2023年春に起きたDNS水責め絨毯爆撃の観察記録

中京大学工学部 鈴木常彦
Jul 7, 2023 IOT62
http://www.e-ontap.com/misc/iot62slide/

本発表について

留意事項

DNS ハニーポット

2018 年 9 月から Unbound に以下の制限を施してハニーポットとしてのオープンリゾルバを運用


DNSSEC の無効化 (EDNS0 DO bit off) は Unbound ソースの util/net_help.h への以下のパッチによる

< #define EDNS_DO 0x8000 /* Dnssec Ok */
---
> #define EDNS_DO 0x0000 /* Dnssec NG */

パケットカウント

ipfw を用いて以下をカウントしている

クエリ数推移

2018年からの推移

クエリ数推移

3月からの推移

トラフィック (outbound udp 53)

水責めと判断する理由

応答障害の検出

Unbound のログから "all servers for this domain failed, at zone ..." をゾーン毎にカウント

Jun 05 17:51:47 query: *.*.194.141 seibp.pref.*****.jp. A IN
Jun 05 17:52:20 error: SERVFAIL : all servers for this domain failed, at zone pref.*****.jp. 
upstream server timeout
Jun 05 17:52:20 reply: *.*.194.141 seibp.pref.*****.jp. A IN SERVFAIL

Web への掲示

   DDoS Victims Top 50 of Today  -- Sat Jul  1 19:01:07 JST 2023

   count zone                                          time (first seen - last seen)
------------------------------------------------------------------------------
   20641 hereyourhotlady.com.                          Jul 01 00:00:03 - Jul 01 17:06:19
   17166 homesconnect.com.                             Jul 01 00:06:01 - Jul 01 17:06:15
    8329 ajila.com.                                    Jul 01 04:03:17 - Jul 01 16:24:10
    4922 AF.MIL.                                       Jul 01 00:06:15 - Jul 01 17:06:17
    4134 sendcloud.es.                                 Jul 01 00:06:05 - Jul 01 04:28:58
    3738 blue.ch.                                      Jul 01 06:28:18 - Jul 01 11:17:16
    3494 OSD.MIL.                                      Jul 01 02:33:54 - Jul 01 17:06:20

qnameの特徴

辞書を使用してランダムに生成された文字列と考えられる。辞書の使用はランダムドメイン名判定を回避するためか?

iba0afr.e-nyusatsu.pref.*****.jp.
oicirt01-gmail.mc.pref.*****.jp.
idp.iba0a.e-nyusatsu.pref.*****.jp.
log-app03.datapf.pref.*****.jp.
iba0aidp.e-nyusatsu.pref.*****.jp.
app04lyncdiscover.datapf.pref.*****.jp.
ns3-imap1d.mfis.pref.*****.jp.
contacts-app05.datapf.pref.*****.jp.
www-imap5d.asmile.pref.*****.jp.

応答障害 (3月15日 - 5月31日)

応答障害エラー/日

最小: 102,306
最大: 566,757
平均: 254,540
標準偏差: 110,039

応答障害ゾーン/日

最小:    707
平均:  1,982
最大: 10,116
標準偏差: 1,656

障害ゾーン総数 142,739 (うち jp は 585)

平均 250,721回/日 のレートリミットがかかった上での数字である。 ファイアウォールでカウントしたポート 53 への UDP パケット数は約 1万 / 5分 = 280万/日 (約 30 qps) であった。リミットされたクエリの約10倍が到来している。

クエリ数の推移

クエリ数

応答障害数の推移

障害の時間帯 (JP)

影響のある時間帯を考慮しているようには見えない

TLD別の応答障害ゾーン数 Top 40

(3/15 - 5/31)
  1. com 45123
  2. arpa 14848
  3. fr 6204
  4. net 5957
  5. de 5730
  6. org 4979
  7. uk 2202
  8. se 2112
  9. br 2043
  10. info 1993
  11. it 1590
  12. ca 1428
  13. ch 1393
  14. eu 1389
  15. xin 1381
  16. ru 1371
  17. cn 1371
  18. es 1351
  19. us 1274
  20. biz 1274
  21. tr 1215
  22. lv 1163
  23. nl 1102
  24. dk 1063
  25. be 958
  26. pl 957
  27. au 948
  28. lt 939
  29. ro 916
  30. in 821
  31. gov 777
  32. za 738
  33. at 667
  34. tech 663
  35. mx 623
  36. co 623
  37. xyz 605
  38. jp 585
  39. sk 580

JPドメイン (ゾーン単位) での応答障害カウント Top 30

(3/15 - 5/31)
  1. at.nttdocomo.co.jp. 23845
  2. pref.aichi.jp. 13758
  3. pref.okinawa.jp. 9883
  4. jil.go.jp. 9845
  5. pref.nara.jp. 9639
  6. pref.osaka.jp. 8882
  7. takashimaya.co.jp. 8704
  8. pmda.go.jp. 7528
  9. nies.go.jp. 6837
  10. enekoshop.jp. 6710
  11. hane-line.co.jp. 6656
  12. saisoncard.co.jp. 6642
  13. pref.toyama.jp. 6146
  14. android.jp. 4694
  15. v4.cyber.ipa.go.jp. 4513
  16. pref.kagoshima.jp. 3451
  17. boj.or.jp. 3408
  18. animate-onlineshop.jp. 3294
  19. yamaha.co.jp. 3222
  20. nta.co.jp. 2132
  21. csl.sony.co.jp. 1878
  22. post.japanpost.jp. 1645
  23. gaga.ne.jp. 1048
  24. umin.ac.jp. 904
  25. gov-online.go.jp. 761
  26. idc.nttdocomo.co.jp. 723
  27. city.osaka.lg.jp. 655
  28. ntt-east.co.jp. 630
  29. prtls.jp. 505
  30. montegrappa.jp. 453

攻撃元の分析 (1)

3月のIPアドレス分布

TCP接続元の死活監視グラフ

4/13 に調査したTCP接続元を ping で継続的に死活監視

攻撃元の分析 (2)

初日のIPアドレス数の推移

  2 Mar-14 08:00-08:59
 34 Mar-14 09:00-09:59
227 Mar-14 10:00-10:59
326 Mar-14 11:00-11:59

3月13日 89 -> 3月14日 1,541 -> 15日 2,756

その後のIPアドレス数/日

最小: 1,241
平均: 2,000
最大: 3,017
標準偏差: 484

総IPアドレス数 (3月15日-5月31日) 60,335

TCP 3,862 / IPアドレス総数 26,514 = 15% (5月分)

588 のTCP接続元のサンプリング分析 (4月5日) では 78% が米国の某大手データセンタ

攻撃例

3/22 mofa.go.jp (外務省) 攻撃の推移

3月22日 07:45 - 09:28 クエリ総数 1,632 (ratelimited)

6/5 pref.osaka.jp (大阪府) 攻撃の推移

6月5日 17:34 - 6月6日 01:44 クエリ総数 7,367 (ratelimited)

攻撃元はいずれも 1 IP アドレスのみで、1/4 qps (リミット前でも推定 数qps) の緩慢な攻撃であり膨大な数 (少なくとも数千) の踏み台の使用が推察される。

まとめ

参考リンク・文献