新たな悪意あるボットネットEvooo1Botは、ルーター、一部のカメラ、ファイアウォール、ネットワーク接続ストレージなど、インターネットに接続されたゲートウェイ機器を標的とし、それらをSOCKS5プロトコルによるトラフィック中継ノードに変換することを目的としている。Miraiフレームワークを基盤とするこのマルウェアは、この機能に加えて、認証情報の窃取、SSHサービスのスキャン、分散型サービス拒否攻撃の実行などの機能を備えている。
入手可能な情報によると、このキャンペーンは少なくとも7月以降、機器を標的にし始めており、さまざまな地域でAlcatel、NETGEAR、Tenda、Mitsubishi Electric、Telesquare、D-Linkの製品が対象となった。Fortinetの研究者らは、Evooo1Botが流出したMiraiソースコードのDDoS攻撃エンジンを再利用している一方、コマンド・アンド・コントロールサーバーとの暗号化通信機能、SSH攻撃スキャナー、SOCKS中継モジュール、認証情報センサー、組み込み型のエクスプロイト群によってフレームワークを拡張していると述べた。
複数の製品と脆弱性を標的
最新のバージョンには、脆弱性を悪用する独立したモジュールが含まれており、Hikvisionのカメラ、Atlassian Confluence製品、Zyxelのファイアウォール、TP-Linkの機器、D-Link NAS、WSO2製品、Kubernetes ingress-nginx、脆弱なPHP-CGIのインストール環境を標的としている。ただし、Fortinetの研究者らは、組み込まれた一部のエクスプロイトが不正確に実装されており、侵害の試みが失敗すると指摘した。
悪用に成功すると、マルウェアは標的機器のプロセッサーアーキテクチャーに対応する、利用可能な12種類のペイロードのいずれかをダウンロードし、その後、攻撃の痕跡を消そうとしてBashの履歴を消去する。また、感染した機器上で活動を開始する前に、デバッガー、セキュリティソフトウェア、テスト環境、サンドボックス、仮想マシン、コンテナ、ハニーポットの存在を確認する。
トラフィックの中継と機器の制御
Evooo1Botは、systemd、SysV init、シェルのプロファイル、rc.localを通じて永続化を確立する一方、cronタスクによって5分ごとにペイロードを再ダウンロードしようとする。ボットネットの管理者には、侵害したシステムを直接制御するための対話型シェルへのアクセスに加え、ファイルのアップロードおよびダウンロード用のコマンドも提供される。
認証情報センサーは/proc/net/tcpファイルを監視し、HTTP Basic AuthenticationのヘッダーとCookieの取得を試みる。SOCKS5モジュールは、直接リスニングモードとリバース中継モードをサポートしており、攻撃者は悪意あるトラフィックを隠蔽したり、地域的な制限を回避したり、侵害したシステムを通じてネットワークへのアクセスを試みたりできる。中継セッションは独立して動作し、複数のセッションを同時に開くことが可能であるため、規模が拡大すれば、住宅用プロキシサービスを通じてネットワークが商業的に悪用される可能性がある。
SSHスキャンとDDoS攻撃
このマルウェアのSSHスキャナーは、企業環境を対象としたユーザー名とパスワードの組み合わせを150通り使用し、ログイン後にハニーポットを回避するためのチェックを実行する。Miraiから引き継いだDDoSモジュールは、UDP、DNS、SYN、ACK、GRE、断片化TCPを含む16種類のフラッド手法に加え、カスタマイズ可能なリクエストによるHTTPフラッドをサポートしている。
このマルウェアによるリスクを抑えるため、示されている指針では、IoT機器のファームウェアを更新すること、デフォルトの管理認証情報を変更すること、リモートアクセス用の管理パネルを無効にすること、メーカーがサポートを終了した機器を交換することを推奨している。