スコア:2, おもしろおかしい)

        by Anonymous Coward on 2008年02月18日 18時37分 (#1299293)
        先生！、その方法による調査の結果、www.yahoo.co.jpや、www.google.comは疑わしいサイトのようです。
        シェア
        親コメント

        • Re: (スコア:0)

          by Anonymous Coward
          DNSラウンドロビンか。
          オクテットごとに昇順に並べ替えて全マッチすればいいんじゃないかな？

          あれ？いつもよりサーバが1個多い……

      • Re: (スコア:0)

        by Anonymous Coward
        一個でも間違っていた場合の対処は？
        • 多数決？
        • 「エラー」を表示して見せない？
        • 「エラー」を表示の上見せる？

        • Re: (スコア:0)

          by Anonymous Coward
          設定によりいずれか選択可、でいいんじゃ？

          • Re: (スコア:0)

            by Anonymous Coward
            その際、エンドユーザー側は正しいアドレスを知っておく必要がありますね。

            さて、どうしたものやら・・

            • Re: (スコア:0)

              by Anonymous Coward
              別に知らなくても、

              安全製重視→「エラー」を表示して見せない
              自前サンドボックスなどで慎重に実行→「エラー」を表示の上見せる
              運を天に任せる→多数決

              とすれば？

    • Re:手のうちようがない？ (スコア:2, 参考になる)

      by Anonymous Coward on 2008年02月18日 16時14分 (#1299213)
      >多分こういうときに一番に狙われるのは、
      >検索サイトや、銀行、カード会社ですよね？

      #「狙われた」わけではないけども。

      VISAドメイン問題解説
      http://www.e-ontap.com/summary/fornondnsexpert.html [e-ontap.com]

      ついでにこれも。
      DNSの不適切な運用が生むドメインハイジャックの危険性について
      http://www.e-ontap.com/dns/risk.html [e-ontap.com]
      シェア
      親コメント

    • Re:手のうちようがない？ (スコア:1, 興味深い)

      by Anonymous Coward on 2008年02月18日 16時01分 (#1299198)

      この記事におけるクラック対象はISPや企業内のDNSキャッシュサーバです。DNSキャッシュサーバは本来ネットワーク外から参照するものではなく、そのような対策は実質的に不可能です。

      現状やれる根本的な解決策は(EV)SSL証明書ぐらいしかないんじゃないんでしょうか。

      シェア
      親コメント

      • Re:手のうちようがない？ (スコア:1, 興味深い)

        by Anonymous Coward on 2008年02月18日 19時54分 (#1299338)
        ＞この記事におけるクラック対象はISPや企業内のDNSキャッシュサーバです。
        ＞DNSキャッシュサーバは本来ネットワーク外から参照するものではなく、そのような対策は実質的に不可能です。

        企業内だとDNS リクエストが外に行かないかもしれませんが
        ISPのキャッシュサーバなら、別に外のDNS見に行けますよね？

        正しいDNSサーバを用意できないって、上で書いたのは
        単に負荷が上流に集中するので大変だよなぁ、と言う意味でして・・・
        シェア
        親コメント

      • Re: (スコア:0)

        by Anonymous Coward
        いや、根本的な解決策はDNSを使わないような仕組みを作ることでしょ。 DNS自体が古い仕組みだし、そろそろ引退してもらいたいところ。 #現実味は・・・

      • Re: (スコア:0)

        by Anonymous Coward
        > この記事におけるクラック対象はISPや企業内のDNSキャッシュサーバです

        え、そうなの？そうは読めなかった。
        エンドユーザーの参照DNS設定をクラックして云々かと思ってましたが。

        • Re:手のうちようがない？ (スコア:1, 参考になる)

          by Anonymous Coward on 2008年02月19日 9時42分 (#1299563)
          原文斜めに読むと例としてgoogleへアクセス云々とあるから、キャッシュサーバの
          汚染話だと気づいて欲しいけれどねぇ。DNS,DNSって書いてあるけど今回はリゾル
          バとかキャッシュサーバとかそっちの話だ。
          djbdnsでいうdnscache、Powerdnsのpdns-recursor等が役割をになうタイプ。

          対策は端末自身にリゾルバ入れればOK。
          シェア
          親コメント

    • Re:手のうちようがない？ (スコア:1)

      by phenix (31258) on 2008年02月18日 17時18分 (#1299245)
      ウイルスなんかと同じく、詐欺的DNSのリストを用意して、ヒットしたら警告じゃいかんのでしょうか。

      日本の場合、プロバイダがルータ送りつけるときにDNS塞いで、ルータが参照するDNSのアドレスも変更不可にしておけばいいとおもふ。
      シェア
      親コメント
    • > アンチウイルスソフトでは手の施しようがない場合が多いのが、この手法の普及に一役買っているようだ。

      アンチウイルスソフトは無力ってだけで、こういう場合「一役買っている」って言うのかな？
      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward
        普及に一役買っているのは、「アンチウイルスソフト」ではなくて、
        「既存のアンチウイルスソフトでは対処できない」手法がでしょ？

    • Re: (スコア:0)

      by Anonymous Coward
      個人情報の送信防止、とかいって名前とか電話番号とか登録させるアンチウイルスソフトってあるじゃない。
      あんな感じに正しい DNS も登録しておいて、システムの設定が違っていたら警告、で良くない？

    • Re: (スコア:0)

      by Anonymous Coward
      アンチウイルスソフトにDNSサーバ機能を付けるとかは？
      OSのDNS参照先が自分でなければ警告、自分の保持してるキャッシュがアンチウィルスソフトの
      会社のキャッシュと食い違ったら警告、hostsファイルの改竄を警告……

    • Re: (スコア:0)

      by Anonymous Coward
      SSLでサーバ証明するのでは、だめなんですか?
      DNS spoof はできても、サーバ証明書は偽造できないでしょ。

  • 逆引きすれば？ (スコア:2, 参考になる)

    by SNT (23129) on 2008年02月18日 15時49分 (#1299193)
    詐欺DNS→ドメイン→偽IP→逆引きしてドメインチェック

    ってすればいけるかなぁと思った。
    バーチャルドメインサーバで死亡ってオチが見えるけど。
  • DNSSEC [dnssec.net]はどうでしょうか？
    OSの持っているリゾルバ周辺のライブラリに細工されたらだめなんでしょうけど．
    --
    屍体メモ [windy.cx]

  • そのＤＮＳは (スコア:0)

    by Anonymous Coward on 2008年02月18日 15時19分 (#1299175)
    ちゃんとした上位のＤＮＳとリンクしている関係だとおもうので
    もうなんていうかDNSも破綻してきているという証拠でしょうかね

    • Re: (スコア:0)

      by Anonymous Coward
      > ちゃんとした上位のＤＮＳとリンクしている関係だとおもう

      根拠が不明ですね。「証拠」とか言われても困ります。
      この仕組みの場合「上位DNSとリンク」している必要はありません。

  • 簡単な解決策 (スコア:0)

    by Anonymous Coward on 2008年02月18日 17時27分 (#1299251)
    ワクチンソフトの会社がDNSサーバを設置すればいいだけのこと。

    ・・・何か忘れてますけどね。

    • Re:簡単な解決策 (スコア:2, 興味深い)

      by Anonymous Coward on 2008年02月18日 21時39分 (#1299401)
      詐欺DNSサーバじゃないが、LMHOSTSを書き換えて
      アンチウィルスソフトメーカー各社のサポート情報やら、アップデートやらウィルスDBやらに接続出来ないようにするウィルスはありますよ
      シェア
      親コメント

    • Re:簡単な解決策 (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2008年02月18日 22時31分 (#1299436)
      いえいえ
      ワクチンソフトの会社が hosts ファイルを配布すればいいじゃん。
      　
      なんて先祖帰り。
      シェア
      親コメント

    • Re:簡単な解決策 (スコア:1)

      by Elbereth (17793) on 2008年02月18日 19時50分 (#1299334)
      セキュリティ対策ソフトの会社のソフトって、安全性に非常に不安があるのですが。
      会社にもよると思いたいけども、年に何度もトラブルが起きますし。
      ウィルスの誤検知やらシステムクラッシュやらネットワーク遮断するやら。
      そんな会社がDNSサーバーを運用したらどうなるか目に見えてます。
      シェア
      親コメント

    • Re: (スコア:0)

      by Anonymous Coward
      誰が設置するははおいといて、改竄されないよう厳しく運用されたDNSサーバを決めて、クライアントは確実にそれらだけを参照するように運用していれば、「今回の件」はなんら脅威ではないと思う。
      どこにどれだけ怪しげなDNSサーバが増えようと、そんなの見なけりゃいいじゃん、ということで。

      • Re:簡単な解決策 (スコア:1)

        by SNT (23129) on 2008年02月19日 10時17分 (#1299574)
        そうすると、世界中からリクエストが飛んできて、DNSサーバが負荷で落ちますよ。
        だから、DNSサーバは分散管理されているわけで。

        銀行系とか、クリティカルなのだけは特定のDNSサーバを参照とかすればいいのかなぁ。
        シェア
        親コメント

  • 大昔のWindows (スコア:0)

    by Anonymous Coward on 2008年02月18日 18時38分 (#1299294)
    確かDNSに問い合わせた場合、先着順(問い合わせたDNSホストで無くても可)で受け付けるという(MS的な)仕様がありました。今ではさすがに直ってるんでしょうかね?
typodupeerror

人生unstable -- あるハッカー