KATARUと名付けられた新たなIoTマルウェアファミリーが、Telnet認証情報に対するブルートフォース攻撃を通じてLinuxベースのデバイスを狙い、root権限の奪取を試みたうえで侵害したシステムをDDoSボットネットに組み込んでいることが確認されました。
このマルウェアは、攻撃者がIPアドレス160[.]191.242.92からハニーポットのTelnet認証情報に対してブルートフォース攻撃を仕掛けた際に観測されました。侵入に成功した後、攻撃者はBusyBoxコマンドを使ってARM向けペイロードvlxx.armをダウンロード・実行しました。
KATARUは、DDoS攻撃機能やブルートフォース機能など、Mirai系ボットネットと共通する特徴をいくつも備えています。
しかし研究者らの調査によると、このマルウェアにはさらに、Linuxの権限昇格エクスプロイトを幅広く搭載しているほか、永続化の仕組み、暗号化されたコマンド&コントロール通信、解析回避のためのチェック機能、そしておとりのネットワークトラフィックまで備わっていることが判明しました。
実行されると、KATARUはまず/etc/passwdが書き込み可能かどうかを確認します。書き込み可能な場合、マルウェアはrootパスワードのプレースホルダーを削除しようと試み、これにより攻撃者はパスワードを入力せずにsuを実行してroot権限を得られるようになります。
この手法が失敗した場合、マルウェアは複数の公開されているLinuxのローカル権限昇格エクスプロイトを試します。これにはFragnesiaの名で知られるCVE-2026-46300、DirtyFragと呼ばれるCVE-2026-43284、そしてCopy Failとして知られるCVE-2026-31431向けのコードが含まれます。
また、このサンプルはcgroup v1のrelease_agentを悪用した権限昇格(エスケープ)も試みます。この手法では、マルウェア自身を再起動させるスクリプトを書き込み、そのスクリプトを昇格した権限で実行するようcgroupのリリースハンドラーを設定しようとします。
注目すべき点として、解析対象のペイロードはARMデバイス向けに作られていたものの、組み込まれたエクスプロイトのシェルコードの一部はx86システムを標的としたものでした。
このミスマッチは、攻撃者側が公開されている概念実証(PoC)コードを、対象アーキテクチャごとに適切な調整やテストをせずにそのまま流用したことを示唆しています。
続いてKATARUは、自身を複数の場所にコピーし、起動の仕組みを改変することで再起動後も生き残ろうとします。
標的となるのは、systemdのサービスやタイマー、cronジョブ、SysV initスクリプト、rc.local、シェルのプロファイルファイル、OpenWrtのスクリプト、NetworkManagerのフック、DHCPフック、パッケージマネージャーのフック、そしてAndroidの起動サービスの格納場所などです。
また、必要なLinux capabilityを保持している場合、マルウェアはコピーしたファイルをimmutable(変更不可)またはappend-only(追記のみ)に設定することがあり、これにより駆除がより困難になります。
平文通信を使う多くの単純なIoTボットネットとは異なり、KATARUは独自の暗号化されたコマンド&コントロールチャネルを使用します。
X25519の鍵ペアを生成し、ChaCha20-Poly1305暗号を用いて攻撃者との通信を保護しています。
C2サーバーは感染デバイスに対し、TCP、UDP、ICMP、HTTP、QUIC、DNS、そしてゲームサービスへのフラッド攻撃を指示できます。さらにMinecraft、FiveM、OpenVPN、WireGuardの各サービスを狙った攻撃にも対応しています。
このほかにもコマンドが用意されており、ボットネットの運用者はSSHへのブルートフォース攻撃の実行、追加ペイロードのダウンロードと実行、シェルコマンドの実行、攻撃の停止、あるいはマルウェア自体のアンインストールを行えると、Nozomi Networksは述べています。
注: 本文中のIPアドレスおよびドメインは、誤ってアクセスされたりハイパーリンク化されたりすることを防ぐため、意図的に無害化表記([.]など)にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。
16,000以上の組織から得られる最新のインテリジェンスにより、58%多くの脅威を検知できます。TIフィードを統合することで、自社のSOCを強化しましょう
翻訳元: https://cyberpress.org/linux-exploits-create-botnets/
