Mirai系ボットネット「Tengu」、ウォッチドッグ強制再起動とバイナリ破壊で駆除を妨害

新たに確認されたMirai派生ボットネット「Tengu」は、永続化機能、検知回避、多機能な攻撃能力を統合することで、現代のIoTマルウェアが従来の分散型サービス拒否(DDoS)攻撃の枠を超えて急速に進化していることを示しています。

アンチウイルスとマルウェア

従来型のMiraiとは異なり、Tenguは平文通信と暗号化通信を組み合わせたハイブリッドC2モデルを採用しています。

初期登録とハートビートメッセージは平文で送信される一方、コマンド実行とアップデートはChaCha20-Poly1305に似たAEAD方式で保護されています。

このマルウェアはXOR難読化を用いてC2インフラを動的に復号し、64.89.163.8:9931のようなハードコードされたエンドポイントを明らかにするほか、フォールバック通信用と見られる休眠状態のドメイン生成アルゴリズム(DGA)ロジックも組み込んでいます。

初期感染はTelnetへのブルートフォース攻撃によって行われ、これはMiraiの系譜と一致する手口です。

ドロッパーは軽量なシェルスクリプトで、C2ノードとして機能する同一サーバーからHTTP経由でアーキテクチャ別のバイナリを取得します。

実行されると、このマルウェアはsystemdサービスの作成やinit.dスクリプトなど複数の仕組みを通じて永続化を確立します。また、部分的に実装されたcronベースの永続化機能も確認されており、現在も開発が続いていることをうかがわせます。

Tenguは、感染ホストをSOCKS5プロキシとして機能させたり、システムおよびネットワークのテレメトリ情報を窃取したり、任意のコマンドを実行させたりすることで、運用能力を大幅に拡張しています。

また、HTTP経由の直接ダウンロードとIPFSベースの取得の両方をサポートしており、分散型インフラを悪用する方向へのシフトがうかがえます。

特筆すべき点として、ELFバイナリだけでなくAPKペイロードも展開できることから、スマートTVなどAndroidベースのIoTデバイスも標的にしていると見られます。

このボットネットの攻撃対象範囲は広く、UDPフラッド、TCPベースの攻撃(SYN、ACK、PSH)、ICMPフラッドに加え、HTTP、DNS、NTP、SNMP、SIP、SSH、FTP、SMTP、さらにはMinecraftやSource Engineサーバーといったゲーミングサービスを狙ったプロトコル特化型攻撃など、25種類以上のDDoS手法を備えています。

この柔軟性により、大量トラフィックによる妨害と、特定サービスを狙い撃ちにした劣化の両方が可能になっています。

Nozomiの研究者らによると、機械学習ベースのマルウェアクラスタリングによって発見されたこのボットネットは、暗号化されたコマンド&コントロール(C2)通信、プロキシ機能、ペイロード配信機構を組み合わせている点でTenguは際立っているといいます。

セキュリティ製品とサービス

Tenguの特徴の一つが、高度な自己防衛・永続化モデルです。このマルウェアは、システムのハードウェアウォッチドッグタイマーを操作するウォッチドッグ機構を展開します。

主プロセスが終了させられると、ウォッチドッグが強制的な再起動を引き起こし、永続化機構がマルウェアを再起動させます。これにより、本来は防御用のシステム機能が、駆除を妨害するツールへと転用される形になっています。

Tengu Mirai ボットネット、ウォッチドッグを悪用

インシデント対応をさらに困難にしているのが、Tenguが実装する「バイナリの破壊(binary bricking)」です。これは、再起動やシャットダウン操作に関連する重要なシステムバイナリを、不正な形式のELFヘッダーで上書きするというものです。

この手法により標準的な復旧手順が無効化される場合があり、防御側はファームウェアの再インストールなど、代替の修復手段に頼らざるを得なくなります。

Tenguはまた、継続的なプロセス終了ループを通じて競合するマルウェアを積極的に排除します。/proc、inotify、Linuxのプロセスコネクタを介してプロセス生成を監視し、シグネチャベースのマッチングによって競合するボットネットのプロセスを特定して終了させます。

これにより、侵害したデバイスに対する排他的な支配権を確保しています。これは、競争が激化するIoTボットネットのエコシステムにおいて共通して見られる傾向です。

アンチ解析技術も、その隠密性をさらに高めています。このマルウェアは、XORベースの文字列暗号化、memfd_createを利用したファイルレス実行、systemdサービスへのプロセス偽装、そしてTracerPidチェックやrdtsc命令を用いた実行タイミング解析を含む複数のデバッガ検知技術を使用しています。

さらに、コアダンプを無効化し、リソース逼迫時の強制終了を回避するためOOM Killerの優先設定を調整しています。

セキュリティ研究者らは、埋め込まれた暗号鍵を抽出することに成功し、検体を管理下のC2環境へリダイレクトすることでこのボットネットをエミュレートし、マルウェアの完全なコマンドセットと挙動を確認しました。

セキュリティ製品とサービス

今回の調査結果は、従来型のボットネット活動と高度な検知回避・永続化戦略を組み合わせた、より強靭でモジュール化されたIoT脅威への移行を浮き彫りにしています。

Tenguの出現は、露出したIoTインフラをめぐる懸念が依然として続いていることを改めて示しています。脆弱な認証情報、古いファームウェア、不要なインターネット露出を抱えたデバイスは、依然としてボットネット運用者にとって格好の標的です。

組織には、強固な認証の徹底、Telnetアクセスの無効化、IoTネットワークのセグメント化、そして異常な送信トラフィックや不正なサービスの継続的な監視が推奨されます。

Nozomi NetworksのOT/IoTセキュリティソリューションのようなプラットフォームは、デバイスの挙動やネットワーク上の異常を可視化し、侵害や攻撃の試みを早期に検知することを可能にします。

Tenguのようなボットネットが進化を続ける中、複雑化の一途をたどるIoT環境全体のリスクを低減する上で、積極的な監視と堅牢なデバイス構成が引き続き不可欠です。

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再有効化は、MISP、VirusTotal、あるいはお使いのSIEMなど、管理された脅威インテリジェンス環境内でのみ行ってください。

2026年、AI SOCに求められる機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード