コマンド&コントロール(C2)活動を示すマルウェアサンプルのうち、ほぼ半数がドメイン名を使わずIPアドレスに直接接続していることが、Unit 42の調査で明らかになりました。
この手法により、多くのセキュリティツールが悪意あるインフラの特定・遮断・シンクホール化に利用しているDNSルックアップの過程が省かれてしまいます。
研究者らは30日間にわたり、400万件を超える動的マルウェア解析レポートを分析しました。その結果、C2活動を示すマルウェアサンプルの45.32%が、少なくとも1回はIPアドレスへの直接接続(D2IP)を行っていたことが判明しました。
大量のポートスキャン行動を除外しても、その割合は41.97%にとどまりました。また、D2IPトラフィックは、今回の調査で観測されたすべてのC2接続試行のうち23.17%を占めていました。
通常のネットワーク接続では、デバイスは接続先に連絡する前に、DNSにドメイン名をIPアドレスへ変換するよう要求します。セキュリティチームはこの要求を監視し、既知の悪意あるドメインを遮断したり、危険なルックアップをシンクホールへリダイレクトしたりすることができます。
一方、IPアドレスに直接接続するマルウェアは、IPアドレスをコード内に埋め込むか、別の経路で受け取ることで、この過程を丸ごと省略してしまいます。
その結果、大きな可視性のギャップが生まれます。侵害されたデバイスは、DNSイベントを一切発生させることなく、遠隔のC2サーバーへ発信接続を確立できてしまうのです。
DNSフィルタリングやDNSログ、ドメインベースの脅威インテリジェンスに大きく依存している組織にとって、こうした悪意あるトラフィックは、単なる生のインターネットアドレスへの通常接続のように見えてしまいます。
IPアドレスへの直接通信は、特定のマルウェアカテゴリに限った話ではありません。Unit 42は、ランサムウェアのドロッパー、リモートアクセス型マルウェア、データ窃取ツール、そしてP2P型IoTボットネットなど、幅広い事例を確認しています。
例えば、Phorpiexマルウェアファミリーは、設定データや追加のペイロードをC2のIPアドレスから取得する際に、直接HTTPリクエストを使用していることが確認されています。
研究者らはまた、非標準の\GETリクエスト形式を使ってエンコード済み情報を攻撃者のインフラへ送信する、データ窃取キャンペーンも追跡していました。
このキャンペーンは、政府機関、航空会社、大学といった価値の高いセクターを標的としていました。運用者は接続先のIPアドレスとポートを定期的に変更しており、静的なIPブロックリストの有効性を低下させていました。
IoTボットネットは、また別の課題をもたらします。Miraiから派生したP2P型ボットネットであるMoziは、脆弱なデバイス間で感染を広げる際に、IPアドレスへの直接通信を使用します。
こうしたマルウェアはDNSを必要としない場合があります。ピア同士が既知または発見済みのIPアドレスを通じて通信できるためです。このため、管理外のIoT機器や制御システム(OT)、レガシーシステムが存在する環境では、DNSのみに頼った対策は特に脆弱になります。
今回の調査結果は、IPレピュテーションフィードだけでは不十分であることも示しています。Help Net Securityが引用した別の調査によると、IPアドレスへの直接接続を伴う脅威に関与したIPアドレスのうち、52%がオープンソースインテリジェンスフィードに含まれていませんでした。
研究者らの報告によれば、悪意あるIPアドレスがこれらのフィードに反映されるまでには平均で20日間の遅れがあり、その間に攻撃者はインフラをローテーションさせ、既知の「悪玉」レピュテーション信号を持たない状態で活動を続けることができるとFortinetは述べています。
セキュリティチームは、直近の有効なDNS解決を経ずに公開IPアドレスへ発信される接続を、価値の高い検知シグナルとして扱うべきです。
とはいえ、IPアドレスへの直接接続をすべて遮断すべきというわけではありません。VoIPプラットフォームや一部のIoTデバイス、P2Pアプリケーション、社内インフラなど、多くの正当なサービスもIPアドレスによる接続を行う場合があるためです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視性を獲得し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/c2-malware-evades-dns/
