Micro0IoTの新たな脅威、ネットワークカメラをボット化する「PERSIRAI」の出現トレンドマイクロは、2017年4月、IoTボットネットを構築する新しいマルウェアの検体を入手しました。このマルウェアは、「PERSIRAI」(「ELF_PERSIRAI.A(ペルシライ)」として検出)と呼ばれ、OEMで生産されたネットワークカメラを対象にしており、影響のあるモデルは1,000以上になります。インターネット上でソースコードが公開されている「MIRAI」から派生したマルウェアとして出現しました。denial-of-service、DDoS)」攻撃を実行し、数々の被害を発生させ、2016年の主要なサイバーセキュリティ事例として報告されています。派生したものに「HAJIME」が確認されています。トレンドマイクロは、インターネットに接続しているさまざまな端末機器を対象にしたオンライン検索エンジン「Shodan」で、「ELF_PERSIRAI.A」によって侵害可能なネットワークカメラを世界中に約12万台確認しました。IoT機器の利用者の多くは、自身のネットワークカメラがインターネットに公開されていることに気づいていません。TCPポート81経由で簡単にそのようなネットワークカメラの管理画面にアクセスできる状態となっています。Play(UPnP)」をサポートしています。このネットワークプロトコルは、機器を接続するだけでルータのポートを開放しサーバのように機能させることを可能にしますが、この機能により攻撃者から狙われるリスクは高くなります。Webサイトに接続させます。Webサイトは、次のコマンドで応答します。これらのコマンドは、ドメイン「ntp[.]gtpnet[.]ir」からシェルスクリプト「wificam.sh」をダウンロードし、実行します。実行された「wificam.sh」は、次のファイルをダウンロードして実行します。これらは実行後削除されます。自身を削除しメモリ内でのみ実行されます。これは自身が利用した脆弱性の利用をブロックしておくことで、自身がボット化したネットワークカメラが他の攻撃者に侵害されてしまうことを回避します。カメラが再起動された場合、再び攻撃に対し脆弱な状態に戻ります。侵害されたネットワークカメラは、次のコマンド&コントロール(C&C)サーバに返答します。load[.]gtpnet[.]irntp[.]gtpnet[.]ir185[.]62[.]189[.]23295[.]85[.]38[.]103ネットワークカメラがサーバからコマンドを受信すると、数カ月前にインターネット上に公開されたゼロデイ脆弱性を利用することによって、自動的に他のネットワークカメラへの攻撃を開始します。この脆弱性を利用することによって攻撃者はユーザからパスワードファイルを取得できるため、パスワードの強さに関係なくコマンドを実行できます。以下は、「ELF.PERSIRAI.A」のコードの文字列です。DDoS攻撃が指示されます。DDoS攻撃を実行可能です。図4は、バックドアのプロトコルです。図7:C&Cサーバのバックドアのプロトコル赤の部分は、C&Cサーバからネットワークカメラへの通信を示しています。攻撃のコマンドと、DDoS攻撃対象のIPおよびポート番号が含まれています。C&Cサーバは国コード「.IR」を利用していました。この特殊な国コードはイランの研究機関によって管理されており、利用者が限定されています。マルウェアの作者が、特定のペルシャ文字を利用しているのも確認されています。解析に利用したネットワークカメラの製造業者からは、最新のファームウェアは既に問題の脆弱性に対処済みであると公表されているため、弊社でファームウェアの更新を試みました。図9に示されるように、ファームウェアは最新バージョンであるにもかかわらず、脆弱性は抱えたままであることが確認されました。IoT機器を狙うマルウェアを作成するために雛形として流用される可能性について言及していました。IoT機器への攻撃へと集中するようになる可能性があります。この問題は、セキュリティ対策を特に実践していないユーザが悪化させていると言えます。IoT機器を対象にしています。利用者は、できるだけ早く初期設定のパスワードを変更し、強いパスワードにする必要があります。IoT機器のセキュリティは保証されません。自身の所有するネットワークカメラが外部から攻撃されないようにするためには他の対策も取り入れる必要があります。UPnP設定を無効にしてください。IoTセキュリティは、ユーザのみで対処できるものではありません。製造業者も、機器の安全の確保、またファームウェアを更新し最新の状態にする責任があります。これに調和し、利用者は、脆弱性を突いて侵害される可能性を最小限に抑えるために常に最新のファームウェアに更新されているか確認してください。IoTデバイスを効果的に保護することができます。Inspector」は気付くことが難しい標的型攻撃やゼロデイ攻撃をネットワーク上の振る舞いから見つけ出し、早期に対処し被害の深刻化を防ぐことができます。Network」は、家庭内に接続されている各デバイスへの脆弱性を悪用する攻撃をネットワークレイヤでブロックし、ルータなどの脆弱性を悪用する攻撃に対応します。DDIルールによってこの脅威を検知します。Network」は、以下の検出ルールによってこの脅威を検知します。-1.u「PERSIRAI」を検出するためのYaraルールは以下の通りです。SHA256は以下のとおりです。