攻撃者にターゲッティングされた場合…

質問

Twitterやブログによくある短縮URL先のウェブページに埋め込まれた攻撃コードによって、PCが半ば乗っ取られた後について質問します。

1.何か仕込まれていると思い、プロバイダの変更手続きを行ってからPCとルータをリストア・リセットし、書類が届いてから新規にセットアップをするが、IPアドレスの枯渇によってプロバイダにぶら下がっている世帯PCのIPアドレスは変わらないと言ってもいいぐらいなので、「この住所、このプロバイダなら、ここのIPアドレスの範囲に繋がるはず。書類到着日を予想して空いているIPアドレスを定期ノックして反応があれば、即座にアタックを仕掛け」て成功させる事は可能でしょうか？

2.（pingとかになるのでしょうか）ノックをした際の返事の具合で、何のルータを使って接続しているか特定は可能でしょうか？

地元の、またはDTIのプロバイダから配布されているIPアドレスがONU・ルータの電源を24時間切っていても変更されることが無かったため、プロバイダを乗り換えた事があるのですが…やりすぎでしょうか？考えすぎだとは思いますが、もしネット経由で攻撃者に付きまとわれた場合、どんな対策を練って、そして実行するのがベストなのか教えてほしいです。

回答No.2

onosuke · ベストアンサー

>もしルータに脆弱性が存在していた場合、そこを足がかりにして
>攻撃をされてしまう危険が増すわけですが、
>onosukeさんの言われている脆弱性というのは、
>ファームウェアのアップデートだけで事足りるでしょうか？

市販の家庭用ルータであれば、
通常、ファームウェアのアップデートだけで事足ります。
例外は、
　・「初期設定では侵入攻撃排除の設定になっている」ものを
　　「設定変更で侵入可能としてしまった」場合
　・古い製品でファームウェアのセキュリティ更新が停止している場合
　・メーカの対応が遅く、現時点で脆弱性に対応したファームウェアが未提供の場合
など

なお、企業向けの製品だと、精通した技術者が取り扱うことを前提としており、
家庭用製品とは話が変わります。

お礼

回答ありがとうございます。ルータのファームウェアの更新が上がっていたのでアップデートしました。また使わないポートを封鎖する機能があったので、FTPのポート番号を封鎖するなど、安全が確認出来る範囲内で対策を積み上げたいと思います。

まだ少し詳細を聞きたいですが、ここで一旦質問を締め切ることにします。答えていただき、ありがとうございました。

回答No.1

onosuke

まずは、攻撃者の基本的な戦略を理解した方が良いと思います。

>PCが半ば乗っ取られた後
A．PCを乗っ取ったあとの基本的な攻撃戦略について
乗っ取られたPCは、自分の存在を「内から外」へ報告し、「内から外」へ侵入用の裏口を解放します。
つまり、乗っ取られたPCは、「内部犯行」により情報漏洩と攻撃者侵入を許してしまいます。

攻撃者は、この情報漏洩で収集した情報を活用したり、
侵入用の裏口から乗っ取りPCを利用したりします。

この時、ルータ（のファイアウォール機能）による防御は、
　・ルータは「外から内」への攻撃を防ぐ
　・ルータは「内から外（内部犯行）」は防御できない
ため、ルータの存在は無意味です。攻撃者も全く気にしません。

＞Twitterやブログによくある短縮URL先のウェブページに埋め込まれた攻撃コード
B．このようなドライブバイダウンロード攻撃の基本戦略について
攻撃に引っ掛った哀れな犠牲者は、「日々増加する一方」かつ
「いつPC起動するか分からないPC端末が中心」です。
また、攻撃はビジネス（金儲け手段）なので「効率優先」が至上命題です。
従って、その基本戦略は
　・特定のユーザをしつこく追いかけることはしません
　　（犠牲者は、日々増加する。金儲けの効率優先。）
　・最新の利用可能な犠牲者リストを必要なときに利用します、
　　又は、感染直後に情報収集を終えてしまいます
　　（犠牲者は、いつインターネットに接続するか分からない）
となります。

以上を踏まえた上で、質問１、２を考えます。

質問１への回答：
最新の利用可能な犠牲者リストは、内部犯行の結果が自動収集されるので、
「IPアドレス範囲で攻撃」といった効率の悪い方法を攻撃者は採りません。

内部犯行の犯人が駆除されてしまっても、感染直後に収集した情報があるので、
攻撃者としては、それを売りさばくだけでも十分な利益になります。
# 有益な情報が得られなくても、犠牲者は他にたくさんいるので気にしない。

結局、
「攻撃者の立場で考えると、そもそも攻撃を仕掛けてこない。」
が回答です。

質問２への回答：
内部犯行の犯人が残っているなら、ルータの存在は無意味です。
攻撃者も、ルータの種別を調査しません。（調査する必要がない）

内部犯行の犯人が駆除された場合、攻撃者は、効率重視でそんな人を相手にしません。
よって、ルータの種別調査もしません。

こちらも結局、
「攻撃者の立場で考えると、そもそも調査してこない。」
が回答です。

参考までに「何のルータを使って接続しているか特定は可能か？」という点を回答すると、
「攻撃対象のルータに侵入可能な脆弱性があるかどうか？」という特定が可能です。
攻撃者の立場では、ルータの製造元や機種名はどうでもよく、
侵入可否が重要ですからね。

お礼

回答ありがとうございます。とてもわかりやすい説明でした。

例えばルータに何種類かの脆弱性が見つかっていた場合、その組み合わせでターゲッティングしている相手かどうかの特定をすることは可能なのかもしれませんね（私の憶測の域を出ませんが）。

そして重ねて質問しますが…
もしルータに脆弱性が存在していた場合、そこを足がかりにして攻撃をされてしまう危険が増すわけですが、onosukeさんの言われている脆弱性というのは、ファームウェアのアップデートだけで事足りるでしょうか？ルータ全般に言える事で、これをしておけば安全性が増す対策があればご教授願います。