多くの防御システムは、外部への悪意ある通信を把握する主な手段としてドメイン名クエリを監視しています。しかし近年、マルウェアファミリーはこの手法を回避する傾向を強めており、コマンド&コントロール(C2)サーバーと生のIPアドレスで直接通信することで、DNSフィルターが介入する余地を与えないケースが増えています。
Unit 42によるDNS迂回型・直接IP接続C2通信に関する分析で詳述されているように、C2インフラと通信したマルウェアサンプルのうち45%が、DNS解決を一切経由せずに少なくとも1回は直接IP接続を行っていたことが判明しました。
調査結果の規模
Unit 42のアナリストは、30日間にわたって収集された400万件以上の動的解析レポートを調査しました。このデータセットのうち、約20%のマルウェアサンプルが活発なC2通信を示していました。そのうちの半数近くが、事前のDNSクエリを発行することなく少なくとも1つのIPアドレスと通信していました。これらの直接IP接続は、観測されたC2通信試行全体の約23%を占めていました。
直接IP接続が検知を回避できる理由
通常の外部接続では、プログラムはまずDNSリゾルバーに問い合わせを行い、ドメイン名をIPアドレスに変換します。セキュリティサービスはこのクエリを傍受し、脅威インテリジェンスフィードと照合したうえで、接続が確立される前にブロックできます。ドメイン名そのものが、検知システムが評価できる識別可能な手がかりとなるのです。
一方、マルウェアがサーバーのIPアドレスをバイナリに直接ハードコーディングしている場合、DNSクエリは一切生成されません。DNSベースのフィルターには何のシグナルも届きません。評価すべきドメインも、記録すべき問い合わせも、ドメインの評判に基づいてブロックする機会も存在しないのです。
実例:PhorpiexとMozi
Phorpiexローダーは、この手法を端的に体現する事例です。このマルウェアは、設定データの取得やランサムウェアを含む追加ペイロードの取得のために、DNS層に一切触れることなく、C2サーバーへIPアドレスで直接通信していました。Moziボットネットに感染したデバイスも同様の挙動を示し、ハードコーディングされたIPアドレスから悪意あるファイルをダウンロードし、ドメイン名解決要求を一度も発生させることなくボットネット全体へ拡散していました。
トレードオフ:ドメイン vs 生のIPアドレス
一般的に、ドメインベースのインフラは生のIPアドレスに比べて運用上の利点があります。ドメイン名を使えば、運用者はマルウェアの設定を変更することなく、ホスティングプロバイダー間でのサーバー移行、負荷分散、ブラックリスト化されたノードの交換が可能です。ドメインが単に新しいアドレスへ解決されるだけで済むためです。また、脅威アクターは正規サービスに酷似したドメインを登録できるため、より高い隠蔽性も得られます。
しかし、ドメインベースのC2インフラには重大なリスクも伴います。1つのドメインをブロックするだけで、稼働中の感染のコマンドチャネルの大部分を同時に遮断できてしまうのです。直接IP接続は、ドメインが持つ柔軟性と引き換えに別の耐性を獲得します。それは、DNSレベルのみで動作する防御層にとって完全に不可視であるという性質です。
進行中のキャンペーン:データ窃取とSectopRAT
Unit 42は、非標準のGETリクエストを悪用するデータ窃取キャンペーンも特定しました。このマルウェアは、ブラジルにホストされたクラウドインフラへ符号化された被害者データを送信し、宛先アドレスとポートを定期的にローテーションさせていました。このキャンペーンは、政府機関、航空会社、大学に影響を及ぼしました。
同じ観測期間中に、2つの異なる脅威アクターが教育機関に対してSectopRATを展開していました。このRATは、閲覧したURL、シングルサインオンのリダイレクトトークン、Webフォームから収集した認証情報を窃取していました。すべての通信はIPアドレスへ直接送られており、DNSベースの検知からは完全に見えない状態でした。
ZT-IP検知アプローチ
こうした通信を可視化するため、Unit 42はZero-Trust IP(ZT-IP)手法を評価しました。この枠組みでは、信頼できるDNSサービスが直近に接続先アドレスを解決・確認した場合に限り、ファイアウォールが外部接続を許可します。直近の対応するDNS解決を伴わないIPアドレスへの直接接続は異常として検知され、信頼できるプロトコルや社内ネットワークセグメントに対する明示的な例外を除き、デフォルトでブロックされます。
防御側への推奨事項
組織は、DNSクエリログにとどまらず、外部への直接接続も監視範囲に含めるよう監視体制を拡張すべきです。未確認のIPアドレスへの外部アクセスはポリシーによって制限し、DNSを介さずに動作する設計の正規サービスについては、明文化した例外を設けるべきです。
この対策は、従来型のエンドポイントセキュリティエージェントの導入が現実的でない、あるいは不可能な場合が多いIoTデバイスやOT(制御技術)機器を含む環境において、特に有効です。こうしたネットワークでは、ネットワークレベルでの制御が唯一実行可能な検知層となることが少なくありません。
単一の想定通信パターンを前提に構築されたセキュリティアーキテクチャには、必然的に死角が生じます。堅牢なネットワークを実現するには、外部へのすべての接続について個別に信頼性を評価する必要があります。見慣れたパターンに違反しなかったからといって、その通信が安全だと決めつけてはならないのです。
翻訳元: https://meterpreter.org/malware-bypass-dns-direct-ip-c2/
