通常のフィッシング攻撃では、リンクに含まれる名前（www.fakebank.com）は、w.x.y.z（EvilServerのアドレス）に解決される。このため、ユーザーがこのリンクをクリックすると、EvilServerに直接接続することになる。しかしFast-Fluxでは、www.fakebank.comはいかなる形でもEvilServerを参照しない。

　というのは、www.fakebank.comに関連したDNSサーバは、ラウンドロビンDNSと呼ばれる手法を用いるからだ。ラウンドロビンDNSは、1つの名前に対するDNSクエリへの応答として多数のIPアドレス（5つ以上の場合が多い）を返すことができる。ラウンドロビンDNSそのものが悪いわけではない。これは複数のサーバ間で負荷を分散するために開発された技術だ。しかし、Fast-FluxはラウンドロビンDNSを悪用してwww.fakebank.comに対して複数の応答を返し、このサイトに複数のIPアドレスを対応付けることができる。これらのアドレスを「a.b.c.d」「e.f.g.h」「i.j.k.l」などと呼ぶことにする。

　そして、ユーザーがwww.fakebank.comというリンクをクリックすると、ユーザーのブラウザはこれらのIPアドレスの1つに対応したWebサーバに接続しようとする。しかし、これらのアドレスに対応したマシンは実際にはボットに感染したマシンで、透過型Webプロキシを動作させている。Webリクエストを受信すると、感染マシン上で動作している各Webプロキシはw.x.y.zにあるEvilServerにリクエストを送信する。

　だがそれだけでは終わらない──何しろこの手法は「Fast-Flux」（急速な流転）と呼ばれているのだ。攻撃者はラウンドロビンDNSレコードのTTL（Time To Live）を非常に小さな値に設定できる（DNSのTTLとは、DNSクライアントが廃棄されるまでの間、レコード内に保持される時間を示す）。悪党がFast-Fluxを利用すれば、DNSレコードを素早く時間切れにできる（TTLが3～10分に設定されることが多い）。それだけでなく、彼らはプロキシとして機能するほかのボット感染マシンのIPアドレスを使って、新しいDNSエントリを絶えず追加するのだ。

　DNSとプロキシを利用したこの技は、捜査員がEvilServerを見つけるのを難しくする。例えばa.b.c.dというIPアドレスにあるマシンを停止するよう各ISPに要請しても、それはWebプロキシが動作しているユーザーの感染マシンであり、実際の偽銀行ではない。

　捜査員がISPを説得してa.b.c.dへのトラフィックを遮断させたとする。しかし、彼がそのリンクを再びクリックすると、今度はe.f.g.hに移動し、偽銀行がまだそこに存在することを知るのだ。捜査員はもぐらたたきのように多数のプロキシを次々とつぶしていくことはできるが、悪党は短いTTLでIPアドレスを補充し続け、これらのアドレスを順番にwww.fakebank.comという名前に割り振るのだ。

　それならば、捜査員は悪党がwww.fakebank.comの名前解決に用いているDNSサーバを停止させればいいのではないだろうか。しかし、こういった停止要求を無視する企業が提供している商用DNSサービスを利用している悪党もいる。それに、Fast-Fluxを利用する攻撃者は、サイバー犯罪法が甘い（あるいは存在しない）国のISPを選ぶものだ。また、攻撃者たちはそのドメインに対して権威を持つDNSサーバを絶えず変えるようにFast-Flux手法に工夫を加えたりしているのだ。

エンタープライズ環境でのFast-Flux攻撃の調査

　大抵の企業は、自社に対してFast-Flux手法が使われているかどうかなど知る必要はない。フィッシングおよびボット全般に対処するだけで十分だ。すなわち、以下のような対策を講じればいいのだ。

• 不正なリンクをクリックしないようユーザーを教育する
• パッチおよびウイルスシグネチャを更新する
• ファイアウォールを出入りするネットワークトラフィックを制限する

　とはいえ、Fast-Flux攻撃手法が用いられている可能性をどうしても調べたいのであれば、その方法を幾つか紹介しよう。「DNSstuff Tools」にアクセスし、フィッシングメールのURLを「Deobfuscator」フィールドにペーストする。このシンプルなWebアプリケーションは、不自然にエンコードされたURLを人間が理解しやすいURLに変換する。

　次に、変換によって明確にされたURLからドメイン名を取り出し、それに関連したIPアドレスを調べる。これにはDNSstuffの「DNS Lookup」オプションを利用すればいい。もし多数のアドレスレコード（「A」レコード）がまったく同じ名前に対応していれば、何らかの形のラウンドロビンDNSが利用されている可能性が高いということだ。また、TTLフィールドも調べること。600（10分）以下の低い値に設定されていれば怪しいといえる。しかし、正規の銀行でもラウンドロビンDNSと短いTTLを使用している場合がある。Fast-Fluxが使用されているかどうか確認するには、10分後に再度DNS Lookupを行い、まったく新しいアドレスレコード／IPアドレスのセットが表示されるかチェックすればいい。

　WindowsにはDNSレコードを分析するためのツールが組み込まれている。このツールを使うには、マシンのDNSキャッシュにドメイン名を読み込ませる。これには、ドメイン名に対してpingを実行する（例えば、「ping www.fakebank.com」という具合だ）。

　DNSキャッシュにレコードを読み込ませたら、「ipconfig /displaydns」コマンドを実行してレコードを表示させる。キャッシュには各ドメインレコードのTTL値が含まれているはずだ。このコマンドを1～2秒ごとに繰り返し実行すれば、TTL値が減少するのが分かる。分析の焦点を絞るためにエントリを消去するには、「ipconfig /flushdns」を実行する。次に、目的のホストに再びpingを実行してそれをキャッシュに読み込ませた上で、「ipconfig /displaydns」を実行する。

　レコードのTTLが小さな数であれば、そのIPアドレスを記録した後、レコードが時間切れになるまで待ち、再びターゲットに対してpingを実行する。キャッシュ内のIPアドレスが絶えず変化するようであれば、Fast-Flux環境に遭遇した可能性がある。

　さらに詳しく調べるには、「DNSstuff tools」サイトに戻り、そこにある「Whois」検索ツールを利用する。Whois検索は必ずしも正確とは限らないが、所与のドメイン名やIPアドレスに関連した人々、場所、組織に関する情報を提供してくれる。

　Whoisツールにドメイン名を入力し、きちんとした結果が返されるかどうか確認する。信頼できる組織に対して古くから登録されているドメイン名なのか、それとも多くの信頼できる銀行をホスティングしているという話は聞かない遠い国の企業に対して最近登録されたドメイン名なのか、といったことをチェックするのだ。「ipconfig /displaydns」のIPアドレスにWhois検索をかけることもできる。コンシューマーを対象としたISPに関連した多数のエントリが見つかった場合には、これらのシステムはISPのネットワーク上でボットに感染したホストである可能性が高い。ボットネットの可能性がある場合は、ISPに報告するか、新たなフィッシング攻撃に強い関心を抱いているAPWG（Anti-Phishing Working Group）に報告すべきだ。

本稿筆者のエド・スコウディス氏は、ワシントンD.C.に本社を置く情報セキュリティコンサルティング会社、インテルガーディアンズの創業者で、同社の上級セキュリティコンサルタントを務める。専門分野はハッカーの攻撃と防御対策、情報セキュリティ業界、コンピュータプライバシー問題など。「Counter Hack Reloaded」（Prentice Hall）や「Malware: Fighting Malicious Code」（Prentice Hall）などの著作がある。同氏は2004年、2005年、2006年にセキュリティ分野のMicrosoft MVPを受賞したほか、Honeynet Projectにも携わった。