［2］DNSの悪用で不正サイトに誘導

　世界100カ国以上、感染コンピュータ400万台以上という史上稀に見るサイバー犯罪で悪用されたのは、インターネットを運営、利用するのに不可欠なDNSの仕組みである。技術的には「DNS Changer」と呼ぶ不正プログラムを使用した。Rove DigitalとEsthostはこれらの仕組みを巧みに利用して莫大な金銭的利益を不正に得た。

　DNSサーバーは、判読可能な文字列で構成するドメイン名を、インターネット上のコンピュータに割り振られているIPアドレスに変換する役割を担う（図1）。例えば、Webブラウザーを使って「www.trendmicro.com」と入力しWebサイトを閲覧する際にも、裏ではドメイン名からIPアドレスに自動的に変換している。

図1●DNSの仕組み

　ほとんどのインターネット利用者は、契約しているインターネット・サービス・プロバイダ（ISP）が設置して運営しているDNSサーバーを利用することになる。つまり、ISPが所有するDNSサーバーをインターネット利用時のアドレス参照先として利用することになる。

　今回のサイバー犯罪の中で構成されたボットネットは、DNS設定が別のIPアドレスに不正に変更されたコンピュータで構成されていた。DNS設定を不正に変更するトロイの木馬型の不正プログラム、いわゆる「DNS Changer」によってユーザーが気づかぬうちに改変されていたのだ。その結果、ユーザーはISPのDNSサーバーではなく、全く別のDNSサーバーを使わされる状態だった。

　この別のDNSサーバーは、不正な第三者によって計画的に設置されたものである。特定のドメインが全く関係のない不正なIPアドレスに関連付けられるよう細工が施されている（図2）。DNS Changerに感染したユーザーは、本来意図していなかった不正なWebサイトに誘導されることになる。これらDNS Changerに感染したユーザーが構成するネットワークは、最終的には世界100カ国以上に400万台以上の感染コンピュータをもつ巨大なボットネットとして形成されたのである。

図2●不正プログラムにより改変されたDNS

　このDNS設定を不正に変更する「DNS Changer」はあくまで犯罪を成立させるための手法の一つに過ぎない。さらに着目すべき攻撃手法は、この感染コンピュータを利用して実際に金銭的利益を得るためのもう一つの仕組みにある。それが「クリックハイジャック」と「偽広告」を実現するインフラである。これはインターネットのインフラを直接コントロールできる立場にあったサイバー犯罪グループだからこそ成し得たものである。

　次回はクリックハイジャックと偽広告について詳細を解説する。