Labが注意を促している。Miraiは、Telnetへのログインを試みて、Linuxで動作するルーターやウェブカメラ、DVR、プリンターなどのIoTデバイスに感染するマルウエア。2016年10月には、DNSサービスを提供する米Dynに対して大規模なDDoS攻撃を加え、Amazon.com、Twitter、Netflixなどのサイトで大規模な障害が発生した。Mirai単体では、特定範囲のIPアドレスに対してブルートフォース攻撃を行って感染し、ボットネットを拡大するが、トレンドマイクロによれば、今回発見されたMirai拡散マルウェアはWindowsで動作するもの。C&Cサーバーに接続して探索用のIPアドレスリストを受信し、これを探索した後、対象がLinux機器であればMiraiを作成、Windowsであれば自身のコピーを作成するものとなる。Directory)、1433(MSSQL)、3306(MySQL)、3389(RDP)の各ポートを標的の探索に利用する。これにより、攻撃対象を可能な限り拡大しているという。Serverが動作していれば、sysadmin権限を持つデータベースのユーザーとして管理者レベルのアクセス権限を持つ“Mssqla”を作成する。現時点での機能は、Miraiの拡散に限られているが、トレンドマイクロでは、今後機能が拡大された場合を懸念している。LabのセキュリティリサーチャーによるSECURELIST公式ブログによれば、2017年に入ってすでに500システムへの攻撃が確認されているという。攻撃の第2段階にかかわるIPアドレスの位置情報から、特に攻撃を受けやすい国として、これまでの感染数が最も多いインド、次いでベトナム、サウジアラビア、中国、イラン、ブラジル、モロッコ、トルコ、マラウイなどを挙げている。Labでは、Windows版のMirai拡散マルウェアは、Miraiのコードベースより機能が豊富で堅牢であることから、経験豊富な開発者によって開発されたと指摘しているほか、コードがコンパイルされたのが中国語のシステムであること、ホストサーバーが台湾で管理されており、中国企業から窃取された証明書が悪用されていたことから、中国語話者が作者と推定している。Labのプリンシパルセキュリティリサーチャーのコート・バウムガートナー氏は「WindowsプラットフォームからLinuxプラットフォームへと感染するMiraiの出現は極めて憂慮すべき事態で、その開発者のスキルが高いことも懸念すべき点だ。2016年に公開されたMiraiマルウェアのソースコードは、バンキング型トロイの木馬『Zeus』がソースコードが2011年に公開されたことと同様、何年間にもおよびインターネットに影響を与えるだろう。Windowsボットネットは、新しいデバイスやネットワークにMiraiを拡散できるようになっている。これは始まりにすぎない」と述べている。