ネットワークセキュリティ機器を標的にする新しいMirai亜種

This post is also available in: English (英語)

概要

2021年2月16日、Unit 42のリサーチャーが、以下の多数の脆弱性を利用する攻撃を発見しました。

• VisualDoor (SonicWall SSL-VPN エクスプロイト)
• CVE-2020-25506 (D-Link DNS-320 ファイアウォールのエクスプロイト)
• CVE-2020-26919 (Netgear ProSAFE Plusのエクスプロイト)
• （おそらくは）CVE-2019-19356 (Netis WF2419 ワイヤレスルータのエクスプロイト)
• まだ特定されていない他の3つのIoTデバイスの脆弱性

2021年2月23日、CVE-2021-27561およびCVE-2021-27562の脆弱性に関する詳細公開からわずか数時間のうちに、上記の攻撃に関与したIPの1つが更新され、あるMiraiの亜種を提供しはじめました。2021年3月3日には、同じMirai亜種のサンプルが3つ目のIPアドレスで提供され、それにCVE-2021-22502を利用するエクスプロイトが追加されました。さらに3月13日にはCVE-2020-26919 をターゲットとするエクスプロイトもサンプルに組み込まれました。

本稿執筆時点で攻撃は継続中です。エクスプロイトが成功すると、攻撃者は悪意のあるシェルスクリプトをダウンロードしようとします。このスクリプトには、Miraiの亜種やブルートフォーサーのダウンロードや実行など、さらなる感染動作が含まれています。

パロアルトネットワークスの次世代ファイアウォールを脅威防御、WildFire、URLフィルタリングのセキュリティサブスクリプションとともにご利用のお客様やAutoFocusをご利用中のお客様は、本種のマルウェアファミリのすべてのエクスプロイト試行を検出し、遮断することができます。

悪用される脆弱性

本攻撃では、5つの既知の脆弱性と3つの未知の脆弱性が悪用されていました。エクスプロイトが成功すると、wgetユーティリティが呼び出され、マルウェアのインフラストラクチャからシェルスクリプトがダウンロードされます。次に、シェルスクリプトは、さまざまなアーキテクチャ用にコンパイルされたいくつかのMiraiバイナリをダウンロードし、ダウンロードしたこれらのバイナリを1つずつ実行します。脆弱性に関する情報を以下の表1に示します。

^{表1 脆弱性一覧}

エクスプロイトのペイロード

1. VisualDoor: SonicWall SSL-VPN のリモートコマンドインジェクションの脆弱性

SonicWall SSL-VPNのエクスプロイトは、ShellShockに対して脆弱な古いバージョンのBashを標的としています。攻撃者は、細工されたCommon Gateway Interface（CGI）要求を特定のシェルスクリプトに送信することにより未認証リモートコード実行（RCE）の脆弱性をトリガーする可能性があります。

2. CVE-2020-25506: D-Link DNS-320 ファイアウォールのリモートコマンド実行の脆弱性

このエクスプロイトは、system_mgr.cgiコンポーネントのコマンドインジェクション脆弱性をターゲットにしています。このコンポーネントではHTTPパラメータf_ntp_serverの値が適切にサニタイズされておらず、そこから任意のコマンドの実行へとつながります。

3. CVE-2021-27561およびCVE-2021-27562: Yealink Device Management における認証前 「ルート」レベルリモートコマンド実行の脆弱性

このエクスプロイトは、認証前のサーバーサイドリクエストフォージェリ（SSRF）の脆弱性とコマンドインジェクションの脆弱性を連鎖させることにより機能します。これによってHTTPSリクエストをリモートターゲットに送信するだけで認証なしにrootとしてコマンドを実行できるようになります。

4. CVE-2021-22502：Micro Focus Operation Bridge Reporter（OBR）のリモートコード実行の脆弱性

LogonResource APIへのリクエストで「username」パラメータと「password」パラメータがサニタイズされていないためにこのエクスプロイトが機能します。この脆弱性を悪用すると、OBRサーバーに対し、ルートとして認証されていないリモートコード実行が行えるようになります。

5. CVE-2019-19356：Netis WF2419ワイヤレスルーターのリモートコード実行の脆弱性

このエクスプロイトは、診断ツールユーティリティのリモートコード実行脆弱性を標的としています。認証された攻撃者は、IPアドレスやドメイン名などの複数の脆弱なパラメータを介してコマンドを実行できます。

6. CVE-2020-26919：Netgear ProSAFE Plusの未認証リモートコード実行の脆弱性

このエクスプロイトは、デバッグ用のWebセクションを標的としていて、攻撃者はこれを介してシステムコマンドを実行できます。これが機能するのはアクセス制御の適切なチェックが不足しているためで、そこから管理者権限でのリモートコード実行につながります。

7. 未確認の脆弱性（langパラメータコマンドインジェクション）

このエクスプロイトは、なんらかのコンポーネントのコマンドインジェクション脆弱性をターゲットにしています。このコンポーネントはHTTPパラメータlangの値を適切にサニタイズしておらず、そこから任意のコマンドの実行へとつながります。

8. 未確認の脆弱性（キーパラメータのコマンドインジェクション）

この不明なエクスプロイトは、ログインCGIスクリプトを標的としています。このスクリプトでは、あるキーとなるパラメータが適切にサニタイズされておらず、その結果コマンドインジェクションにつながっています。

9. 未知の脆弱性（op_typeパラメータコマンドインジェクション）

このエクスプロイトはop_typeパラメータを標的としています。このパラメータは適切にサニタイズされておらず、その結果コマンドインジェクションにつながります。これは以前、Moobotによる使用が確認されている脆弱性ですが、正確なターゲットは不明です。

マルウェアの振る舞い

^{表2 マルウェアの振る舞い}

結論

IoTデバイス界隈は依然として攻撃者にとってはくみしやすいターゲットとなっています。そうした脆弱性の多くは悪用もごく簡単でなかには破滅的な結果をもたらすものもありますので、最大限のパッチの適用を強くお勧めします。

パロアルトネットワークス製品をご利用中のお客様は、次の製品とサービスによってこれらの脆弱性から保護されています。

• 次世代ファイアウォールで脅威防御サブスクリプションを利用し、ベストプラクティスに従って運用されているお客様は、本脆弱性のエクスプロイトから保護されています。対応する脅威防御のシグネチャは、90776、90553、55228、57842、59191、90302、90808、90824、90555です。
• WildFireは静的シグネチャ検出により同マルウェアを阻止します。
• URLフィルタリングは悪意のあるマルウェアのドメインをブロックします。
• AutoFocusをご利用中のお客様はVisualDoor、CVE-2020-25506、CVE-2021-27562、CVE-2021-25502の各タグでエクスプロイトアクティビティを追跡できます。

IoC

サンプル