【セキュリティニュース】「メールを読むだけでルーターが設定変更される」、驚異の新攻撃出現 （ITPro)

米シマンテックは2008年1月22日（米国時間）、ブロードバンドルーターの設定を勝手に変更する悪質なメールが確認されたとして注意を呼びかけた。
メールを開くだけでルーターのDNS設定が変更され、ある銀行のWebサイトにアクセスしようとすると、偽サイトへ誘導される恐れがある。
その結果、個人情報などを盗まれる危険性がある。

WebページやHTMLメールに悪質なHTMLとJavaScriptを仕込んで、それらを閲覧したユーザーのブロードバンドルーターの
設定を変更する攻撃は「ドライブバイ・ファーミング（Drive-by Pharming）」と呼ばれる。

この攻撃では、ブロードバンドルーターのDNS設定を変更し、攻撃者のDNSサーバーなどを参照させるようにする。これにより、ファーミング詐欺を可能にする。
具体的には、ユーザーが本物のWebサイトのURLをWebブラウザーに入力しても、攻撃者が意図した偽サイトに誘導されてしまう。
偽サイトの目的は個人情報の詐取。クレジットカード番号やパスワードなどを入力させて盗む。

シマンテックでは、およそ1年前に、こういった攻撃が可能であることを公表。この攻撃手法を「ドライブバイ・ファーミング」と命名するとともに
注意を呼びかけていた。そして今回、ドライブバイ・ファーミングの実例が初めて確認された。

今回確認されたドライブバイ・ファーミングはHTMLメールを使ったもの。メールは、グリーティングカード（e-Card）の通知メールに見せかけている。
グリーティングカードサービスを提供するWebサイトをかたり、受信者あてにグリーティングカードが届いたとする。

このメールにはある細工が施されている。HTMLメールに対応したメールソフトで表示させると、メールに仕込まれたコードが解釈されて
メールソフトからブロードバンドルーターへ設定変更のデータ（HTTP GETリクエスト）が送信される。それによって、ルーターのDNS設定が変更される。

具体的には、メキシコのある有名銀行のWebサイトにアクセスしようとすると、その銀行サイトに見せかけた偽サイトに誘導されるように
設定を変更。偽サイトでは個人情報の入力を要求する。

（続く）

（ソース続き）


メールに仕込まれた設定変更のデータは、メキシコでよく使われているルーターのモデルを狙ったものだという。
これらから、今回の攻撃はメキシコのユーザーを狙ったものである可能性が高い。

ドライブバイ・ファーミングの被害に遭わないための対策は、ブロードバンドルーターのパスワードを変更すること。
ほとんどのルーターでは、設定変更にはパスワードが必要だが、ユーザーの多くは初期設定のパスワードを変更していない。
初期設定のパスワードは広く知られているため、簡単に破られてしまう。

このためシマンテックでは、設定変更を強く勧めている。ただし、ルーターの中には設定変更にパスワード入力を必要としないものがあるので要注意としている。

加えて、パスワードを変更する前には、ルーターの設定をリセットすることを勧めている。これは、DNS設定などを既に変更されている場合を想定した対処だ。

いわゆる「セキュリティのセオリー」を守ることも対策として勧めている。具体的には、「信頼できないサイトにはアクセスしない」
「信頼できる人からメールであっても、メール中のリンクをクリックする際には用心する」「覚えのないメールは削除する」
「セキュリティ対策ソフトを利用する」ことなどを改めて推奨している。

なお、今回の実例が確認されたドライブバイ・ファーミングは、同社が2008年1月21日に警告した攻撃とは別物。
1月21日に警告した攻撃手法はFlashファイルを使ったもので、ドライブバイ・ファーミングの“発展形”。この手法を用いた実際の攻撃は、まだ確認されていない。


ソース：http://itpro.nikkeibp.co.jp/article/NEWS/20080123/291817/

※依頼スレ#573より

またWindowsか

真犯人はノートン先生

Thunderbird使えばいい

Thunderbirdだと勝手にゴミ箱に突っ込んでくれるから
メールを踏まずに捨てられる

おれもadminのまんまだわ

ルーターのアドレスを
192.168.0.1を使わなければいい

うーん、何となくお前らこの話理解してないんじゃないか？

>>7
それどうすればいいの

メールはテキスト形式だけにすれば
問題ないんじゃね？

>>9
設定できる奴はできるだろ
Airstationシリーズとかは出来るだろ

プライベートIPアドレスっていくつかパターンがあるからそのへんをつかえ
    * 10.0.0.0〜10.255.255.255（クラスA）
    * 172.16.0.0〜172.31.255.255（クラスB）
    * 192.168.0.0〜192.168.255.255（クラスC）

ブラウザにしてもメーラーにしても
なんでJavaScriptが実行できる状態にしておくんだろう

>>11
仮にこの攻撃が、PCの参照するDNSのアドレスに対して送信するようになっていた場合には
ローカル側のアドレスを変えてもアウトなので、やっぱりルータに管理者パスワードを
付けておくのがいまのところ一番いいんじゃないか？

バッファローの例
http://buffalo.jp/download/manual/html/air970/top/chapter18-kisyu.html

>>13
パスワードはしてるけどな

ないアドレスを叩かせると
タイムアウトまで返って来ないので
それで善からぬ悪戯が仕組まれているってのが分る

webコンソールにログインパスワードかければいいだけ

メールしなきゃいいねん

NTTの寄越すCTUはIDとパスワードがめちゃめちゃな上に
変える事すら許されていないから大丈夫！！１１！！！

HTMLメール読まなければ良いこと。
MSもいいかげん、Outlook ExpressはHTML不可にしろよ。