Mirai系の新たなモジュール式Linuxボットネットマルウェア「Evooo1Bot」が、インターネットに露出したゲートウェイ機器を標的とし、SOCKS5トラフィック中継ノードに変えていることが分かりました。
このマルウェアの機能はプロキシノード化にとどまらず、認証情報の窃取、SSHブルートフォース攻撃、そして分散型サービス拒否(DDoS)攻撃の実行なども含まれています。
少なくとも7月以降、Evooo1Botは既知の脆弱性を悪用して、Alcatel、NETGEAR、Tenda、三菱電機、Telesquare、D-Linkの各社製機器を各地域で標的にしています。
「このマルウェアは公開流出したMiraiのソースコードからDDoSエンジンを流用していますが、暗号化されたC2通信、SSHブルートフォーススキャナー、SOCSリレーモジュール、認証情報スニファー、そして複数の既知脆弱性を狙う統合エクスプロイト群など、数多くの機能をオリジナルのフレームワークに追加しています」とFortinetの研究者らは指摘しています。
新しいビルドには、Hikvision製カメラ、Atlassian Confluence、Zyxelファイアウォール、TP-Linkルーター、D-Link製NAS機器、WSO2製品、Kubernetes ingress-nginx、そして脆弱なPHP-CGI環境を標的とする独立した脆弱性悪用モジュールが含まれています。
ただしFortinetによれば、組み込まれたエクスプロイトの一部は正しく実装されておらず、悪用に失敗するケースもあるとのことです。
エクスプロイトの悪用に成功すると、スクリプトが対象ホストのCPUアーキテクチャに一致するマルウェアビルド(全12種類のうちの1つ)をダウンロードし、その後Bashの履歴を消去して攻撃の痕跡を消します。
Evooo1Botはポート443経由で暗号化されたコマンド&コントロール(C2)通信を行い、感染機器上で起動する前にデバッガー、セキュリティツール、サンドボックス、仮想マシン、コンテナ、ハニーポットの有無を入念にチェックします。
永続化にはsystemd、SysV init、シェルプロファイル、rc.localが用いられるほか、cronジョブが5分ごとにペイロードの再ダウンロードを試みます。
攻撃者はインタラクティブシェルを通じて侵害システムを直接操作できるほか、ファイル転送コマンドによってアップロードとダウンロードも行えます。
このマルウェアにはまた、「/proc/net/tcp」を監視し、HTTP Basic認証やCookieヘッダーの奪取を試みる認証情報スニファーモジュールも搭載されています。
SOCKS5モジュールは直接リッスンモードとリバースリレーモードの両方をサポートしており、攻撃者は不正なトラフィックを隠蔽したり、地理的制限を回避したり、侵害したシステム経由でネットワークにアクセスしたりすることが可能になります。
Fortinetによれば、プロキシセッションは独立して実行され、同時に複数開くことも可能なため、ボットネットが十分な規模に成長すれば住宅用プロキシサービスとして収益化できるとのことです。
SSHスキャナーモジュールは、企業向けアカウントを狙った150通りのユーザー名とパスワードの組み合わせを使用し、ハニーポットを回避するためのログイン後チェックも実施します。
最後に、Miraiから継承されたDDoSモジュールは、UDP、DNS、SYN、ACK、GRE、断片化TCP、そしてリクエストをカスタマイズ可能なHTTPフラッドを含む16種類のフラッド手法をサポートしています。
ボットネットマルウェアから身を守るには、IoT機器のファームウェアを常に最新の状態に保ち、デフォルトの管理者認証情報を変更し、リモートアクセスパネルを無効化し、ベンダーがサポートを終了した機器は買い替えるようにしてください。
攻撃者が有効な認証情報を手にした後、その行動のうちブロックされるのはわずか37%
全体的な防御スコアだけでは、初期侵入後に何が起きるかは見えてきません。攻撃者が有効な認証情報を使い始めると、防御成功率は急激に低下します。
「The Blue Report 2026」は、顧客の本番環境で実施された3億3,800万件のシミュレーションをもとに、手法ごとに防御力を測定しています。
