見出し画像

DoH と DNS MX 悪用のフィッシング攻撃

Infoblox Japan公式

近年、サイバー攻撃者は「Living off the Land（LotL）」戦術を活用した攻撃手法を多用しており、InfobloxのThreat Intel研究チームが最近発見した、「Morphing Meerkat」もその一例です。
 
LotLとは、既存の正規インフラやサービスを悪用する攻撃手法であり、一般的なマルウェア対策や監視システムでは容易に検出されにくいという特徴があります。
 
特に、攻撃者はDNS、広告ネットワーク、クラウドインフラを利用したLotL攻撃を強化しており、Morphing Meerkatのようなフィッシング・アズ・ア・サービス（PhaaS）プラットフォームはその典型例です。
 
本ブログでは、Morphing MeerkatがどのようにLotL戦術を駆使し、DNS over HTTPS（DoH）やDNS MXレコード、広告ネットワークを悪用してフィッシング攻撃を展開しているかを分析します。



攻撃の概要と進化


Morphing Meerkatは、被害者にスパムメールを送信し、メール内のリンクを通じてフィッシングサイトへと誘導します。初期のバージョンでは、Gmail、Outlook、AOL、Office 365、Yahooといった5つのメールサービスを模倣するフィッシングページを提供していたが、現在では114種類以上のブランドデザインを持つまでに拡張されています。
 
さらに、DNS MXレコードを利用して被害者のメールサービスプロバイダーを特定し、それに応じた偽のログインページを動的に生成する機能も備えています。 


MXレコードの悪用


このPhaaSプラットフォームの特徴的な手法の一つが、DNS MXレコードの悪用です。
 
被害者がフィッシングリンクにアクセスすると、攻撃者はそのドメインのMXレコードを照会し、被害者が使用しているメールサービスを特定します。これにより、被害者が慣れ親しんだメールサービスのログインページを模倣したフィッシングサイトを動的に生成し、認証情報を盗み取ります。


DNS over HTTPS（DoH）の悪用


Morphing Meerkatは、DNSクエリを暗号化するDoHを利用して、DNSトラフィックの監視やフィルタリングを回避しています。これにより、セキュリティシステムによる検出を困難にし、攻撃の匿名性と持続性を高めています。


検出回避技術


このフィッシングキットは、以下のような複数の検出回避技術を採用しています。

  • コードの難読化：JavaScriptコードをBase64エンコードやASCIIコードの数値変換などで難読化し、解析を困難にする

  • ユーザーインタラクションの制限：キーボードショートカット（Ctrl+S、Ctrl+U）や右クリックを無効化し、ソースコードの閲覧や保存を防止する

  • 正規サイトへのリダイレクト：疑わしいユーザーや解析を試みる研究者を検出すると、正規のログインページへリダイレクトすることで、フィッシングサイトの存在を隠蔽する 


攻撃の流れ


  1. スパムメールの送信: Morphing Meerkatは、大量のスパムメールを送信し、被害者をフィッシングサイトへ誘導する

  2. リダイレクトの利用: メール内のリンクは、広告ネットワークのオープンリダイレクトや侵害されたWordPressサイトを経由して、最終的なフィッシングページへと被害者を誘導する

  3. DoHによるMXレコードの取得: 被害者がフィッシングページにアクセスすると、ページ内のスクリプトがDoHを利用して被害者のメールドメインのMXレコードを取得する

  4. フィッシングページの動的生成: 取得したMXレコード情報を基に、被害者が使用しているメールサービスに対応した偽のログインページを動的に生成し、表示する

  5. 認証情報の窃取: 被害者が偽のログインページに認証情報を入力すると、その情報は攻撃者に送信される。送信方法として、EmailJSを利用したメール送信や、Telegramのボットを利用したリアルタイムのデータ転送などが確認されている。


国際的な影響と対策


Morphing Meerkatの活動は、世界中のユーザーを標的としており、フィッシングページのテキストを被害者のブラウザ設定に基づいて動的に翻訳する機能も備えています。
 
これにより、日本語含め、十数種類の言語でフィッシング攻撃を展開することが可能となっています。
 
このような高度なフィッシング攻撃に対抗するためには、以下の対策が重要です。

  • DNSトラフィックの監視と解析：DoHの利用を含む異常なDNSトラフィックを検出し、迅速に対処する体制を整える

  • メールセキュリティの強化：スパムメールのフィルタリング精度を向上させ、フィッシングリンクを含むメールの受信を防ぐ

  • ユーザー教育：フィッシング攻撃の手口や対処法について、定期的なトレーニングを実施し、ユーザーのセキュリティ意識を高める


見落とされがちな脅威アクター


多くの脅威研究者は、広告ネットワークや悪意のある広告を単なる望ましくないプログラム（PUP）や詐欺行為と見なしています。しかし、Morphing Meerkatのような高度な攻撃では、広告技術（AdTech）インフラをフィッシング攻撃の踏み台として活用しています。
 
攻撃者の最終的な目的は、無防備な被害者から認証情報を収集し、それをダークウェブで取引することです。こうして盗まれた認証情報は、ランサムウェア攻撃や企業スパイ活動へとつながる可能性が高いです。企業や個人がこれらの脅威を正しく認識し、適切な防御策を講じることが、今後ますます重要になっていくと考えます。
 
Morphing Meerkatのような高度なフィッシング攻撃は、日々進化しており、組織や個人は最新の脅威情報を常に把握し、適切なセキュリティ対策を講じることが不可欠です。
 
特に、DNS、広告テクノロジー、クラウドサービスなど、正規のインフラを悪用するLotL攻撃に対する防御戦略の強化が求められます。


最後までお読みいただき、ありがとうございます。

よりテクニカルに内容をご確認されたい場合は、全文が掲載された弊社DNS脅威インテリジェンスチーム（Infoblox Threat Intel）が投稿したブログ（英語）をご参照ください。


2025年5月27日より「基礎から分かるDNS、DHCP、IPAMな4日間」と題したウェビナーを開催します。

3日目の5月29日（木）はDNSセキュリティ（DNSトンネリングなどのDNSを悪用したサイバー攻撃を防ぐ考え方）をテーマにウェビナーを開催します。
参加お待ちしております！


いいなと思ったら応援しよう！