【ITニュース解説】Detour Dog Caught Running DNS-Powered Malware Factory for Strela Stealer

Detour Dogというサイバー攻撃集団が、Strela Stealerという情報窃取型マルウェアを配布する大規模なキャンペーンを展開していることが明らかになった。この脅威は、DNS（Domain Name System）を悪用してマルウェアの配布と運用を行っている点が特徴で、システムエンジニアを目指す皆さんにとって、サイバーセキュリティの現実と最新の攻撃手法を理解する上で重要な事例となる。

まず、今回の主役である「Detour Dog」とは、特定のサイバー攻撃活動を組織的に行う脅威アクター、つまりサイバー犯罪集団の通称だ。彼らは「Strela Stealer」と呼ばれる種類のマルウェアをばらまき、標的のコンピューターから重要な情報を盗み出すことを目的としている。情報窃取型マルウェアは、ユーザー名、パスワード、クレジットカード情報、個人情報など、さまざまな機密データを不正に入手するために設計されており、一度感染するとその被害は甚大だ。

この攻撃キャンペーンの背後には、セキュリティ企業Infobloxの調査がある。Infobloxは、Detour DogがStrela Stealerの初期段階で使われる「StarFish」というバックドア型マルウェアをホストするドメインを管理していることを突き止めた。ここで「バックドア」とは、コンピューターシステムに正規の手順を踏まずに侵入したり、一度侵入した後に再びアクセスするための裏口のようなプログラムを指す。StarFishは、Strela Stealer本体を送り込むための足がかりとして機能するようだ。つまり、まずStarFishがシステムに侵入し、その後にStrela Stealerがダウンロードされ、情報窃取活動が本格的に開始されるという二段階の攻撃構造になっていると考えられる。

特に注目すべきは、「DNS-Powered Malware Factory」という表現が使われている点だ。DNSとは、私たちがウェブサイトにアクセスする際、ドメイン名（例: example.com）をコンピューターが理解できるIPアドレス（例: 192.168.1.1）に変換してくれるシステムのことだ。インターネットの「住所録」や「電話帳」のような役割を果たしている。通常、DNSは正当な通信に使われるが、サイバー犯罪者はこの仕組みを悪用することがある。

Detour Dogは、このDNSを「マルウェアファクトリー」のように利用している。これは、単にマルウェアを配布するだけでなく、DNSを利用して攻撃のインフラを構築し、マルウェアの生成、配布、そして感染したコンピューターとの通信を継続的に行う工場のような体制を整えていることを意味する。具体的には、彼らは不正なドメイン名を多数取得し、そのドメインを通じてStarFishやStrela Stealerをダウンロードさせたり、感染したコンピューターが窃取した情報を送信するための「コマンド＆コントロール（C2）サーバー」として利用したりする。

なぜDNSが悪用されるのかというと、いくつかの理由がある。第一に、DNS通信はインターネット上のあらゆる通信の根幹をなすため、セキュリティシステムによる検知をすり抜けやすいという側面がある。一般的なファイアウォールやIDS（Intrusion Detection System：侵入検知システム）は、悪意のあるIPアドレスへの直接的な通信はブロックしやすいが、正規に見えるDNSクエリの中に隠された不正な通信を見つけ出すのは難しい場合がある。第二に、DNSは柔軟性が高く、IPアドレスが変更されてもドメイン名を通じて常にC2サーバーと通信を維持できるという利点が攻撃者側にある。例えば、攻撃者が使っていたC2サーバーのIPアドレスがブロックされても、別のIPアドレスに変更し、DNSレコードを更新するだけで、感染したコンピューターは引き続き新しいC2サーバーと通信できてしまうのだ。

Infobloxの追跡によると、Detour Dogは2023年8月から活動を続けており、この脅威がかなり長期にわたって組織的に行われていることがわかる。彼らが自らドメインを管理し、攻撃の初期段階から最終的な情報窃取までの一連のプロセスをコントロールしていることは、彼らの攻撃能力と持続性の高さを示している。このような脅威アクターは、常に新しい手法や脆弱性を探し、セキュリティ対策の隙を突こうと試みる。

このニュースから、システムエンジニアを目指す私たちは、サイバーセキュリティの基本的な知識だけでなく、DNSのようなネットワークの基盤技術がどのように悪用され得るのか、その具体的なメカニズムを理解することの重要性を学ぶことができる。単にウイルス対策ソフトを入れるだけでは不十分で、ネットワークレベルでの監視、異常なDNSクエリの検出、そして脅威インテリジェンスを活用した情報収集がいかに重要であるかを痛感させられる。また、攻撃が多段階で行われ、バックドアを使って主要なマルウェアを送り込むといった巧妙な手口が常態化していることも認識しておくべきだろう。

今回のDetour DogとStrela Stealerの事例は、サイバー攻撃が単なる愉快犯的な行為ではなく、高度な技術と組織力を持った犯罪ビジネスとして行われている現実を浮き彫りにしている。システムを設計・構築する際には、常にセキュリティを最優先に考え、潜在的な脅威に対して多層的な防御策を講じる必要がある。DNSのような基本的なプロトコルの悪用も視野に入れ、セキュリティ意識を高く保ちながら、安全なシステム作りを目指すことが、未来のシステムエンジニアにとって不可欠なスキルとなるだろう。