家庭用ルーターは、Wi-Fiを発信しながら何年も棚の上で静かに動作し、一見まったく問題なく機能しているように見えても、その裏で他人の攻撃トラフィックを密かに中継している場合があります。研究者らは、Dysphoriaボットネットに感染したデバイスが約29万6000台に上ることを特定しました。感染が確認されたのはルーター、ゲートウェイ、IPカメラ、その他のLinuxベースの機器で、脅威アクターはこれらをDDoS攻撃や隠れたプロキシサーバーとして悪用しています。
Shadowserverが脅威レベルを「CRITICAL」と評価
Shadowserver Foundationは今回の調査結果を公表し、確認されたすべての感染に対して最高レベルの「CRITICAL」評価を付けました。ボットネットの実際の規模は、これまでの推計を大きく上回っています。7月下旬にはXLabとCNCERTの研究者が20万台以上のデバイスがDysphoriaの制御下にあると報告しており、中国国外における同時活動中の感染数は、特定の日に23万9000台とピークに達していました。
Dysphoriaの感染経路:IoTボットネットに共通する攻撃手法
Dysphoriaは、IoTボットネットの間でよく知られた手法を通じて拡散します。このマルウェアは脆弱なTelnetおよびSSHパスワードへのブルートフォース攻撃を行うほか、既知のリモートコード実行の脆弱性を悪用します。標的となるのは家庭用・オフィス用ルーター、ネットワークゲートウェイ、カメラ、その他のデバイスで、これらの多くはインターネットに公開された管理インターフェースを持ちながら、何年も古いファームウェアのまま運用され続けているケースが少なくありません。研究者らは、ボットネットが長年にわたって悪用してきた既知の脆弱性に加え、比較的最近公表された脆弱性もDysphoriaの攻撃手法の中に確認しています。
ブロックチェーンを基盤とした指令インフラ:ENSとSNS
Dysphoriaの最大の特徴は、感染台数の多さというより、その指令インフラの設計方法にあります。ボットネットの開発者は、従来型のドメインに頼るのではなく、Ethereum Name Service(ENS)とSolana Name Service(SNS)を採用しました。このマルウェアは、必要となる通信インフラのアドレスをENSおよびSNSのレコードを通じて解決します。この手法により、防御側がレジストラに従来型のドメイン名の停止を単純に依頼することができなくなるため、テイクダウン(摘発・停止)作業は大幅に困難になっています。
多層的な隠蔽:中継ノードと化した感染デバイス
Dysphoriaの運用者は、さらにもう一段階の隠蔽層を加えています。感染したデバイス自体が、ボットと本物のコマンド&コントロール(C2)サーバーとの間に位置する中継ノードとして機能する仕組みです。研究者がネットワークトラフィックを解析しても、運用者の実際のサーバーではなく、別の感染デバイスのアドレスが見えるだけであり、この仕組みによって基盤インフラの特定・遮断は大幅に困難になっています。
純粋なプロキシインフラへの進化
6月下旬、開発者らはこの構想をさらに一歩推し進めました。研究者らは、DDoS攻撃機能を一切持たないDysphoriaの別バリアントを発見しています。このバージョンでは、感染デバイスの唯一の役割はプロキシおよびトラフィック中継として動作することでした。その数日後には、UPnPを利用したポートフォワーディングの自動設定機能が登場し、マルウェアがNAT制限を回避して外部からの受信接続を受け付けられるようになりました。
その結果、ごく普通の家庭用IPアドレスが、まったく別の誰かのトラフィックの中継地点として使われる可能性が生まれています。これにより攻撃者は、接続の本当の発信元を隠したり、IPベースの制限を回避したり、無関係な機器所有者のネットワークの背後にコマンド&コントロールサーバーを隠したりすることが可能になります。こうしてDysphoriaは、従来型のDDoSボットネットから、家庭用プロキシサーバー群によって構成される分散インフラへと徐々に姿を変えつつあります。
商用のDDoS請負サービスとしての側面
このプロジェクトには商用的な側面もあります。研究者らがDysphoriaと関連付けたあるページでは、運用者らが最大4TbpsのDDoS攻撃能力を宣伝し、攻撃の継続時間や帯域幅に応じた料金プランを提供していました。XLabの観測によれば、攻撃はほぼ毎日発生しており、標的は複数の国にまたがるインターネットサービスやゲームプラットフォームに及んでいます。
推奨される対策
Shadowserverは、影響を受けている可能性のあるデバイスの所有者・管理者に対し、デバイスのファームウェアを更新し、管理者パスワードおよびTelnet・SSHの認証情報を変更し、不要なリモートアクセスとUPnPを無効化し、既存のポートフォワーディング設定を監査するよう推奨しています。メーカーからセキュリティアップデートが提供されなくなった古いデバイスについては、完全に買い替えるべきだとしています。
翻訳元: https://meterpreter.org/dysphoria-botnet-iot-proxy-critical/
