Miraiの新亜種、悪名高いボットネットコードにステルス機能を追加

悪名高いMiraiボットネットコードに複数の機能を追加したマルウェアが、インターネットに接続されたハードウェアの脆弱性を少なくとも1カ月にわたって積極的に悪用していることが、木曜日に研究者らによって明らかになりました。

Evooo1Botと名付けられたこのLinuxベースのマルウェアは、Alcatel、D-Link、Mitsubishi Electric、Netgear、Tenda、Telesquareのルーターやその他のハードウェアを標的にしていると、FortiGuard Labsの研究者は述べています。 

これらのデバイスに存在する未修正のバグにより、Evooo1Botは拡散し、悪意ある活動を実行できる状態にあると研究者らは述べています。Evooo1Botはこれまで報告例のなかったマルウェアとみられるとしています。

レポートでは世界中で何台のデバイスが侵害されたかは明記されていませんが、同社のテレメトリーによると、活動は北米、南米、欧州、インド、中国、日本に集中しています。

Miraiが通常備える分散型サービス拒否(DDoS)機能に加え、Evooo1Botの機能にはコマンド&コントロールサーバーとの暗号化通信、Secure Shell(SSH)のコードを探索し悪意あるトラフィック捕捉用のハニーポットとして明らかに設定されているデバイスをスキップするスキャナー、そしてデバイスの稼働開始以来変更されていないデフォルトのアクセス認証情報を探す「スニファー」が含まれます。

「これらの機能により、Evooo1Botは従来のMirai派生型マルウェアの技術水準を大きく上回っています」とFortiGuard Labsは述べています。

このマルウェアはまた、デバイスがプロキシ経由でサーバーと接続できるようにする、広く使われているSOCKSプロトコルも悪用します。この機能は「間違いなく運用上最も重大なものです」とFortiGuard Labsは述べています。「侵害されたルーター、ファイアウォール、IPカメラ、その他のエッジデバイスを永続的なプロキシに変えることで、このマルウェアは攻撃者が真の発信元を隠蔽し、内部ネットワークへ横展開し、被害者のインフラを介して後続の攻撃活動を行うことを可能にします」

Miraiのソースコードは2016年に公開され、それ以降の10年間で、法執行機関やサイバーセキュリティ専門家の注目を集める数多くの亜種の基盤として利用されてきました。 

AisuruやKimWolfといった後継亜種は、3月に米国、カナダ、ドイツの各機関による摘発対象となりました。カナダ人男性は5月にKimWolfの運営を理由に起訴されています。