Things、IoT)」を狙うマルウェア「Mirai」、およびその亜種は未だに活動を収束する気配を見せず、ユーザにとって対処すべきサイバー空間の脅威となっています。新しい亜種の検体(検出名「Backdoor.Linux.MIRAI.VWIRA」)を入手し、解析を行いました。Router)」ネットワーク上にC&Cサーバを設置しているという特徴があり、注目すべきと考えています。入手した検体には、表1に示す30個の接続先アドレスが初期接続先としてハードコードされていました。送信していることがわかりました。従って、この接続先リストはsocks5プロキシサーバのリストと考えられます。オンライン検索エンジン「Shodan」を用いてこれらのアドレスを調査したところ、これらのプロキシサーバの多くはTorネットワークへの接続を中継するsocksプロキシとなっていることがわかりました。接続を中継させることがわかりました。プロキシを経由したC&Cサーバへの接続が確立しなかった場合には、リスト内の別のプロキシサーバを選び、再度接続を試みるようになっていました。実際に検証環境にTorプロキシを設置し、Torプロキシを経由してC&Cサーバに接続したところ、攻撃者用のログインプロンプトを確認できました。「Mirai」亜種で使われるC&Cサーバのログインプロンプトと同様のものでした。本検体は、他のmirai検体と同様に設定情報を34(0x22)とのXORで暗号化していました。デコードした設定情報を以下に示します。found」という文字列が存在していました。■感染の拡大この検体は、インターネット上のランダムなIPアドレスに対してTCPポート9527、および34567のスキャンを行います。これらは特定のIPカメラ、DVRが遠隔管理のために用いるポート番号です。検体がこれらのポートに送信するメッセージの中には機器のデフォルトの認証情報とみられる情報も記載されており、この情報を使って機器に侵入することで感染を拡大する可能性があります。検体が使用している通信プロトコルの解析を行ったところ、本検体はsocks5プロキシサーバを通してC&Cサーバへの接続を行った後は、従来のmiraiやその亜種で使用されているプロトコルと同様のプロトコルを用いていました。トレンドマイクロでは、解析の途上で、検体が用いるDDoS攻撃コマンドと考えられるバイト列を確認しました。攻撃実行のコマンドと考えられます。確認することができました。同URLはオープンディレクトリになっており、異なるアーキテクチャを狙う検体の存在が確認できました。同様に得られた検体のハッシュ値からも別の不正サーバが確認でき、こちらでもアーキテクチャ違いの関連検体の存在が確認できました。「BrickerBot」を2017年に確認しています。BrickerBotはIoT機器を使用不能にする破壊活動が主な目的のものでした。DDoS攻撃を目的としている可能性が高く、BrickerBotとは全くの別物であると考えられます。その他にTorネットワーク上のC&Cサーバを使用するMirai亜種は、現時点の公開情報を調べた限りにおいては確認できませんでした。亜種と異なり、C&CサーバがTorネットワーク上にありました。このことは、攻撃者がC&CサーバのIPアドレスを把握されたくないと考えているためである可能性があります。亜種のC&CサーバのIPアドレスを管理するホスティング業者にabuseを通報してテイクダウンしたり、ドメインのレジストラに通報してドメインを解決できなくさせたりするリサーチャの活動事例も出てきています。攻撃者はこのようなリサーチャの活動に対抗するために、Torネットワーク上にC&Cを配置し始めたものと考えられます。■被害にあわないためにはMiraiもしくはその亜種となるIoTマルウェアは、IoT機器の脆弱性、もしくは脆弱な認証情報を利用して感染を広めます。インターネットに露出させる必要のない機器はルータ配下に設置するなどにより、そもそも外部からアクセスできない状態で運用することを推奨します。やむを得ず外部からのアクセスを許可する場合には、必ず認証情報を初期設定から変更してください。パスワードにはなるべく推測され難い文字列を使用して辞書攻撃や総当たり攻撃による不正アクセスを防いでください。正規ベンダからの更新プログラムは必ず適用し、攻撃に利用可能な脆弱性が存在しないようにしてください。■トレンドマイクロの対策トレンドマイクロ製品では、本記事で取り上げたIoTマルウェアについて「ファイルレピュテーション(FRS)」技術での検出に対応しています。Network」では、接続されている各デバイスへの脆弱性を悪用する攻撃をネットワークレイヤでブロックします。compromise、IoCs)侵入の痕跡はこちらを参照してください。posts:「BIFROSE」を標的型攻撃で確認、Torを利用し検出がさらに困難に米Yahoo、不正アクセスによる約5億件のユーザ情報が流出。