特別レポートにより、Dysphoriaボットネットに侵害されたインターネット接続デバイスが約29万6000台に上ることが判明しました。これは、分散型サービス拒否(DDoS)攻撃や住宅用プロキシ運用にすでに関連付けられているIoT脅威の大規模な拡大を示すものです。
このレポートでは、掲載されたすべてのイベントを「重大」に分類しており、影響を受けたネットワークの運用者が露出したデバイスを特定し修復するための過去データを提供しています。
Dysphoriaは主に、ルーター、カメラ、ゲートウェイ、DVR、その他の組み込みLinuxデバイスなど、インターネットに面したIoTシステムを標的としています。
初期の亜種はDDoS攻撃可能なボットネットの構築に重点を置いていましたが、新しいバージョンでは被害者を、攻撃者が制御するトラフィックを運ぶことができる中継インフラにも変えてしまいます。
研究者たちは、DDoS機能を取り除き、代わりに侵害したホストをプロキシノードに変える中継専用の亜種を確認しています。
29万6000台という数字は、運用面で大きな懸念材料となります。というのも、感染した各エンドポイントは攻撃の参加者として使われるだけでなく、一見住宅用または中小企業向けネットワークのトラフィックに見せかけるための発信源としても利用され得るからです。
これにより、悪意のある運用者は自身の出所を隠したり、IPベースの制限を回避したり、自動化された不正利用を行ったり、正規のブロードバンド接続経由でトラフィックを中継したりすることが可能になります。
Dysphoriaの進化は、IoTボットネットがより柔軟になりつつあることを示しています。従来のボットネットは、感染したデバイスを使って標的にトラフィックを大量に送りつけるものでした。
これに対しDysphoriaは、DDoS攻撃を支援しつつ、侵害されたネットワーク全体にまたがる分散型のプロキシ層を構築することもできます。
このマルウェアは、脆弱なTelnetおよびSSHの認証情報や、脆弱なIoTハードウェアに影響を及ぼす既知のリモートコード実行(RCE)の欠陥と関連付けられています。
デフォルトパスワードのまま、ファームウェア未パッチ、管理インターフェースが露出している、あるいは不要なリモートアクセスサービスを稼働させているデバイスは、リスクが高まります。
新たに加わった中継機能は特に注目に値します。侵害されたデバイスがネットワークアドレス変換(NAT)の背後に置かれている場合でも、これによって悪用可能になるためです。
研究者らの報告によると、Dysphoriaはユニバーサルプラグアンドプレイ(UPnP)を悪用してポートフォワーディングのルールを作成し、最大155ポートをマッピングする可能性があるとのことです。
この挙動により、内部のデバイスやサービスが受信接続にさらされることになり、攻撃者は感染したホストを外部から到達可能な中継地点として利用できるようになります。
Dysphoriaはまた、多くの従来型IoTボットネットよりも堅牢なコマンド&コントロール(C2)設計を採用しています。各種レポートによれば、運用者はEthereum Name ServiceとSolana Name Serviceのレコードを利用し、ボットが制御インフラを見つけられるようにしていることが示されています。
このブロックチェーンベースの手法は、防御側が少数の従来型ドメインやIPアドレスをブロックするだけでは対応できなくなるため、無力化の取り組みを複雑にする可能性があります。
Shadowserverは、通常の日次ネットワークレポートではなく特別レポートとしてこのデータセットを配布しました。通常の報告モデルとは異なり、この一度限りのデータセットは特定の24時間分の活動を表すものではありません。
これは、調査担当者が入手可能なデータを分析した後、ネットワーク所有者に有用な過去の可視性を提供することを目的としたものだとShadowserverは述べています。
このレポートでは、個々のエントリのタイムスタンプとして2026-08-12 00:00:00を使用しています。これは、正確なイベント発生時刻が入手できなかったためです。
防御側は代わりに、特定のIPアドレスからDysphoriaの活動が最後に観測された時刻を判断するために、last_seen_timeフィールドを利用するべきです。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。SOCを強化しMTTRを削減する、包括的なフィッシング可視化を今すぐ入手
翻訳元: https://cyberpress.org/dysphoria-botnet-hijacks-iot/
