Miraiボットネットの公開流出ソースコードをベースにした新種のモジュール型Linuxボットネットファミリーが、エッジデバイスに存在する複数の脆弱性を悪用する試みに関連していることが判明しました。
台湾を拠点とするFortinet FortiGuard Labsのセキュリティ研究者Yi Ping(Cara)Lin氏は8月13日、この新種ボットネットファミリーに関する分析結果を公開しました。同氏は、すべてのバイナリに含まれるハードコードされた文字列「evooo1」にちなんで、このボットネットを「Evooo1Bot」と名付けています。
このボットネットは、以下の脆弱性に対する悪用が観測されたことをきっかけに発見されました。
- CVE-2007-3010: Alcatel OmniPCX Enterpriseのリモートコード実行(RCE)脆弱性
- CVE-2016-6277: NETGEAR製複数ルーターのRCE脆弱性
- CVE-2018-14558: Tenda AC7、AC9、AC10ルーターのコマンドインジェクション脆弱性
- CVE-2019-14931: Mitsubishi Electric Europe B.V.製ME-RTUデバイスおよびINEA製ME-RTUデバイスのリモートコマンドインジェクション脆弱性
- CVE-2020-10987: Tenda AC1900ルーター(AC15モデル)のRCE脆弱性
- CVE-2021-46422: Telesquare SDT-CW3B1のコマンドインジェクション脆弱性
- CVE-2022-37055: D-Link製ルーターのバッファオーバーフロー脆弱性
- CVE-2024-29269: Telesquare TLR-2005KSHのコマンドインジェクション脆弱性
- CVE-2025-10123: D-Link DIR-823Xのコマンドインジェクション脆弱性
- CVE-2025-55583: D-Link DIR-868L B1ルーターのコマンドインジェクション脆弱性
これらの悪用試行によるペイロードのコールバックは、すべて同一のローダーURLである91.92.40[.]118/wget.shを指しており、Evooo1Botとの関連が確認されています。
Lin氏の評価によれば、このボットネットは2026年7月以降、さまざまな地域にわたるインターネット接続デバイスを積極的に標的とし、複数の脆弱性を悪用し続けています。
Evooo1Bot、洗練されたMirai系ボットネット
Evooo1Botは、Miraiのソースコードに含まれる分散型サービス拒否(DDoS)攻撃エンジンを再利用しています。
Miraiは、デフォルトの認証情報を使ってモノのインターネット(IoT)デバイスに感染し、大規模なネットワーク、すなわちボットネットに変えてDDoS攻撃を仕掛ける、悪名高いマルウェア株です。
そのソースコードは2016年9月、Hack Forums上でユーザー「Anna-senpai」によって公開されました。後にFBIの捜査により、この人物は大学生のParas Jha容疑者であることが判明し、共同開発者のJosiah White容疑者およびDalton Norman容疑者も特定されています。
もともとはMinecraftサーバーを標的とし、DDoS防御サービスを売り込む目的で作られたものでしたが、開発者らは捜査当局の追及が迫る中、Web上にノイズを氾濫させて自分たちの正体を隠すためにコードを公開しました。これが結果的に、今日に至るまでMiraiのDDoS攻撃エンジンを使い回し続ける無数の現代版マルウェア亜種を生み出すこととなりました。
Miraiのフレームワークをベースにしているにもかかわらず、Evooo1Botの開発者は以下を含む数多くの機能を追加し、大幅に拡張を加えています。
- 暗号化されたコマンド&コントロール(C2)通信と、28種類のコマンドに対応したリモート管理インターフェース
- SSHブルートフォース(総当たり)スキャナー
- リバースSOCKSリレーモジュール
- AES-256-CTR、ChaCha20、およびXORベースの鍵導出を用いた多層の文字列難読化
- 認証情報スニファー
- IoTデバイス、ネットワーク機器、エンタープライズアプリケーションにまたがる複数の既知脆弱性を標的とする統合型エクスプロイト群
Lin氏は、SOCKSリレーモジュールについて「運用上、間違いなく最も重要な機能」であると強調しています。これは侵害されたエッジデバイスを恒久的なプロキシへと変貌させるもので、攻撃者は自らの真の発信元を隠しつつ内部ネットワークへ侵入し、被害者のインフラを経由してさらなる攻撃活動を展開できるようになります。
「これらの機能により、Evooo1Botは従来のMirai派生型マルウェアの技術水準を大きく超える存在となっています」とLin氏は記しています。
翻訳元: https://www.infosecurity-magazine.com/news/new-linux-botnet-evooo1bot-victims/
