ssh辞書攻撃の増減にみるウクライナ侵攻危機とサイバー攻撃の関係
2022/2/14、管理しているサーバへのsshへの辞書攻撃が激減していることに気がついた。攻撃が減ったのは2022/2/4辺りからだ。気になる現象なので取り急ぎまとめてみた。
そういえば毎日1500～数千件来てたssh攻撃、先週水曜日頃から500件前後に低下してる。クラッカー諸氏はロシアのウクライナ向けサイバー攻撃にかり出されてるんとちゃうやろな？
— Kawashima Takashi (@pstgtom) February 13, 2022
ssh(Secure Shell)とは、LANの内外から文字コマンドでサーバを管理するための暗号通信規格で、事実上のサーバのデフォルト管理窓口だ。ここを乗っ取られるとサーバのあらゆる機能が攻撃者の手に落ち、サービスを提供する端末の情報が抜き取られるだけでなく、いわゆる｢踏み台｣にされて世界の端末への攻撃基地にされてしまう畏れがある。
そのsshへの攻撃のひとつに、ssh接続パスワードを、辞書の頭からお尻まで全て使って探り当てようと試みる攻撃がある。これを辞書攻撃(Brute force attack)という。辞書攻撃を試し終えるのには何年もかかるようで、今回攻撃激減に気づいたサーバにも、構築以来、20数年間途切れることなく攻撃が続いている。
冒頭に書いたようにこの攻撃の水準が2022/2/4以来急激に低下した。が、2022/2/15には再び攻撃が増加し、今年に入って以来の攻撃水準に復元した。
気がつけばssh辞書攻撃が2/15からまた増加傾向だな。2/15までにウクライナクラッキング需要が一段落したのかな？
— Kawashima Takashi (@pstgtom) February 18, 2022
ssh辞書攻撃を監視するために、攻撃回数などをワンライナーで集約したログをメールで毎日受け取るようにしている。確認したらメールは捨てているが、この機にimapのゴミ箱漁って残っていた分を拾い出した。
たたまたま、東京オリンピック2020の開会直前からのログが残っていたたため、面白そうだったのでそのデータからグラフを作ってみることにした。出来たグラフを見ると東京オリパラ前後には攻撃が激増していたことがわかる。
東京オリパラ後は比較的控えめ(それでも千回/日前後)だったのが、年を越してから増え始め、2/4辺りから逆にガクンと減り、2/15にまた急増しているのがわかる。
2022年に入った後の分だけでみると、1/12と1/14で跳ね上がった後、1/20-2/4まで回数が増え、2/4-2/15まで激減してその後回数がまた急増する形になっている。
上記のようにssh攻撃はサーバを乗っ取って様々なサイバー攻撃を世界に仕掛ける目的でも行われる。事実、最初のグラフの通り、東京オリパラの際に攻撃水準が激増していたことを診れば一目瞭然、世界的なイベントがトリガーとなってssh攻撃が活発になる現象が現実にある。
激増したのではなく、攻撃が激減したことの解釈は難しいが、2/4から減少したのは北京オリンピック開催日だったからかも知れない。しかし北京オリンピックがターゲットだとすれば2/20までは攻撃水準は下がったままでないとおかしい。実際には2/15から攻撃水準が急激に上がっている。
一つの可能性として、ロシアと協力しているクラッキング集団が、2/15からウクライナにDDoS攻撃を仕掛ける踏み台探しに駆り出されたとも考えられる。だとすればロシアは本当に2/16に侵攻するとスケジュールしていた可能性がある。
実際に今回のロシアによるウクライナ侵攻危機に際しても、現地時間の2022/2/15、ウクライナ国防省web、ウクライナ軍web、国立銀行Oschadbankや大手銀行PraivatBankがDDoS攻撃などを受けたとのこと。2022/2/19現在、バイデン政権はこのサイバー攻撃はロシアが実行したと結論、英政府もロシア軍参謀本部情報総局（ＧＲＵ）の犯行だと断定したとのことだ。
今のところ真偽の程は断定出来ないし、断定出来る日が来るかどうかも判らないが、ともあれこの間のロシアのウクライナ侵攻危機と並行して気になる現象が起こっていたことは確かである。ただの偶然の可能性も無くはない。が、それにしてはピタリと期日が一致しすぎている。偶然だとは現状ではあまり考えにくいと私は思っている。
ウクライナ国防省のWebサイトにDDoS攻撃 軍サイトや銀行も被害に 攻撃者は不明https://t.co/nJUybz4Zf8 pic.twitter.com/NO4KeL9zo4
— ITmedia NEWS (@itmedia_news) February 16, 2022
