パスワードを忘れた？ アカウント作成
Close
18738 story

Linux＋ApacheのWebサーバを標的とするルートキット 68

ストーリー by morihide
rootパスワードは大切に 部門より

Open Tech Pressより。
セキュリティ調査会社のFinjanが今月14日に出したプレスリリースによると、Linux＋Apacheをプラットフォームとする一群のWebサーバが、Windowsを標的とするJavaScript型のマルウェアをまき散らしているという。問題のWebサーバにはある種のルートキットが仕込まれているものと思われるが、感染経路が不明で、Apache Software Foundationのセキュリティ対策チームに属するMark Cox氏は「現状で攻撃者側がサーバ群のルートアクセスを得た方法の詳細はつかみ切れていませんが、同時にApache HTTP Serverに潜む脆弱性に起因していることを示す証拠も得られていません」とのコメントを寄せている。どうやら、犯人はパスワードクラッキングでroot権限を奪取したのではないかというのが記事の論調である。

ちなみに、件のルートキットに感染すると数字で始まる名前のディレクトリが作成できなくなるという。また、以下のtcpdumpコマンドでも感染していないかどうかをチェックできるそうだ。

tcpdump -nAs 2048 src port 80 | grep "[a-zA-Z]\{5\}\.js'"
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Linux＋ApacheのWebサーバを標的とするルートキット More

  • 感染確認 (スコア:5, 参考になる)

    by nox_dot (11614) on 2008年01月28日 15時02分 (#1287564) 日記
    tcpdumpでは、いくら待ってパケットが来なかったら感染していないと判断できるかという時間が分からないため、
    感染していないかどうかは「mkdir 1」をやってみる事で調べた方が良いと思います。
    もっとも、「数字で始まる名前のディレクトリが作れない」というバグが修正されたrootkitが登場していたらわかりませんけど。

    • Re:感染確認 (スコア:1)

      by flutist (16098) on 2008年01月28日 16時10分 (#1287588)
      普通にログインして、数字から始まるディレクトリが作れないと言うことは、カーネルかシェルが置き換わってるってこと？

      そんなことやられちゃう状況なら、もう何をされててもおかしくないですね。極端な話、違うＯＳで再起動されたりとか。
      シェア
      親コメント

      • 認識を改めるべき (スコア:2, 参考になる)

        by superfox (31908) on 2008年01月28日 17時36分 (#1287625)
        奴等の目的は徹底した情報収集です。

        すぐに思いつくのはクレジットカード番号など即お金に
        つながりそうなものですが、今ではある種の backdoor
        を仕掛けられた Unix マシンや bot 化した Windows マ
        シンのアドレスなども取引の対象になっています（ソー
        スは海外のニュース）。なので

        > 極端な話、違うＯＳで再起動

        のように仕掛けられたことが発覚するような事は絶対に
        しません。

        rootkit の実際についてはrootkit の紹介と対処法 [hawkeye.ac]
        がわかり易いかも。

        シェア
        親コメント

      • Re:感染確認 (スコア:1)

        by keepiru (34886) on 2008年01月28日 17時21分 (#1287617) 日記

        rootkit により数字ディレクトリが見えなくなるのでは？

        シェア
        親コメント

  • 改竄サイト増加中 (スコア:5, 興味深い)

    by Anonymous Coward on 2008年01月28日 15時13分 (#1287567)
    「Linux+Apacheは、Windows+IISより安全」という意識が強いのか、
    最近多いのがLinux+Apacheで運用しているサイトの改竄です。

    普通の企業やオンラインショップサイトで、妙なJavaScriptが
    埋め込まれていたりします。
    ソースを見ると、document write('3A5142524950443E77696E646F....
    というような16進数で表されたアスキーコードが書いてあり、一見しては
    何なのか分かりませんが、アンチウイルスソフトは検知してくれます。

    普通のテキストに直してみると、iframeで中国やロシアからTrojanを
    ダウンロードさせるサイトへジャンプさせるスクリプトでした。

    アンチウイルスを使っていれば閲覧時に検知するので気づくはずですが、
    放置しているサイトの管理者が多すぎますね。

    ここからは想像ですが、アンチウイルスも使っておらず、WindowsやIEや
    QuickTimeの脆弱性も修正していないサイトの管理者が、このような改竄
    サイトを閲覧してトロイの木馬型スパイウェアに感染。
    そしてサーバのIPアドレスやログイン情報を盗み出されて、それを利用して
    自分のサイトにも侵入され、ソースに不正スクリプトを埋め込まれる
    のではないかと。

    犯人は中国国内を中心に活動している模様。
    スパイウェアで情報を集めるサーバが長期間動作したままなのですが、
    中国政府が放置しているだけなのか、それとも…。

    • Re:改竄サイト増加中 (スコア:1, すばらしい洞察)

      by Anonymous Coward on 2008年01月28日 16時13分 (#1287590)

      「Linux+Apacheは、Windows+IISより安全」という意識が強いのか、最近多いのがLinux+Apacheで運用しているサイトの改竄です。
      Linux信者やアンチMSたちが、「結局は運用体制」ということをあえて無視したネガティブキャンペーンの結果、自ら信奉するものを貶めてしまった例ですな。
      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward
        え！？あえて無視してたんですか？信仰だと思ってたのに・・・

    • Re: (スコア:0, フレームのもと)

      by 127.0.0.1 (33105)
      >「Linux+Apacheは、Windows+IISより安全」という意識が強いのか、
      >最近多いのがLinux+Apacheで運用しているサイトの改竄です。

      本当に最近多いんですか?
      最近というのはどれくらいの期間を指していますか?
      最近といいつつLinux+Apacheのサイトの侵入・改竄は昔から多いんじゃないんですか?
      侵入・改竄を受けたサイトの比率がWindows+IISと比較して多いんですか?
      もしくは多くなってきているんですか?
      比較問題レベルではWindows+IISは大丈夫なんですか?

      • Re: (スコア:0)

        by Anonymous Coward
        うむ、統計とって数字で示してくれないと、ツリー元のような意見は全く意味を成さないね。

      • Re: (スコア:0, 余計なもの)

        by 127.0.0.1 (33105)
        補足。

        Windows+IISはどうなのかってのは蛇足だったかも。

        とりあえずあとは、
        Linux+Apacheの構成のサイトの数の増加率と、その中で
        侵入・改竄されていたサイトの増加率がほぼ同じなのかそうでないのか
        という点が分からないことには何ともいいようがない話ですね。

        • Re:改竄サイト増加中 (スコア:1, 参考になる)

          by Anonymous Coward on 2008年01月28日 18時58分 (#1287657)
          > Windows+IISはどうなのかってのは蛇足だったかも。

          これは、明らかに改竄などの攻撃被害数が多いのがWindowsサーバではなく
          Linuxだという情報をどちらかで見かけたんですかね？
          だから撤回したんでしょうか。

          > とりあえずあとは、
          > Linux+Apacheの構成のサイトの数の増加率と、その中で
          > 侵入・改竄されていたサイトの増加率がほぼ同じなのかそうでないのか
          > という点が分からないことには何ともいいようがない話ですね。

          とりあえず、
          http://www.zone-h.org/ [zone-h.org]
          とか参考になるでしょう。

          現在は被害サーバの65%がLinuxサーバですね。

          これは先週分の統計しか見れませんが、私の記憶では１，２年前は、
          Windows/IIS のシェアが30%くらいなのに被害数が50%くらいだったと思います。
          ですから昔はWindowsサーバの被害率は高かったわけです。

          しかし、最近はWindows/IISのシェアも伸びているので、シェアを落としている
          Linuxサーバの被害数が65%に増えていることを考えれば、サーバとしては
          LinuxはWindowsよりも狙われていて、危険であると言えると思います。

          最近増えているというのは、私の管理しているネットワークからのアクセスで
          検出された改ざんサイトの増加ぶりによるものです。
          昨年末ごろから多くなっています。
          同じような仕事をしている人なら気が付いていると思いますが。

          被害が増えているという現実を受け入れたくないために、いろいろ面倒な
          具体的数字を要求して目を背けるのは勝手ですが、セキュリティに
          無頓着な管理者を増産させるのはやめてほしい。

          シェア
          親コメント
          • > これは、明らかに改竄などの攻撃被害数が多いのがWindowsサーバではなく
            > Linuxだという情報をどちらかで見かけたんですかね？
            > だから撤回したんでしょうか。

            いや、Linux+Apacheが脆弱でやられてるよって話してるのに
            Windows+IISはどうかってのは直接は関係ない話だから
            ここで話題にしても意味ないかと思いまして。それだけで他意はないです。
            関係ないものを持ち出して話をずらすのは詭弁云々という話もありますので。

            >被害が増えているという現実を受け入れたくないために、いろいろ面倒な
            >具体的数字を要求して目を背けるのは勝手ですが、セキュリティに
            >無頓着な管理者を増産させるのはやめてほしい。

            現実がどうかはともかくとして、身元不明者が具体的な数字を出さないで
            断言すると、うさんくさく思えるものですよ。
            まぁそれを言うなら私もID取ってるだけで身元不明ですが、
            私はなるべく根拠となるソースを示すようにしています。
            ソースは絶対的に信用できるものとも限らないのでこれまた吟味しないと
            いけないんですけどね。根拠レスの妄想と取られるよりソース示した方がいい。
            まぁ、根拠レスに見える発言にいちいちかみつく私もいかがなものかと
            思われているんでしょうけども。ネタ発言とツッコミは芸風なので。

            で、とりあえず最近のWebサーバーのシェアについての記事をぐぐってみたら
            以下のものが出てきました。
            IISのシェア拡大が加速、首位Apacheとの差は10% - Webサーバ活動状況 [mycom.co.jp]
            1年3ヶ月前のスラドのストーリーで 米シェア調査でIIS 6がApacheを追い抜く [srad.jp]ってのもありました。

            まぁ、調査の細かい部分の数字は測定方法がアレだとか、そもそもNetCraftは
            昔MSから資金提供を受けて提灯記事な調査結果を出していたから
            あまり信用できないんじゃないのとかWindows+Apacheというケースもあるよなとか
            あるけどそれはそれとして、傾向としては確かにWindows+IISのがシェアが伸びていて
            Linux+Apacheはシェアが落ちているっぽい、そして攻撃されるのもLinux+Apacheが
            多くなっているみたい、と。はい、それは了解しました。

            ただ、今多くなっているLinux+Apacheへの侵入のうち、今回報じられたrootkitなどに
            よるものがどれくらいあるのか正確な数字は不明ですが、ニュースになるくらいだから
            相当数が含まれていると推測します。あくまで推測だけど。

            で。元発言の
            >「Linux+Apacheは、Windows+IISより安全」という意識が強いのか、
            >最近多いのがLinux+Apacheで運用しているサイトの改竄です。
            というのは、ちょっと違うのではないかと。

            結局のところ、今回話になっている新手の?攻撃が最近活発になっているので
            Linux+Apacheでやられているところが増えているということは確かですが
            「Linux+Apacheは、Windows+IISより安全」という意識が強いかどうかは
            別問題そうですね。少なくとも現時点ではその２点に相関関係は
            発見されていない。

            確かにそう思っているだけで何もしていなかったり逆にセキュリティを
            弱めるようなことをしている管理者はいるでしょうし、
            無能な管理者を嫌うのは理解できます。またそんな管理者が増えるような
            風潮をかもし出すのもよくないでしょう。
            しかし私はそんなことはしていないですね。
            シェア
            親コメント
            • まぁ一晩たって今思うと、今回の侵入・改竄されてるらしいって件は
              (原因が特定されていないから)別として、Linux+Apacheを侵入しやすい
              ものにしている原因で大きいのは、あえて言うとL+Aという組み合わせ
              (を使用するダメ管理者)ではなく、その先のLAMPという構成のうちの
              P、すなわちPHPとそれを利用する初心者の存在じゃないかなー
              #PerlとかPythonではないと思いたい

              ……などと書くとフレームの元かな。
              あくまでPHPとそのユーザーについてそう言われることが多いような
              気がするという印象レベルの話でしかないですが。

              1/26のMatz日記 [rubyist.net]を読んでいてふとそう思った。
              シェア
              親コメント

  • タイトルとタレコミ本文が… (スコア:4, すばらしい洞察)

    by Anonymous Coward on 2008年01月28日 14時28分 (#1287547)
    タイトルが「Linux＋ApacheのWebサーバを標的とするルートキット」で、タレコミ本文中には「Windowsを標的とするJavaScript型のマルウェア」とあるのでちょっと混乱しました。
    リンク先などを読むと、「Linux＋ApacheのWebサーバがクラックされ、Windowsを標的とするマルウェアを配布するように書き換えられた」という理解でよいのでしょうか？
    だとすると、「ルートキット」が標的としているのはWindowsなのでは？と思ったのですが、私が誤解しているのでしょうか？
    どなたか解説いただけると助かります。
    • とくに誤読はされていないと思います。

      > 「ルートキット」が標的としているのはWindowsなのでは？
      「攻撃者の」最終的な標的はWindowsクライアントですね。

      ただ、ルートキットが組み込まれるのはあくまでも（ぜい弱な？）Linux＋Apacheサーバなので、
      注意しなければならないのは一次標的であるLinuxサーバの管理者、ということになります。

      難しいところですが、タイトルの付け方としては妥当なのではないでしょうか。
      シェア
      親コメント

      • Re: (スコア:0)

        by Anonymous Coward
        > ルートキットが組み込まれるのはあくまでも（ぜい弱な？）Linux＋Apacheサーバ

        *BSD+Apacheなサイトは安心してよろしいんでしょうか？

        • Re:タイトルとタレコミ本文が… (スコア:2, すばらしい洞察)

          by otk (8452) on 2008年01月28日 18時07分 (#1287637) ホームページ 日記
          > *BSD+Apacheなサイトは安心してよろしいんでしょうか？

          一般論ですが、リンク先の記事 [opentechpress.jp]を読んだうえで…
          ・「ウチは*BSD+Apacheなサイトだから安心だ！」と考える→管理者として危険
          ・「ウチは*BSD+Apacheなサイトだけど危険かも」と考える→管理者として安心
          という判断でよろしいのではないでしょうか :) 。

          シェア
          親コメント

    • 今北一行 (スコア:2, おもしろおかしい)

      by Anonymous Coward on 2008年01月28日 14時44分 (#1287557)
      「俺を踏み台にしたぁぁ!?」
      シェア
      親コメント

      • Re:今北一行 (スコア:4, おもしろおかしい)

        by Anonymous Coward on 2008年01月28日 15時19分 (#1287570)

        「俺を踏み台にしたぁぁ!?」
        チョットストリームI/Oアタックで十分ってことでせうか？
        シェア
        親コメント

    • Re: (スコア:0)

      by Anonymous Coward
      何らかの手段でLinuxサーバ(Webサーバかどうかは不明)にrootkit導入→Apacheを使ってWindowsをターゲットとしたJavascript型のマルウェアを送信 という流れと理解しましたが……。

      言及の対象が「マルウェア」から「ルートキット」にすげ替えられてますし、open tech pressの日本語記事を読む限り、そのrootkitがapacheを対象しているのかLinuxサーバ一般が対象なのか未確定なのにWebサーバを標的、とするのもどうかと思います。表現が下手か、わざとなら悪質なミスリードでしょうね。

      元タイトルの情報を入れた上で書き換えるなら、「Apacheからマルウェアを送信する、Linuxサーバを標的としたルートキット」あたりでしょうか。rootkit自身がマルウェアを送信しているか不明なので、これでも不正確ですけど。

    • Re: (スコア:0)

      by Anonymous Coward
      > だとすると、「ルートキット」が標的としているのはWindowsなのでは？
      > と思ったのですが、私が誤解しているのでしょうか？

      ？
      リンク先を読むと、ルートキットが標的としているのはLinux+Apache環境で、
      Windowsへの攻撃に使う踏み台にしているというようにしか読めない文が
      書いてありましたが、なぜこのような誤解確認のコメントが「すばらしい洞察」
      として次々とプラスモデレートされていくのか不思議です。

      どなたか解説いただけると助かります。

      今回の場合、ルートキットの標的はLinuxサーバです。
      ルートキットとは、そのシステムに侵入し、存在を隠したり、管理者権限を
      奪取したりするツールのことですよね。
      その結果得たリソースを使って悪者がWindowsへのマルウェアばらまきを
      しているという話です。
      ルートキットの目的は、Linuxサーバの管理者から隠匿することですよ。

  • 大変だ！ (スコア:3, おもしろおかしい)

    by little( (31297) on 2008年01月28日 16時33分 (#1287602) ホームページ 日記
    >また、以下のtcpdumpコマンドでも感染していないかどうかをチェックできるそうだ。

    やってみた。

    # tcpdump -nAs 2048 src port 80 | grep "[a-zA-Z]\{5\}\.js'"
    bash: tcpdump: command not found


    not foundって事は、トロイは見つからなかったって事ですね！





    ってのは冗談として、結果がどうなったらダメで、どうだったら安心なの？

    • Re:大変だ！ (スコア:1, 興味深い)

      by Anonymous Coward on 2008年01月28日 23時41分 (#1287839)
      みた。

      # tcpdump -i **** -nAs 2048 src port 80 | grep "[a-zA-Z]\{5\}\.js'"
      tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
      listening on ****, link-type LINUX_SLL (Linux cooked), capture size 2048 bytes
      …(暫くして)
      document.writeln("<SCRIPT TYPE='text/javascript' SRC='http://uac.advertising.com/wrapper/aceUAC.js'></SCRIPT>");
      って、ビンゴ?
      シェア
      親コメント

      • Re:大変だ！ (スコア:1, おもしろおかしい)

        by Anonymous Coward on 2008年01月29日 0時29分 (#1287871)
        > ビンゴ?

        「返事を書く」ってリンクをクリックしたら、うちでも再現しました。
        シェア
        親コメント

    • Re: (スコア:0)

      by Anonymous Coward
      「パケットが飛んでたらダメ(改ざん済み)」で
      「パケットが飛んでなかったら安心」ってことでしょう。

      上でも言及されてますが、まずは(ルートキットが更新されていない限り)
        mkdir 1 をした方が手っ取り早そうです。

    • Re: (スコア:0)

      by Anonymous Coward
      「ないことを証明する」というのは「悪魔の証明」と言って論理的に無理で(ry

      • Re: (スコア:0)

        by Anonymous Coward
        ネタにマジレスですが、この場合は、特定のマルウェアを探すことが目的ですし、探すドメインが限られているので、「悪魔の証明」にはならないと思います。

  • オプションについて (スコア:1, 参考になる)

    by Anonymous Coward on 2008年01月28日 14時39分 (#1287554)
    -A オプションは、2003/11/12にリリースされたver3.8以降のみに
    存在するようですので、それ以前のバージョンをお使いの方は
    オプションエラーが発生します。

    ちなみにChangeLogには、

    New -A flag -print ascii only

    とありますので、無くても問題無いオプションかと思います。
typodupeerror

最初のバージョンは常に打ち捨てられる。