Kimwolfボットネット、テイクダウンに耐えるべく再構築される——研究者らが指摘

主にハイジャックされたAndroid TVボックスやその他のインターネット接続機器によって稼働している悪名高いボットネットの開発者が、攻撃トラフィックを通常のWebブラウジングに紛れ込ませ、コマンドチャネルが法執行機関に押収されないようにする新バージョンを公開しました。Palo Alto Networksの研究者らが火曜日に公開したレポートで明らかにしています。

このボットネットをKimwolf（別名Aisuru）として追跡している同社の脅威インテリジェンスグループUnit 42によると、最新バージョンは2月から活動を開始しており、これは当局が旧バージョンのボットネットを支えるインフラを押収する1か月前にあたるといいます。

レポートによれば、最大の変更点はHTTP/2をベースにした新しいフラッド手法です。HTTP/2は現在ほとんどのWebトラフィックを運んでいるプロトコルです。フラッドとはDDoS攻撃の粗野な核心部分であり、感染した何千台もの端末がターゲットに対して処理しきれないほど大量のリクエストを送りつけるというものです。この最新版のKimwolfは、生のパケットを送りつけるのではなく、完全なブラウザフィンガープリントを用いて動作し、Chromeブラウザのヘッダー順序や挙動をそのままコピーします。これが重要なのは、フラッドに対する通常の防御策が、偽のトラフィックを見分けてサーバーに到達する前に遮断・ブロックすることにあるためです。Chromeそっくりに見えるトラフィックは遮断されないため、攻撃を受けたサイトは、すべてのリクエストを処理してダウンするか、ボットと区別のつかない正規顧客までも締め出し始めるかの二択を迫られることになります。

研究者らによると、2つ目の変更点はさらなるテイクダウンに耐えるために施されたとみられます。すべてのボットは指示を受けるためコマンドサーバーに問い合わせを行う必要があり、これはまさに当局がボットネットのテイクダウンで狙う標的でもあります。通常、コマンドサーバーのアドレスはWebドメイン名としてマルウェア内に埋め込まれているため、捜査当局がレジストラからそのドメイン名を取り上げれば、ボットネット全体を機能停止に追い込むことができます。

今回のKimwolfバージョンは、コマンド機能をレジストラの管理下から切り離しています。このマルウェアは、Ethereumブロックチェーン上で稼働するディレクトリであるEthereum Name Serviceでコマンドアドレスを検索するようになりました。このサービスを利用したWebアドレスは通常のドメインのように表示されますが、そのドメインのレコードは世界中の数千台のコンピューターにコピーされた台帳上に存在します。このマルウェアは5つの公開Ethereumサービスを保持しており、試行のたびに順序をシャッフルするため、防御ツールによるブロックを困難にしています。さらに、法執行命令を送りつける相手となる企業も、押収すべきドメインレコードも存在しません。

加えて、5つのアドレスすべてが失敗した場合、ボットネットはコード内に書き込まれた固定のTorヒドゥンサービスアドレスにフォールバックします。Torは通常のドメインシステムではなく独自のネットワークを通じてそのアドレスを解決するため、サーバーが実際にどこに存在するかを隠蔽し、捜査当局が接触すべきホストを特定できないままにしてしまいます。

研究者らによるインフラ分析では、コマンド構造を支えるマシン群がロシアに所在していることが示されました。これらのサーバーのうち4台はSSHホストキーを共有しており、さらなる分析の結果、これらのサーバーがサンクトペテルブルクに登録された単一のネットワーク内に存在することが判明しました。

このバージョンが、過去のボットネットの開発に関わった人物によって作られたものなのか、それとも悪意ある行為者の間で知れ渡ったこのボットネットの知名度に便乗しようとする新たな人物や脅威グループによるものなのかは、現時点では不明です。

Unit 42はCyberScoopのコメント要請に対し、回答していません。