LinuxボットネットEvooo1Bot、Miraiの機能をDDoS以外にも大幅拡張

新たなMirai派生型ボットネットが野放しになっています。このボットネットはインターネットに接続された各種デバイスの脆弱性を悪用してLinuxシステムを標的とし、分散型サービス拒否(DDoS)攻撃と、より広範な悪意ある機能を組み合わせています。

Fortiguard Labsの研究チームが「Evooo1Bot」と呼ぶこのボットネットは、Alcatel、NETGEAR、Tenda、三菱電機、Telesquare、D-Linkといったメーカーの機器を含む、インターネットに接続されたデバイスを少なくとも7月以降積極的に標的にしていると、金曜日に公開されたレポートは指摘しています。

「Evooo1Botは、Mirai DDoSエンジンを、はるかに機能豊富でモジュール化されたフレームワークに組み込んだLinuxボットネットファミリーです」と、Fortiguard Labsの脅威研究者であるCara Lin氏はレポートの中で説明しています。

研究者らは、すべてのバイナリにハードコードされた文字列「evooo1」を発見したことから、このボットネットを命名しました。このボットネットは2007年まで遡る古い脆弱性から、昨年発見されたばかりの脆弱性まで、数多くの脆弱性を悪用します。Evooo1Botは、公開流出したMiraiのソースコードからDDoSエンジンを再利用していますが、それにとどまらず、攻撃者に対して脆弱なLinuxベースのデバイスを侵害し収益化するための多機能プラットフォームを提供している、とLin氏は述べています。

「本ボットネットは、暗号化されたC2通信、SSHブルートフォーススキャナー、SOCKSリレーモジュール、認証情報スニファー、複数の既知の脆弱性を狙う統合型エクスプロイト群など、数多くの機能でオリジナルのフレームワークを拡張しています」とLin氏は記しています。

Evooo1Botの追加機能による活動

FortiGuardは、IPSのテレメトリを通じてEvooo1Botを発見しました。研究者らは、さまざまなエッジデバイスを標的とする悪用活動を観測し、すべてのペイロードのコールバックが同一のローダーURL「91.92.40[.]118/wget.sh」を指していることを確認したと、レポートは述べています。

このボットネットの侵入経路となっているのは、各デバイス上で未修正のまま残された広範囲にわたる脆弱性群で、コマンドインジェクションやリモートコード実行の不具合が含まれます。具体的にはCVE-2007-3010、CVE-2016-6277、CVE-2018-14558、CVE-2019-14931、そしてCVE-2020-10987などが挙げられます。これは、攻撃者が組織を脅かすために最先端のエクスプロイトを必要とせず、忘れ去られ、未修正のまま古い脆弱性を抱え続けるデバイスを標的にできることを示している、とLin氏は指摘しています。

インストールされると、Evooo1BotはTCPポート442経由で暗号化されたコマンド&コントロール(C2)通信を確立し、systemdサービス、cronジョブ、シェルプロファイルなど複数の手段を通じてコマンドを実行し、永続性を維持できます。また、Lin氏によると、実行前に解析ツールや仮想化環境、ハニーポットの検出も試みます。Lin氏は、この検出機能はほかの活動と組み合わさることで、極めて高い成熟度を示していると指摘しています。「これらの機能により、Evooo1Botは従来のMirai派生型マルウェアの技術水準をはるかに超える存在になっています」と同氏は記しています。

彼らに「SOCK」を食らわせる

これまでのMirai系ボットネットもDDoS以外の活動をその武器庫に取り入れてきましたが、Evooo1Botのリバースソックスリレーモジュールは重要な進化であり、Lin氏によれば「おそらく運用上最も重要な機能」だといいます。この機能により、攻撃者は被害者自身のネットワークを経由してその後のトラフィックをルーティングできるようになり、さまざまな追加の悪意ある活動を覆い隠す手段が得られます。

「侵害したルーター、ファイアウォール、IPカメラ、その他のエッジデバイスを恒久的なプロキシに変えることで、このマルウェアは攻撃者が本当の出所を隠し、内部ネットワークへ横展開し、被害者のインフラを通じて後続の作戦を遂行することを可能にします」と同氏は記しています。

実際、Secure.comのエンジニアリング責任者であるWaseem Ahmed氏によると、大半のMirai以降のボットネットが「標的をオフラインに追い込むための火力を単に上乗せするだけ」であるのに対し、Evooo1Botは大量トラフィックによる攻撃だけにとどまらないといいます。

「このボットネットは、企業向けのログイン情報リストを使ってSSHをブルートフォース攻撃し……ルーター、カメラ、ファイアウォールに存在する既知の不具合を長いリストにわたって悪用し、その後、侵害したデバイスを攻撃者がトラフィックを流せる隠れたSOCKSプロキシへと変えてしまいます」とAhmed氏はDark Readingに語っています。「その最後の部分こそ、Fortinetが最も重要だと指摘している点であり、その指摘は正当です」

この機能により、このボットネットは侵害したエッジデバイスを、攻撃者にとって「本当の所在地を隠し、ネットワークの奥深くへ横展開する足掛かりを与え、さらにレジデンシャルプロキシとしてほかの犯罪者に貸し出すことすらできる」完全な攻撃基盤に変えてしまう、とAhmed氏は説明しています。「これは稚拙なマルウェアではありません。実行前にサンドボックス、デバッガー、ハニーポットの有無を確認する点からも、ボットネット開発がプロフェッショナル化していることがうかがえます」

Mirai亜種への対策

Evooo1Botは、Miraiの流出したコードベースが攻撃者にとっていまだに恩恵を与え続けていること、そしてMiraiから派生したボットネット群が比較的単純なDDoS脅威から多目的アクセスプラットフォームへと進化を続けていることを改めて示しています。つまり、組織は脆弱なエッジデバイスを単なるDDoSボットネットのリスクとしてだけでなく、社内ネットワークへの潜在的な足掛かりとして扱うべきだと、Fortigauardは総括しています。

Fortiguardによると、防御側が直ちに優先すべき対策には、レガシーとみなされる、あるいはアップグレードが困難とされるデバイスなど、外部に露出したネットワーク機器のパッチ適用や交換が含まれます。Suzu Labsでセキュアなセキュリティ&AIソリューションを統括するシニアディレクター、Jacob Krell氏は、「Evooo1Botが標的とする脆弱性の一部は、ほぼ20年前にまで遡るものです」と指摘しており、この対策は特に重要だといえます。

そのほかに取るべき緩和策・防御策としては、不正なcronジョブ、systemdサービス、initスクリプト、シェルプロファイルの変更がないか確認すること、ネットワークインフラに対する原因不明のSSH活動や認証試行を調査すること、そしてデバイスが予期せずSOCKS/プロキシのエンドポイントとして動作していないか監視することなどが挙げられます。