ソフトウェアの脆弱性を狙う攻撃の通信の観測について　警察庁が公表

WannaCry感染に用いられているWindows OSを対象とした攻撃ツール「EternalBlue」を含む、ソフトウェアの脆弱性を狙う攻撃等の通信の観測を、平成29年5月25日に警察庁がWebサイトで公表、及び注意喚起を実施しています。

引用元:http://www.npa.go.jp/cyberpolice/detect/pdf/20170525.pdf

WannaCry感染攻撃の対象となる脆弱性について

現在、EternalBlueの脆弱性は、Microsoft社が配布するセキュリティパッチの適用によって修繕可能となっています。

一方で、攻撃の際EternalBlueと一緒に用いられるバックドアに感染した場合は、SMBで使用されるポート445番と遠隔操作で使用されるポート3389を経由した外部からの侵入及び遠隔操作の実行が可能になります。

このことから攻撃対象へ、WannaCryまたはバックドアをEternalBlueと組み合わせ攻撃することで、インターネットを介した遠隔操作が成立します。

引用元:http://www.npa.go.jp/cyberpolice/detect/pdf/20170525.pdf

下のグラフは宛先ポート3389番への通信の推移を示したもので、WannaCry攻撃においてEternalBlueによる感染試行が失敗した際、バックドアを用いた感染活動の様子ではないかとのことです。

引用元:http://www.npa.go.jp/cyberpolice/detect/pdf/20170525.pdf

WebサーバIIS6.0の脆弱性について

警察庁はIIS 6.0の脆弱性について、平成29年3月27日に公表しています。

IIS6.0は、Webサーバを提供するMicrosoft Windows Server 2003 R2に付属するホスティングサービスで、同サービスの中の機能であるWebDAV機能( Webサーバにてファイル管理を行うことを目的としたHTTPの拡張プロトコル)が有効化されているIIS 6.0を対象に、悪意のある特定のリクエストを送信することで、ユーザの意図に反したコードの実行及び攻撃が成立します。

下のグラフは警察庁の観測システムにて4月30日と5月17日にIIS6.0の脆弱性を狙った攻撃活動と思われる通信を示しています。

それぞれの通信は短時間でなおかつ少ない件数であったものの、IIS6.0を作動させるためと思われる不正なコードの実行の試行が確認されています。