This post is also available in: English (英語)

概要

2019年5月に発見されたECHOBOTというバイナリ名を使用するMirai亜種は、それ以降繰り返し出現しています。しかも、進化するつど新しいインフラを利用し、スキャン対象脆弱性リストに新しいものを追加している点は注目に値するでしょう。こうしてリストに新しい脆弱性を追加するのは、攻撃対象の増強を狙ってのことです。

他のMiraiの亜種とこの特定亜種が対照的なのは、その組み込みエクスプロイト数の多さが後者では抜きん出ている点です。ECHOBOTの最新バージョンには、計71件ものユニークなエクスプロイトが含まれており、うち13件はこれまでインターネット上でのエクスプロイトが確認されたことのないものです。それらは、2003年に遡る極めて古いものから、2019年12月上旬に公開されたばかりのものまで、実に幅広いCVEに及んでいます。この一見奇妙な(極端に新しいまたは古い脆弱性という)選択内容から、攻撃者はIoT機器の弱い部分に特化して脆弱性を狙っていた可能性が考えられます。つまり、「互換問題がって古すぎて更新できないがいまだに使用されているレガシーデバイス」を狙いつつも、「機器自体は新しいが脆弱性も新しすぎるために所有者のパッチ適用が追いついていないデバイス」をも標的にしていたことが考えられます。

新たに組み込まれたエクスプロイトは、狙われやすいルーターやファイアウォール、IPカメラ、サーバー管理ユーティリティから、PLC、オンライン決済システム、さらにはヨットの制御用webアプリケーションなどのめったに目にしないようなものまで、さまざまなデバイスを対象としていました。

このバージョンはまず2019年10月28日に数時間だけ公開された後削除されました。その後、12月3日に再度登場し、ペイロードIPを切り替えて、10月のサンプルにはなかった2つのエクスプロイトを最終的に追加しています。最近、このバージョンの詳細記事が公開されましたので、本稿では、ある場合は対象となる脆弱性のCVE番号と、10月から追跡している本バージョンのIoCとを共有することにします。

以下のセクションでは、ほかのサイトで公開されているエクスプロイトの数えかた(77件)と本稿でのそれ(71件)が一致していない理由についてもふれています。

エクスプロイト

ECHOBOTの最新亜種には、計71件のユニークなエクスプロイトが含まれていますが、うち13件は同バージョンリリース前には実際にエクスプロイトされている様子が確認されたことはありません。なお本稿では、異なるデバイスでも同じ脆弱性を標的としている（ファームウェアが共通）場合や、同じ脆弱性を狙うが標的となるポートが異なっているエクスプロイトについては、1グループにまとめています。

このバージョンで新しく追加されたエクスプロイトと、以前のMirai亜種ですでに確認されたことのあるエクスプロイトを以下の表1にまとめます。

脆弱性	影響を受けるデバイス	スキャンされるポート	エクスプロイトの形式
CVE-2019-17270	Yachtcontrol Webservers (ヨットの制御用webサービスアプリケーション)	8081
CVE-2019-18396 / CVE-2017-14127	Technicolor TD5130v2、Technicolor TD5336 ルータ	161
AVCON6 のリモートコード実行	AVCON6 ビデオ会議システム	8080
CVE-2019-16072	Enigma Network Management Systems v65.0.0	80
CVE-2019-14931	三菱電機 smartRTU および INEA ME-RTU	80
Sar2HTML のリモートコード実行	Linux サーバー用 Sar2HTML プロットツール v3.2.1	80
CVE-2017-16602	NetGain Systems Enterprise Manager	8081
CVE-2017-6316	Citrix NetScaler SD-WAN 9.1.2.26.561201 デバイス	443
CVE-2013-5912	Thomson Reuters Velocity Analytics Vhayu Analytic Servers 6.94 ビルド 2995	80
ACTi ASOC2200 のリモートコード実行	ACTi ASOC 2200 Web Configurators バージョン 2.6 およびそれ以前	80
3Com Office Connect のリモートコード実行	3Com OfficeConnect ルータ	80
CVE-2006-4000	Barracuda Spam Firewall バージョン 3.3.x	80
CCBill のリモートコード実行	CCBill Online Payment Systems (オンライン支払システム)	80

表1 最新バージョンのECHOBOTバージョンで利用されているエクスプロイトのうち、それまでのMirai亜種での使用が確認されていなかったもの

このバージョンに含まれている上記以外のエクスプロイトについては、付録にまとめます。

その他の技術的詳細

これ以前の亜種同様、本バージョンのECHOBOTも、自身の文字列のXOR暗号に「0xDFDAACFD」というキーを使用します。

この亜種がブルートフォース攻撃に使用するデフォルトの資格情報は次のとおりです。

• root/trendimsa1.0
• admin/fritzfonbox
• r00t/boza
• root/welc0me
• admin/welc0me
• root/bagabu
• welc0me/
• unknown/
• UNKNOWN/

インフラストラクチャ

このバージョンはまず2019年10月28日に数時間だけ公開された後削除されました。その後、12月3日に再度登場し、ペイロードIPを切り替えて、10月のサンプルにはなかった2つのエクスプロイトを最終的に追加しています。図1は、12月12日までIPアドレス145.249.106[.]241で稼働していたドロッパースクリプトです。

これ以前、同バージョンのサンプルは、次にあげた日時に短時間だけ以下のIPアドレスにホスティングされていました。

• 45.89.106[.]108 (2019-10-28)
• 80.82.67[.]184 (2019-12-03)
• 80.82.67[.]209 (2019-12-04)
• 145.249.106[.]241 (2019-11-12とそれ以降)

以前のMirai亜種同様、C2にも同じドメインが使用されています。

本稿に記載した全活動のIoCは、Unit42のgithubから確認してください。

結論

このECHOBOTというMirai亜種は、対象となる脆弱性数が抜きん出ている点が他の亜種とは対照的です。他の亜種の場合、長年効果の高さが実証されている特定の脆弱性に固執するからです。

また、ECHOBOTでしか確認されたことのないエクスプロイトは、2003年にまで遡る極めて古いものから、2019年12月上旬に公開されたばかりの脆弱性まで、幅広いCVEに及びます。この一見奇妙な(極端に新しいまたは古い脆弱性という)選択内容から、攻撃者はIoT機器の弱い部分に特化して脆弱性を狙っていた可能性が考えられます。つまり、「互換問題がって古すぎて更新できないがいまだに使用されているレガシーデバイス」を狙いつつも、「機器自体は新しいが脆弱性も新しすぎるために所有者のパッチ適用が追いついていないデバイス」をも標的にしていたことが考えられます。現時点では、ECHOBOTが多数のエクスプロイトを組み込んだり、新旧の奇妙なエクスプロイトの選び方をしことが、マルウェアの有効性全般にどう影響したかを推測するだけのデータがありません。

パロアルトネットワークスのお客様は、次の方法でこの脅威から保護されています。

• WildFireは本稿に記載したすべてのサンプルを検出し「Malicious(悪意のある)」ものと判定します｡
• Threat PreventionとPANDBは本亜種によって使用されるすべてのエクスプロイト、IP、URLをブロックします。

AutoFocusをお使いのお客様は、以下の個々のエクスプロイトタグを使用してこれらの活動を追跡できます:

• CVE-2019-17270
• CVE-2019-18396
• AVCON6RCE
• CVE-2019-16072
• CVE-2019-14931
• Sar2HTMLRCE
• CVE-2017-16602
• CVE-2017-6316
• CVE-2013-5912
• ACTiASOC2200RCE
• 3ComOfficeConnectRCE
• CVE-2006-4000
• CCBillRCE

本マルウェアファミリは、次のタグを使用してAutoFocusで追跡できます: Mirai

付録

このバージョンのECHOBOTに含まれている表1以外のエクスプロイトは次のとおりです。