増加する攻撃ツール：アカウントチェッカー

F5

今回は、お客さまの間で利用が広がっている攻撃ツール「Account Checker」を取り上げ、その仕組みを解説します。

このクレデンシャルスタッフィングツール自体は新しいものではありませんが、以下で説明する理由により、その利用が急増しています。アカウントチェッカーは、仕組みが非常に単純で使いやすい一方、極めて強力です。

アカウントチェッカーの概要

アカウントチェッカーとは、流出したユーザー名とパスワードの組み合わせ（「認証情報」）のリストを使用し、標的のWebサイトに対して有効かどうかを試す攻撃ツールです。

高性能なアカウントチェッカーパッケージはわずか100ドルで入手できるほか、攻撃者はMechanize、PhantomJS、IEC.py、Sikuli、Selenium、iMacrosなどの市販のWeb自動化ツールキットを利用して、独自のアカウントチェッカーを作成することもできます。これらのツールキットにより、アカウントチェッカーの作成やクレデンシャルスタッフィング攻撃の実行に必要な技術的負担が軽減されます。

アカウントチェッカー利用の仕組み

1. 攻撃者が、Webサイトの侵害やパスワードダンプサイトから流出したパスワードを入手
2. 攻撃者はアカウントチェッカーを使用して、盗まれた認証情報を多数のWebサイトで試す
3. ログインに成功すると（通常は全体の0.1～2%）、アカウントが乗っ取られます
4. 攻撃者は、乗っ取ったアカウントから、保存されている金銭的価値、クレジットカード番号、その他の個人識別情報（PII）を抜き取る
5. 攻撃者は、このアカウントをスパム送信やさらなる取引など、その他の不正な目的に使用する可能性もあります

無害なアカウントチェッカーの例

以下は、アカウントチェッカーの仕組みを示す「無害な」アカウントチェッカー、namechk.comです。このツールは、指定したユーザー名が各種ソーシャルネットワークで使用可能かどうかを確認します。ユーザー名「shapesecurity」を確認したところ、このツールは、そのユーザー名がすでに使用されているすべてのサイトを正しく特定しました。

このサービスでは、スクリプトを使用して、指定されたユーザー名が画像に表示されているすべてのWebサイト（Blogger、Facebook、YouTube、Twitterなど）で使用可能かどうかを自動的に確認します。

犯罪者が使用するアカウントチェッカーも上記のツールと同様に機能しますが、推測アルゴリズムに基づくさまざまなパスワードや「よく使われるパスワード上位25個」のいずれかがそのサイトで通用するかどうかを確認する機能も備えています。ユーザー名とパスワードを悪意を持って一通り検証する行為は、広く行われているクレデンシャルスタッフィング攻撃につながります。

A Microsoftの調査によると、平均的なユーザーが使用するパスワードは6個強で、各パスワードは4つの異なるサイトで使い回されており、ユーザー1人あたり約25個のパスワードが必要なアカウントを保有しています。つまり、いずれかのサイトで侵害が発生すると、主要サイトのうち平均3.9サイトで使用されているパスワードが漏えいすることになります。

攻撃準備済みアカウントチェッカーの例

Brian Krebs氏は、以下の市販のアカウントチェッカーについて記事を書いています。これは、Hiltonへの不正アクセスに使用されたものと同じ種類のツールです。

このチェッカーは、認証情報が有効かどうかを確認し、ポイント残高、クレジットカード番号の下4桁、カードの請求先住所を取得できます。

以下は、アカウントチェッカーの基盤となるコードのサンプルです。このアカウントチェッカーは、大量の認証情報をテストします。有効な認証情報の組み合わせを見つけると、PIIを収集し、アカウントに保存されている金銭的価値とクレジットカード情報を盗み取ります。

攻撃者は認証情報のリストをどこから入手するのか？

あらゆるアカウントチェッカーの動力源となるのが、認証情報のリストです。攻撃者にとって都合のよいことに、膨大な数の認証情報が公開されています。

• 38,000,000件のAdobeアカウント
• 318,000件のFacebookアカウント
• 70,000件のGoogleアカウント
• 60,000件のYahooアカウント
• 22,000件のTwitterアカウント
• 8,000件のADPアカウント
• 8,000件のLinkedInアカウント

このTwitterアカウントでは、さらに数百件の認証情報が毎日漏えいしています：twitter.com/dumpmon。多くのセキュリティ担当者は、このリストを使用して、自社サイトで侵害されたユーザーアカウントを特定し、それらのアカウントをロックアウトしています。当然ながら、攻撃者もアカウントチェッカーと併用してこのリストから脆弱なアカウントを見つけ、さまざまな不正行為に悪用しています。

セキュリティ担当者は、アカウントチェッカーの悪用を抑え、攻撃者によるユーザーアカウントの乗っ取りを防ぐために何ができるでしょうか？

その答えを得るには、アカウントチェッカーの仕組みを理解する必要があります。

アカウントチェッカーは、ログインページの静的なフォーム要素を暗黙的なAPIとして利用することで動作します。上記のコードサンプルでは、攻撃者はさまざまなフォーム要素名を参照して、標的のWebページを操作します。ほとんどのWebサイトでは、このような操作と通常の人間による操作を区別できません。

そのため、攻撃トラフィックをそのまま受け入れてしまいます。これにより、攻撃者はアカウントチェッカーを使用してWebサイトへの操作を自動化し、数日から数週間で数百万件ものテストを容易に実行できます（多くの場合、レート制限やボリューム制限を回避するために、大規模な分散型ボットネットと膨大な数のIPアドレスを使用します）。その結果、技術的に未熟な攻撃者であっても、世界最大級の多数のWebサイトに対して強力な攻撃を容易に仕掛けることができます。

このような行為を、私たちは「望ましくない自動化」と呼んでいます。これからWebサイトを守るため、攻撃者にもなじみのある手法を採用し、ページが表示されるたびにサイトの基盤となるコードを変更します。マルウェア作成者が、異なるシグネチャを絶えず提示するポリモーフィックコードによってウイルス対策製品の検知を長年回避してきたのと同様に、Shapeのソリューションは標的を絶えず変化させ、Webサイトの自動操作を試みるスクリプトを妨げます。これにより、特定のWebサイトのスクリプト化や自動化を成功させるために攻撃者が費やさなければならない労力を、システム管理者が増大させることができます。

もちろん、知識のある読者なら、これとは異なるさまざまな攻撃手法を指摘するでしょう。こうした攻撃（DOM、GUI、その他）について検討することは本記事の範囲外ですが、今後の記事で取り上げる可能性があります。Shapeは当然ながら、こうしたあらゆる攻撃を包括的に阻止することに注力しており、各レベルに対応するソリューションを提供しています。

著者について

F5

F5のその他のブログ記事