EvilFOCA

Evil FOCA

必要条件

• Windows XP 以降。
• .NET Framework 4 以降。
• Winpcap ライブラリ (http://www.winpcap.org)

はじめに

Evil Foca は、IPv4 および IPv6 データネットワークのセキュリティテストを目的とした、セキュリティペネトレーションテスターや監査人のためのツールです。 このツールは、以下のようなさまざまな攻撃を実行できます。

• ARP スプーフィングと DHCP ACK インジェクションによる IPv4 ネットワーク上の MITM。
• Neighbor Advertisement Spoofing、SLAAC 攻撃、偽の DHCPv6 による IPv6 ネットワーク上の MITM。
• ARP スプーフィングによる IPv4 ネットワーク上の DoS（サービス拒否）。
• SLAAC DoS による IPv6 ネットワーク上の DoS（サービス拒否）。
• DNS ハイジャック。

このソフトウェアは自動的にネットワークをスキャンし、すべてのデバイスとそれぞれのネットワークインターフェースを識別し、便利で直感的なインターフェースを通じて IPv4 および IPv6 アドレスと物理アドレスを指定します。

Man In The Middle（MITM）攻撃

よく知られた「Man In The Middle」は、攻撃者が2つの端末間のチャネルにある情報を、両者に気づかれずに読み取り、追加、または改ざんする攻撃です。IPv4 および IPv6 の MITM 攻撃において、Evil Foca は以下の技術を考慮しています。

• ARP スプーフィング: イーサネットネットワークに ARP メッセージを送信することから成ります。通常、目的は攻撃者の MAC アドレスを別のデバイスの IP に関連付けることです。所定のリンクゲートの IP アドレス宛のトラフィックはすべて、正しい宛先ではなく攻撃者に誤って送信されます。
• DHCP ACK インジェクション: 攻撃者が DHCP の交換を監視し、通信中のどこかでパケットを送信してその動作を変更することから成ります。Evil Foca はマシンをネットワーク上の偽の DHCP サーバーに変換します。
• Neighbor Advertisement Spoofing: この攻撃の原理は ARP スプーフィングと同じですが、IPv6 は ARP プロトコルを使用せず、すべての情報が ICMPv6 パケットを通じて送信される点が異なります。ディスカバリプロトコルでは5種類の ICMPv6 パケットが使用され、Evil Foca はこれらのパケットを生成し、ゲートウェイと被害者の間に自身を配置します。
• SLAAC 攻撃: この攻撃の目的は、ユーザーがインターネットに接続し、IPv6 をサポートしていないサーバーに接続する必要がある場合に MITM を実行することです。そのため、IPv4 を使用して接続する必要があります。この攻撃が可能なのは、Evil Foca が通信媒体に入るとドメイン名解決を実行し、IPv4 アドレスを IPv6 に変換できるためです。
• 偽の DHCPv6 サーバー: この攻撃は、攻撃者が DCHPv6 サーバーになりすまし、すべてのネットワーク要求に応答し、IPv6 アドレスと偽の DNS を配布してユーザーの宛先を操作したりサービスを拒否したりするものです。
• サービス拒否（DoS）攻撃: DoS 攻撃は、マシンやネットワークのシステムに対する攻撃で、サービスやリソースがユーザーにとってアクセス不能になる結果をもたらします。通常、被害者のネットワークの帯域幅の消費や、被害者のシステムのコンピューティングリソースの過負荷により、ネットワーク接続の喪失を引き起こします。
• ARP スプーフィングによる IPv4 上の DoS 攻撃: このタイプの DoS 攻撃は、被害者の ARP テーブルに存在しない MAC アドレスを関連付けることから成ります。これにより、ARP テーブルが変更されたマシンが、存在しない MAC に関連付けられた IP アドレスに接続できなくなります。
• SLAAC 攻撃による IPv6 上の DoS 攻撃: この攻撃では、多数の「ルーターアドバタイズメント」パケットが生成され、1台または複数のマシンに送信され、偽のルーターを通知し、ルーターごとに異なる IPv6 アドレスとリンクゲートを割り当て、システムをクラッシュさせ、マシンを応答不能にします。
• DNS ハイジャック: DNS ハイジャック攻撃または DNS 拉致は、ドメインネームシステム（DNS）の解決を改ざんすることから成ります。これは、TCP/IP マシンの設定を無効化して攻撃者の制御下にある海賊 DNS サーバーを指すようにするマルウェアを使用するか、MITM 攻撃を介して、攻撃者が DNS 要求を受け取る側となり、特定の DNS 要求に自ら応答して被害者を攻撃者が選択した特定の宛先に誘導することで達成できます。

ライセンス

Evil FOCA は ElevenPaths によって開発され、GNU General Public License 3.0 の下で公開されています。 詳細については、Evil FOCA のウェブページ（https://www.elevenpaths.com/labstools/evil-foca/index.html）をご覧ください。