概要
2020年以来、保護されていないデータベースに壊滅的な被害をもたらしてきた悪名高いMeow攻撃が、MAD-CAT（Meow Attack Data Corruption Automation Tool）を通じて新たな勢いで再浮上しました。このカスタム構築された敵対的シミュレーションツールは、攻撃者がいかに簡単に複数のデータベースプラットフォーム間で同時にデータを破損させることができるかを示しており、現代のインフラを悩ませ続ける重大な脆弱性を浮き彫りにしています。
Meow攻撃の進化とMAD-CAT
Meow攻撃の発生は2020年にピークを迎えましたが、Shodan検索では、破損したデータに「-MEOW」という特徴的なランダムな英数字文字列が付加された、数十の侵害されたデータベースが依然として確認されています。セキュリティ研究者は、これらの攻撃を包括的にシミュレートするためにMAD-CATを開発しました。対象となる6つの実世界データベースプラットフォームは以下の通りです。
- MongoDB
- Elasticsearch
- Cassandra
- Redis
- CouchDB
- Hadoop HDFS
単一ターゲットの悪用を目的とした前身とは異なり、MAD-CATは一括CSVベースのキャンペーンを導入し、攻撃者が協調的な攻撃でデータベースエコシステム全体を破損させることを可能にします。これは攻撃手法の重大なエスカレーションを意味し、防御側は単一ターゲット攻撃が提供する連続的な検出機会を失います。
MAD-CATの仕組み
MAD-CATは、体系的な4段階のワークフローを通じて動作します。
- 接続: 認証されていないターゲットには非認証モードで、または脆弱な/デフォルトの認証情報を持つターゲットには認証モードで、ターゲットデータベースに接続します。
- 列挙: 運用データへの影響を最大化するためにシステムデータベースを意図的に除外しながら、すべてのデータベースとコレクションを列挙します。
- 破損: すべてのレコードを取得し、文字列フィールドと数値フィールドを、2020年の攻撃シグネチャを正確に模倣した「-MEOW」が続く10文字のランダムな英数字文字列に体系的に置き換えます。
- モジュラーアーキテクチャ: このツールのモジュラーアーキテクチャはファクトリーパターンを使用しており、研究者はコアフレームワークコードを変更することなく新しいプラットフォームのサポートを追加できます。
壊滅的な影響の可能性
MAD-CATを使用したシミュレーションは、企業環境における壊滅的な可能性を示しています。6つのデータベースプラットフォームすべてにわたる医療シナリオでは、この攻撃は以下のような影響を同時に引き起こすでしょう。
- 患者記録（MongoDB）の破損
- 臨床検索機能（Elasticsearch）の排除
- 医療機器からのIoTテレメトリ（Cassandra）の破壊
- アクティブなユーザーセッション（Redis）の無効化
- 患者ポータルアクセス（CouchDB）の排除
- 請求およびコンプライアンス記録（Hadoop HDFS）の破壊
この協調的な攻撃は、現代の攻撃者が直面するものを表しています。それは、連続的な悪用ではなく、同期されたマルチプラットフォームのデータ破壊であり、数分以内に組織全体を麻痺させる可能性があります。
業界の対応と残る脆弱性
Shodanのトレンド分析は、前向きな進展を示しています。Elasticsearchの侵害は、2020年後半の13,000件から2025年9月までにわずか7件に減少し、85%の削減となりました。MongoDBインスタンスは6,000件から26件に減少し、CouchDBは280件から3件の侵害に減少しました。これは、新しいデータベースバージョンでの強制認証とセキュリティ意識の向上による業界の対応を反映しています。
しかし、最初のキャンペーンから5年経っても侵害されたインスタンスが残っていることは、セキュリティが依然として不均一であることを示しています。レガシーシステムと組織の過失が、脆弱性の窓口を作り続けています。Meowの教訓は明白です。設定ミスが命取りになります。
教訓と推奨事項
組織は、同様の攻撃から身を守るために以下の対策を講じる必要があります。
- デフォルトでの認証の強制
- 認証情報の定期的なローテーション
- データベースアクセスのセグメント化
- 包括的なバックアップの維持
- 脆弱性検出、デフォルト認証情報の特定、パッチ検証を提供するセキュリティソリューションの活用
脅威の状況が進化する中、MAD-CATは、適切に保護されていないインフラを通じて、よく文書化された攻撃ベクトルが依然として被害者を生み出していることを厳粛に思い出させるものです。