レガシーIRCボットネットが自動化されたSSHエクスプロイトパイプラインを活用してLinuxホストを大量登録

2ヶ月間にわたってSSHハニーポットで収集されたデータを通じて特定されたこのキャンペーンは、時代の洗練された融合を表しています。2000年代後半の「オールドスクール」なインターネットリレーチャット(IRC)ボットネット戦術と、現代の自動化された大量侵害技術を融合させています。

インフラストラクチャは既知の脅威に類似していますが、SSHStalkerはステルス性よりも回復力と規模に焦点を当てた独自の作戦です。

SSHStalkerをユニークにしているのは、展開における「現地調達」アプローチです。単に既製のウイルスを投下するのではなく、攻撃者は被害者のマシン上に自動化されたパイプラインを作成します:

1. 侵入: 攻撃は、SSHポートが開いているサーバー(ポート22)をスキャンするGolangベースのバイナリ(nmapに偽装)から始まります。
2. 構築: アクセスが確保されると、マルウェアはGCCコンパイラをダウンロードします。次に、被害者のサーバーに生のCソースコードファイルを投下し、その場でマルウェアをコンパイルします。
3. 接続: 新たにコンパイルされたボットは直ちにIRCサーバーに接続します。これにより、攻撃者はチャットチャンネルを使用して数千台の感染したマシンを制御できます。これは冗長性のために非常に効果的なレガシー手法です。

Flareの調査チームは、SSHStalkerと名付けられた文書化されていないLinuxボットネット作戦を発見しました。

永続性: 60秒ウォッチドッグ

SSHStalkerは非常にノイジーですが、削除が困難に設計されています。脅威アクターは隠密性よりもボットを生存させることを優先します。

ボットネットは、DDoS攻撃を開始したり暗号通貨マイニングを実施したりする能力を武器として持っているにもかかわらず、観察可能な影響操作を実行することなく永続的なアクセスを維持していました。 

このキットは1分ごとに実行されるCronジョブ(スケジュールされたタスク)をインストールします。このスクリプトは「ウォッチドッグ」として機能します。

マルウェアプロセスが実行されているかどうかをチェックし、防御者やアンチウイルスがボットを停止した場合、ウォッチドッグスクリプトは60秒以内に自動的に再コンパイルして再起動します。

この積極的な永続性メカニズムにより、個々のプロセスが終了してもボットネットは安定したままになります。

調査では、Linuxカーネルバージョン2.6.xを標的とした大規模なエクスプロイトライブラリが明らかになりました。これらの脆弱性は2009年と2010年にさかのぼります。

これらのエクスプロイトは、最新のアップデートされたLinuxサーバーに対しては効果がありませんが、「ロングテール」のレガシー環境に対しては壊滅的に効果的です。

これには、忘れ去られたクラウドインスタンス、古いIoTデバイス、およびメンテナンスされていない仮想プライベートサーバー(VPS)が含まれます。

Flareは、Oracle Cloudなどのクラウドホスティング環境に大きく集中した、約7,000の侵害されたIPの証拠を発見しました。

スキャン結果は、クラウドホスティングプロバイダーに大きく偏っており、AS31898やその関連Oracleネットワーク範囲などの大規模なASNブロックを運用するOracle Cloudインフラストラクチャの強い指標があります。 

攻撃者は、これらのレガシーシステムの大規模なネットワークを構築して暗号通貨(特にEthereum Classic)をマイニングし、AWS認証情報を収集しようとしているようです。

ルーマニアとのつながり

SSHStalkerの運用指紋は、Outlaw(またはMaxlas)ボットネットグループに強く類似しています。

ファイル構造、IRCの使用、および特定の永続性メソッドは類似しています。さらに、このキットはルーマニア語のアーティファクト、スラング、およびニックネームで満たされています。

しかし、Outlawとの直接的な関連を示す識別子は見つかりませんでした。これは、SSHStalkerがおそらく「コピーキャット」または同じエコシステムで活動する派生グループであり、異なる目的を達成するために類似のツールキットを利用していることを示唆しています。

このキャンペーンの最も顕著な警告サインは、本番サーバー上でのコンパイラのアクティビティです。防御者は、/tmpや/dev/shmなどのディレクトリでのgcc、make、またはビルドツールの実行を監視する必要があります。

さらに、アウトバウンドIRCトラフィックをブロックし、毎分実行されるCronジョブを監視することで、永続的な足場になる前に感染を検出できます。

侵害の痕跡