Cisco Talosの研究チームによれば、Sea TurtleによるDNS乗っ取り攻撃は2017年1月に始まり、2019年初めの時点でもまだ続いていたという。この攻撃では13カ国の約40組織が被害に遭った。攻撃者はまずドメイン登録事業者（レジストラ）や通信会社、インターネットサービスプロバイダー（ISP）に狙いを定め、続いて国家のセキュリティ機関、外務省、大手エネルギー関連組織に対する本格的なDNS乗っ取り攻撃を開始した。

　攻撃者は、通信に介入して盗聴する「中間者攻撃」や、研究チームが「証明書偽装」と呼ぶ手口を使ってDNSへの認証情報を収集した。証明書偽装とは、攻撃者が他の認証局から、標的とする組織と同じドメイン用のX.509証明書（公開鍵用証明書）を入手する攻撃手法だ。Cisco Talosのブログは以下のように説明する。

例えばデジタル証明書認証局を運営するDigiCertが発行した証明書を持つWebサイトの場合、攻撃者は同じドメイン用の証明書を、Let's EncryptやComodoといった別の認証局運営組織から入手する

　Cisco Talosによると、標的とする組織のネットワークへのアクセスを確立した攻撃者は、さらに多くの認証情報を収集し標的環境へのアクセスを拡大するために、セキュリティアプライアンスやVPN（仮想プライベートネットワーク）などが使っている正規のSSL証明書を盗み出す。Cisco Talosでアウトリーチ担当ディレクターを務めるクレイグ・ウィリアムズ氏のメールによると、そうした認証情報がいったん盗まれてしまえば、「認証情報を取り戻して変更しロックを掛けるまで、攻撃を完全に食い止めることは事実上不可能」になる。

　この種の攻撃に対する防御策として、Cisco Talosは「レジストリロックサービス」の利用を勧める。このサービスでは、組織のDNS設定を変更する前に、アウトオブバンド（専用の）方法でのメッセージを要求する。「もし自分たちの登録業者がレジストリロックサービスを提供していなければ、自組織のDNS設定へのアクセスに対し、多要素認証を導入するとよい」とウィリアムズ氏は語る。

　この種の不正侵入の標的となっている疑いがある場合、信頼できるネットワークにあるコンピュータから、ネットワーク全体に対してパスワードをリセットすることをウィリアムズ氏は勧める。インターネットに接続する端末の場合は特に、パッチの適用を勧告するとよいという。「ネットワーク管理者が自分たちのドメインで、DNSサーバの通信などの情報を記録するパッシブDNSをモニタリングすれば、異常を検出できる」（同氏）

勢いを増すDNS乗っ取り攻撃

　2018年11月に、Cisco Talosは中東で同様のDNS乗っ取り攻撃を観測したと報告した。セキュリティベンダーのFireEyeはその研究を基に、「この攻撃は政府機関を標的としたもので、イランが関与している可能性がある」と指摘した。米国土安全保障省はその報告を受け、DNS乗っ取り攻撃を想定してシステムの防御を強化するよう連邦政府機関に指示した。

　Cisco TalosはこのDNS乗っ取り攻撃が過去の攻撃とは別のものだと判断した。だがウィリアムズ氏は「DNS乗っ取り攻撃のトレンドはますます広がり、世界中のもっと多くの場所で被害を生むだろう」と予想する。

　FireEyeのインテリジェンス担当ディレクターであるジョン・フルクイスト氏も、電子メールを通じて同じ見方を示した。「これはトレンドだと確信している。われわれの予想では、この手口を利用する攻撃者はさらに増えるだろう」

　フルクイスト氏は企業に対し、

• ドメインの不正変更を防ぐ「レジストラロック」の利用
• レジストラのサービスアカウント監査
• DNSの正当性を示すための仕様「DNS Security Extensions」（DNSSEC）や「DNS-based Authentication of Named Entities」（DANE）を用いた認証の実装

　を勧告し、攻撃を阻止するために監視を継続するよう促している。