不正DNSへ変更する「GhostDNS」、10万台以上が被害 - 70種類以上のルータが対象

さらに中心的なモジュールとも言える「PyPhp DNSChanger」は、「Python」と「PHP」を用いて開発されており、69種類のスクリプトを備え、47種類のルータに対して攻撃が可能だった。

同モジュールの多くはGoogleクラウドに配置されており、100台以上のサーバ上で稼働が確認されたという。ウェブAPIを通じて攻撃者は外部より操作でき、ルータの認証ページに対するブルートフォース攻撃にくわえ、脆弱性を利用して認証を回避しようとしていた。

「Masscan」によるポートスキャンにくわえ、「Shodan」のAPIサービスを悪用して、稼働しているルータのIPアドレスを収集して攻撃を展開。感染させた端末を確認するためのインタフェースも用意されていた。

利用するShodan APIキーは、正規の研究プロジェクトがGitHub上で利用していたものと同一であり、攻撃者が盗み出した可能性があるとQihoo 360は指摘している。

「PyPhp DNSChanger」に用意されたインタフェース（画像：Qihoo 360）

（Security NEXT - 2018/10/03 ）ツイート