SIP関連機器を悪用する攻撃に注意--5060/UDPポートをスキャン、辞書攻撃

　JPCERTコーディネーションセンター（JPCERT/CC）は2月8日、セキュリティ対策が不十分なサーバが侵入され、第三者への攻撃に使われるといった事例の報告を受けていることから注意喚起を発表した。情報提供者からの情報と攻撃者によって設置されたプログラムの提供を受けて調査した結果、攻撃の流れが判明したという。

　攻撃者は、何らかの方法で侵入したサーバにプログラムを設置し、第三者が運用しているSIPサーバなどのSIP関連機器に対し、主にSIPプロトコルで使用されるポート「5060/UDP」を対象としたスキャンや辞書攻撃を実施する。攻撃者は、このプログラムで窃取したSIPアカウント情報をメールなどで外部に送信し、国際電話などの不正な発信に使用している可能性がある。

　攻撃者によってSIPサーバなどのSIPアカウント情報が窃取された場合、第三者にネット経由で不正な発信が行われ、国際電話などの高額な請求を受ける可能性がある。今回のプログラムを使ったと思われるスキャンは、2010年7月頃から定点観測システム「ISDAS」で観測されており、また日本以外の地域でも同様の観測傾向が見られることがアジア・太平洋インターネット定点観測情報共有プロジェクト「TSUBAME」（JPCERT/CCが事務局を担当）でも観測されている。

　報告された事例から、攻撃者が設置したプログラムは「/.old/aloha」のファイルパスにsvmapやsvwar、svcrack、svreport、svcrashなどのファイル名で存在する可能性が高く、これらのプログラムが動作していないか確認してみること、またファイアウォールや不正侵入検知システム（IDS）のログに主に5060/UDPを対象としたスキャンを行った形跡がないか確認するよう呼びかけている。

　JPCERT/CCでは注意点として、OSやアプリケーション、ウェブアプリケーションに脆弱性があるバージョンを使用しない、最新版で未修正の脆弱性があるものについてはベンダーが提供する回避策や軽減策を実施する、サーバやファイアウォールなどで適切なアクセス制限を行う、ログインアカウント情報やSIPアカウント情報を空欄や単純な文字列にしない――を挙げている。

予測される攻撃の流れ（出典：JPCERT/CC）
※クリックすると拡大画像が見られます