国内ホスティングのっとりを主張する投稿について調べてみた

2019年1月19日、SNS上で日本国内のホスティングをのっとり、大量のサイトを改ざんしたと主張する投稿がありました。
その後大塚商会からこの件に関連するとみられる不正アクセスの被害が発表されました。ここでは関連する情報をまとめます。

大塚商会の公式発表

インシデントタイムライン

日時	出来事
2019年1月19日10時頃	大塚商会のホスティングで不正アクセス発生。
同日 13時頃	Pastebin上に国内ホスティングをハイジャックしファイル蔵置したと掲載される。
2019年1月20日 1時頃	大塚商会が不正アクセスを検出し対処を完了。
2019年1月23日	大塚商会が不正アクセス被害とその対処が完了したことを発表。
2019年1月25日	大塚商会が不正アクセスの詳細を発表。

不正アクセスの手口まとめ

大塚商会ホスティングサービスへの不正アクセス（約5,000サイト改ざん）の手口まとめ pic.twitter.com/pcCqkW4p4x
— piyokango (@piyokango) January 25, 2019

特定の利用者が独自に設置したWordpressのIDが侵害されたのがキッカケ。
独自設置のWordpressのアカウント情報が漏れた経緯は大塚商会側は把握していない。
関係は不明だが何らかのブルートフォース攻撃が発生していた。
CMSを踏み台にホスティングサービスが稼働するサーバーOSに脆弱性があり、それが悪用された。
どのようにCMSを踏み台にして攻撃したかの経緯は明らかにされていない。
どのような脆弱性が悪用されたのかの詳細は明らかにされていない。
大塚商会は脆弱性非開示はセキュリティインシデントであるためを理由にしている。
Pastebinに掲載された内容と今回の事案との関連は言及されていない。

「Legion BOmb3r」がホスティングハイジャックを主張

「Japanese Hosting Hijacked By Legion BOmb3r」というタイトルでPastebin上に大量のWebサイトの一覧が掲載された。
内容は国内のホスティングをハイジャックし5000件以上のサイトを対象にしたと主張するものであった。

Facebookページ「ErrOr SquaD」でPastebinに掲載した内容を宣伝する投稿が行われた。

改ざんしたと主張するサイト数 5000件以上

Pastebin上に掲載されたWebサイトの件数は5,052件。
ほぼ全てのサイトにBD.htmlを蔵置したとしてこれを含むURLを掲載されている。

主なドメインの内訳は以下の通り。

ドメイン	件数
.go.jp	1件
.ac.jp	1件
.co.jp	2,473件
.com	1,002件
.net	81件
.ne.jp	5件
.or.jp	118件

以下10件はドメインとして記述されたものではなかった。

http://localhost/BD.html（4件存在）
http://data/BD.html（2件存在）
http://wp-print.php/BD.html
http://LS/BD.html
http://output2.txt/BD.html
http://BD.html/BD.html