Dysphoriaボットネットが大規模なIoT(モノのインターネット)脅威へと拡大しており、Shadowserverの新たな特別報告書では約296,000台の侵害デバイスが確認されています。
この攻撃キャンペーンは、外部に露出したルーター、ゲートウェイ、IPカメラ、その他の組み込みLinuxシステムを標的とし、セキュリティ対策が不十分な機器をDDoS攻撃や、近年増加している住宅用プロキシ・中継業務のための分散プラットフォームへと変えています。
Dysphoriaの規模が重要視されるのは、通常のエンドポイント管理プログラムの対象外に置かれることが多いデバイス群を巻き込んでいるためです。
家庭用ルーター、DVR、カメラ、小規模オフィス向けゲートウェイは、何年もインターネットに接続されたままになっていることが多く、旧式のファームウェアを稼働させ、TelnetやSSHを外部に公開し、脆弱な認証情報やデフォルトの認証情報を使い続けているケースが少なくありません。
調査により、この攻撃活動はルーター、ゲートウェイ、カメラ、リピーター、組み込みLinux製品に影響を及ぼす既知の脆弱性群の広範な悪用、およびTelnetとSSHの脆弱な認証と関連付けられています。
約296,000台の影響を受けたデバイスを網羅するShadowserverの新しいデータセットは、この露出がより広範囲に及んでいることを示しており、防御側にとって大幅に大きな修復対象を提供しています。
この報告書ではすべてのイベントを「CRITICAL(重大)」に分類しており、感染デバイスが遠隔操作によって大規模攻撃への参加、コマンド&コントロール(C2)インフラの隠蔽、あるいは被害者ネットワークを経由した悪意あるトラフィックの中継に利用されるリスクを強調しています。
Dysphoriaが従来型のIoTDDoSボットネットと一線を画すのは、その耐性を備えたアーキテクチャです。このマルウェアは、Ethereum Name Service(ENS)やSolana Name Service(SNS)を含むブロックチェーン基盤の命名システムを使用し、コマンド&コントロールインフラを解決します。
アンチウイルス&マルウェア
通常のDNSドメインとは異なり、ブロックチェーン上の名前は、従来のレジストラホスティングによるワークフローに依存せずに運用者が関連レコードを変更できるため、押収やインフラの妨害を複雑にする可能性があります。
Shadowserverの研究者らによると、Dysphoriaの運用者はパスワード推測攻撃や既知のリモートコード実行(RCE)脆弱性を通じてこの運用上の隙を突き、脆弱なシステムを気づかれないままボットネットに組み込んでいるとのことです。
当初の報告では、Dysphoriaの活動中のデバイス数は200,000台を超えるとされ、研究者らは海外において1日で239,000ボットに達するピークを観測しています。
また研究者らは、感染デバイスが仲介役として利用され、実際の制御サーバーをボットから切り離すことで、被害者側のトラフィックからバックエンドインフラを特定しようとする試みを困難にしている様子も確認しています。
Dysphoriaがルーターを乗っ取る手口
このボットネットが新たに備えた中継機能により、脅威の深刻度はさらに高まっています。6月下旬に確認された亜種は、DDoS攻撃用のコードを削除し、代わりにプロキシノードとしてのみ動作するよう改変されていたと報告されています。
このマルウェアはローカルネットワーク内でUniversal Plug and Play(UPnP)に対応したゲートウェイをスキャンし、ルーターのポートマッピングを通じて外部からのアクセス経路を確立しようとします。
研究者らは、このプロセスにおいてマルウェアがポート155を開放し、外部のクライアントが感染ホストを経由して別の宛先に到達できるようにしている様子を確認しています。
これにより、侵害された家庭用・中小企業向けデバイスはオンデマンドのプロキシ層と化し、悪意ある活動の匿名化、IPベースの制限の回避、あるいはC2サーバーの隠蔽に利用される可能性があります。被害者が所有するアドレスの背後に隠すこともできてしまいます。
ネットワーク防御担当者にとって、このShadowserver特別報告書は通常の24時間ごとの日次報告とは異なり、遡及的で価値の高い通知として設計されています。
配布のタイムスタンプは2026年8月12日に設定されていますが、last_seen_timeフィールドには、影響を受けた各IPについて正確な最新の観測時刻が記載されています。
このデータセットには、IPアドレス、ポート、プロトコル、ASN、地理情報、デバイスベンダー、モデル、ファームウェアバージョン、初回・最終観測時刻、露出期間、ユーザーエージェント、感染タグが含まれています。
こうした情報は、ISP、各国のCSIRT、企業、マネージドサービスプロバイダーが修復作業の優先順位を決め、繰り返し発生する露出パターンを特定する助けとなるはずです。
直ちに取るべき対応としては、疑わしいデバイスの隔離、管理者・Telnet・SSHの全認証情報の変更、不要な遠隔管理機能とUPnPの無効化、ベンダー提供のファームウェア更新の適用、そしてサポート終了(EOL)を迎えた機器の交換が挙げられます。
また、担当チームはルーターのポートフォワーディングルールを点検し、説明のつかない外向き通信やトラフィックの中継についても調査すべきです。
Shadowserverの報告プログラムは、審査を通過した購読者に対して実用的なネットワークデータを配布しており、Dysphoriaに関する警告を見逃した組織も、自組織のネットワークを登録すれば直近の特別報告書を請求できます。
Dysphoriaは、IoTの侵害がもはやブルートフォース攻撃によるDDoS能力の獲得にとどまらないことを示しています。
分散型の中継・住宅用プロキシエコシステムへと進化を遂げたことで、パッチ未適用のあらゆるエッジデバイスが攻撃者にとって潜在的な資産となり、そのデバイスを所有するネットワークにとっては負債となり得るのです。
[ライブウェビナー] ElasticとUnderDefenseが共催するウェビナーにご参加ください。小規模なセキュリティチームがAIの可視性とエージェント型対応を単一の運用モデルへと統合する方法を学べます。 -> 今すぐ登録
翻訳元: https://gbhackers.com/dysphoria-hijacks-routers/
