新型IoTマルウェア「KATARU」、公開済みLinuxエクスプロイトでroot権限を奪取しDDoS攻撃を仕掛ける

KATARUと名付けられた新たに観測されたIoTマルウェアファミリーは、インターネットに公開されたデバイスをTelnet認証情報のブルートフォース攻撃で狙います。その後、公開されているLinuxカーネルエクスプロイトを使ってroot権限の奪取を試み、侵害したシステムをDDoSボットネットに組み込みます。

このサンプルは、Mirai系で見られるおなじみのフラッド攻撃機能に加え、暗号化されたコマンド&コントロール通信、広範な永続化ロジック、解析回避チェック、さらにインシデント対応を複雑化させるためのおとりネットワーク通信を組み合わせています。

侵入に成功すると、攻撃者はBusyBoxのコマンドを使ってvlxx.armという名前のARM向けペイロード（SHA-256ハッシュ値：13382c16e2401b07451577b46e634b8031ec254d98b876e59692b5fa22abc1d4）をダウンロード・実行しました。

condi72やcondixxといったステージング用の痕跡は、この配布フローが、以前から公開されているドロッパーコードに関連すると見られる基本的なローダーとつながっていることを示しています。

KATARUを特徴づけるのは、権限の低い初期アクセスを完全なroot制御へと昇格させようとする点です。

マルウェアはまず/etc/passwdが書き込み可能かどうかを確認します。書き込み可能であれば、KATARUはroot:x:のエントリをroot::に書き換え、パスワードなしでのsu利用を可能にする恐れがあります。

ダウンロードアンチウイルスソフトウェア

この近道が失敗した場合、公開済みの概念実証（PoC）コードから派生した複数のLinuxローカル権限昇格エクスプロイトを試みます。

この中には、「Fragnesia」として知られるCVE-2026-46300が含まれます。これはLinuxカーネルのXFRM ESP-in-TCP処理に影響を及ぼす脆弱性で、ローカルの攻撃者がページキャッシュに裏付けられた読み取り専用ファイルを改変し、権限を昇格させることを可能にする恐れがあります。

このマルウェアには、CVE-2026-43284を含む「Dirty Frag」系の脆弱性や、「Copy Fail」の脆弱性であるCVE-2026-31431に関連するコードも組み込まれています。

これらの脆弱性ファミリーは、いずれもLinuxカーネルのネットワーキングまたは暗号処理サブシステムに影響を及ぼす、ローカルでのroot権限昇格リスクとしてすでに報告されています。

しかし解析の結果、ARM版のKATARUバイナリの権限昇格ルーチンには、x86向けに書かれたシェルコードが含まれていることが判明しました。

この不一致は、作者らがエクスプロイトの素材を、対象デバイスのアーキテクチャ向けに適切な移植やテストを行わないままコピーしたことを強く示唆しています。

とはいえ、この不備によってマルウェアの脅威度が下がるわけではありません。設定に不備のあるシステムに対しては依然として攻撃が成功する可能性があり、対象ハードウェア向けに正しく動作する亜種を選択的に展開することもできます。

実行後、KATARUは/proc/self/exeを通じて自身の実行パスを特定し、候補となるファイルシステムの場所に自らをコピーします。

権限が許す場合には、ファイル属性を変更し、対象ファイルを上書きしたうえで、削除を妨げるためにimmutable（変更不可）フラグやappend-only（追記専用）フラグを付与することもあります。

その永続化手法の網羅性は異例といえるほど広範です。マルウェアは、systemdのサービス、タイマー、ジェネレーター、パスユニットの悪用に加え、cronジョブや@reboot、rc.local、SysV initファイル、シェルのプロファイルスクリプトの悪用も試みます。

GBhackersと共有されたレポートの中でNozomiは、このマルウェアはハニーポットがベトナムのIPアドレスからのTelnetブルートフォース攻撃を受けたことをきっかけに発見されたと述べています。

ダウンロードアンチウイルスソフトウェア

IoTマルウェアによる攻撃

OpenWrtのhotplugおよびprocdの仕組み、U-BootおよびNVRAMフック、DHCP・udev・パッケージマネージャーのスクリプト、OpenRC、runit、s6、dinitを含む代替initフレームワーク、さらにXDGデスクトップの自動起動場所にも対応しています。

このマルウェアには、Android向けのロジックも含まれています。root化されたAndroidシステムに関連するブートスクリプトの場所を確認し、起動完了後に立ち上がるinitサービスの作成を試みます。

こうした「あらゆる手段を試す」永続化モデルにより、このボットネットはルーター、組み込みLinuxデバイス、産業用アプライアンス、Linuxホスト、さらには改造されたAndroid端末に至るまで、再起動を生き延びる機会を得ています。

KATARUは、旧来のMirai亜種によく見られる平文通信からは一線を画しています。

コマンド&コントロールインフラとの通信には、X25519鍵交換と、ChaCha20-Poly1305による暗号化・認証付きメッセージフレームを使用します。

この設計により、受動的な通信解析やC2インフラのなりすましがより困難になる可能性があります。

注目すべき実装上の不備として、組み込まれ固定化されたX25519公開鍵が、RFC 7748のテストベクターに登場するAliceの公開鍵と一致している点が挙げられます。これは、実運用レベルの適切な暗号鍵管理というより、参照コードをそのままコピーした痕跡と考えるのが妥当です。

制御下に置かれると、感染デバイスはTCP、UDP、ICMP、HTTP、QUIC、DNSの各フラッド攻撃を仕掛けられるようになります。

KATARUには、MinecraftやFiveM、OpenVPN、WireGuardの各サービスを狙った攻撃機能に加え、組み込みの認証情報を用いたSSHブルートフォース機能も含まれています。

さらに、C2側のオペレーターはボットに対し、第2段階のペイロードのダウンロード・実行、シェルコマンドの実行、UDPスループットテストの実施、実行中の攻撃の停止、あるいはマルウェア本体とその永続化痕跡の削除を指示することもできます。

このマルウェアには、ptrace、TracerPid、LD_PRELOAD、Valgrind、radare2関連の環境変数、解析ツールのプロセス名を対象としたアンチデバッグ機能も備わっています。

また、デバッグや計測付き実行の検知を目的としたタイミングチェックも使用しています。

KATARUはさらに、偽のビーコン通信、合成されたHTTPリクエスト、誤誘導を狙ったJWTデータ、おとりのホスト名、IRC風の通信、無意味なUDPパケットも発信します。

データガバナンスコンサルティング

おとりの宛先の一部はRFC文書用のアドレス範囲を使用していますが、それ以外は正規のサードパーティ製インフラを指しているものもあります。

したがってアナリストは、バイナリに埋め込まれたホスト名、IPアドレス、文字列のすべてを確定的な侵害指標（IOC）として扱うことは避けるべきです。

組織は可能な限りTelnetを無効化し、デフォルト認証情報を排除したうえで、デバイス管理をセグメント化された管理ネットワークやVPN経由に限定し、対応するデバイスファームウェアとLinuxカーネルにパッチを適用する必要があります。

Fragnesia、Dirty Frag、Copy Failの各脆弱性は、脆弱なシステムにおいて権限の低い足がかりがroot権限レベルの侵害へと発展しうることを裏付けています。

また防御側は、許可されていないsystemdユニット、cronジョブ、改変されたブートスクリプト、OpenWrtのフック、想定外のimmutableファイル、不審な暗号化された外向き通信、IoT資産からの突発的な大量トラフィックについても監視すべきです。

KATARUは、実装自体は雑で不完全な部分を残しながらも、公開エクスプロイト・コピーされたコード・AI支援による開発を組み合わせることで、コモディティ化したボットネットがいかに急速に破壊的な脅威へと発展しうるかを示しています。

侵害指標（IOC）

注： IPアドレスおよびドメインは、意図せぬ名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理（無害化）を施しています（例： [.]）。リファング（無害化解除）は、MISP、VirusTotal、あるいはSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

★ 7段階のメトリックゲート方式によるAI SOC導入フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。