マルウェア

複数のエクスプロイトが組み込まれたIoT/LinuxボットネットMirai、GafgytがApache Struts、SonicWallを狙う

3 min read

概要

Unit 42は、よく知られているIoTボットネットMirai、Gafgytの亜種を新たに発見しました。これは、2016年11月以降の前例のないDistributed Denial of Service (DDoS)攻撃に関わりのあるIoTボットネットです。

これらの亜種は、次の2つの理由から注目に値します。

- 新しいMiraiは、2017年にEquifaxのデータ漏洩を引き起こしたものと同じApache Strutsの脆弱性を標的にしています。
- 新しいGafgytは、SonicWallのサポート期限が切れた旧バージョンのGlobal Management System (GMS)に作用する、新たに発見された脆弱性を標的にしています。

このような出来事は、古いバージョンを使用する企業向けデバイスを標的にしたIoTボットネットが増えていること示唆しています。

すべての組織は、システムだけでなくIoTデバイスも最新の状態にし、パッチを適用するように努める必要があります。パロアルトネットワークスのお客様については、WidlFireが、悪意があると判断したすべての関連サンプルを検出します。その他の保護については、以下の結論で言及します。

調査

2018年9月7日、Unit 42はMirai亜種のサンプルを調べ、16種類の個々の脆弱性を標的とするエクスプロイトが組み込まれていることを発見しました。過去には、Miraiの1つのサンプルに複数のエクスプロイトが使用されていたことがありましたが、これはMiraiがApache Strutsの脆弱性を標的とする初めての事例です。

さらに、Unit 42は8月中に、すでに別のIPアドレスに解決されたこれらのMiraiサンプルをホストしているドメインを見つけました。その間、このIPは、旧バージョンのSonicWall Global Management System (GMS)に作用するSonicWallの脆弱性(CVE-2018-9866)を狙ってエクスプロイトを組み込んだGafgytのサンプルを断続的にホストしていました。この出来事は、SonciWallにすでに通知されています。

これらのIoT/LinuxボットネットによるApache StrutsおよびSonicWallを標的としたエクスプロイトの組み込みは、標的が家庭向けデバイスから企業向けデバイスへと大きく移行していることを示唆している可能性があります。

複数のエクスプロイトが組み込まれたMirai亜種のApache Strutsエクスプロイト

今回発見した新しい亜種に組み込まれているApache Strutsを標的とするエクスプロイトは、巧みに作られたContent-Type、Content-Disposition、またはContent-Length HTTPヘッダーを使用して、任意コマンド実行の脆弱性(CVE-2017-5638)を攻撃します。図1にその形式を示します。ペイロードは強調表示されています。

図1 CVE-2017-5638エクスプロイトの形式

このMirai亜種に組み込まれた他の15種類のエクスプロイトについては、以下の付録の表2で詳しく説明します。

これらのサンプルはMiraiの亜種ですが、Miraiが通常使用する総当たり攻撃機能を備えておらず、C2としてl[.]ocalhost[.]host:47883を使用し、Miraiと同じ暗号スキームでキー0xdeadf00dを使用します。

Gafgyt亜種のSonicWall GMSエクスプロイト

2016年11月まで過去に遡ると、上記のMirai亜種でC2として機能しペイロードを提供するドメインl[.]ocalhost[.]hostが、他のMiraiアクティビティにも関与していたことがわかりました。

2018年8月のある時期に、同じドメインが別のIPアドレス185[.]10[.]68[.]127に解決されました。その時、私たちは、そのIPが最近発見されたSonicWallの脆弱性(CVE-2018-9866)を狙うエクスプロイトが組み込まれた、Gafgytのサンプルをホストしていることを発見しました。この脆弱性は、現在サポートされているバージョンに含まれない古いサポート対象外のSonicWall Global Management System (GMS) (8.1以前)に影響します。

このエクスプロイトが標的とする脆弱性CVE-2018-9866は、set_time_configメソッドに対するXML-RPCリクエストがサニタライズされていないために生じます。図2に、サンプルで使用されたエクスプロイトを示します。ペイロードは強調表示されています。

図2 SonicWallのset_time_config RCEの形式

これらのサンプルが初めて明らかになったのは8月5日で、この脆弱性に対応するMetasploitモジュールが公開されてから一週間も経っていないときでした。2018年7月17日に公開されたこの件に関するSonicWallの公式な報告は、ここで確認できます。

私たちが発見したサンプルは、MiraiではなくGafgytのコードベースを使用して構築されています。以下の表で、使用されているコマンドの一部を説明します。

コマンド	説明
!* SCANNER <HUAWEI/GPON/DLINK/SONICWALL/OFF>	ボットは、渡された引数に基づいて、デバイスへの関連するエクスプロイトの送信を開始します。 HUAWEI: CVE-2017-17215を送信します(以前のキャンペーンを参照) GPON: 上記と同じ DLINK: D-Link DSL 2750B OSコマンドインジェクションを送信します(表2を参照) SONICWALL: 図2のエクスプロイトを送信します OFF: ボットに関連するプロセスの実行を強制終了します
!* BIN_UPDATE <HTTP SERVER> <FILE LOCATION>	<HTTP_SERVER>から更新を取得し、それを<FILE_LOCATION>に保存してインストールします
!* BN <IP> <PORT> <TIME>	<TIME>秒の間、<IP>:<PORT>に対するBlacknurse DDoS攻撃を開始します

表1 亜種がSonicWallエクスプロイトで使用するコマンドの一部

Blacknurseは、CPUを高負荷にする、ICMPタイプ3コード3のパケットを伴う低帯域幅DDoS攻撃で、2016年11月に初めて発見されました。このDDoS手法を使用するサンプルを初めて見たのは、2017年9月のことです。

結論

パロアルトネットワークスのAutoFocusを使用しているお客様は、エクスプロイトの個々のタグを使用してこれらのアクティビティを追跡できます。

AutoFocusのお客様は、以下のマルウェアファミリのタグも使用できます。

WildFireは、すべての関連サンプルを悪意があるものとして検出します。

以下に、Apache Strutsを攻撃するMirai亜種で標的とされる他の脆弱性を示します。

表2 同じサンプルで使用された他のエクスプロイト

脆弱性	影響を受けるデバイス	エクスプロイトの形式
CVE-2017-5638	Apache Strutsのパッチ未適用のデバイス
Linksys RCE	Linksys Eシリーズデバイス	サンプルには、以下を対象とする、GETおよびPOSTリクエストを使用したエクスプロイトの他のバージョンが含まれています。
Vacron NVR RCE	Vacron NVR デバイス	以前のキャンペーンと同様この亜種には、同じエクスプロイトのPOSTリクエスト版も含まれています。
D-Link command.php RCE	一部のD-Linkデバイス
CCTV/DVR RCE	CCTV/DVR 70以上のベンダーからのRCE CCTV、DVR	以前のキャンペーンと同様
EnGenius RCE	EnGenius EnShare IoT Gigabit Cloud Service 1.4.11
AVTECH 認証されていないコマンドインジェクション	AVTECH IP Camera/NVR/DVR デバイス
CVE-2017-6884	Zyxelルーター
NetGain 'ping'コマンドインジェクション	NetGain Enterprise Manager 7.2.562
NUUO OS コマンドインジェクション	NUUO NVRmini 2 3.0.8
NUUOS OS コマンドインジェクション	NUUO NVRmini 2 3.0.8
Netgear setup.cgi unauthenticated RCE	DGN1000 Netgear ルーター	以前のキャンペーンと同様
HNAP SoapAction-Headerコマンド実行	D-Linkデバイス	以前のキャンペーンと同様この亜種は、上記リンクのキャンペーンで使用された不完全なものとは違い、有効なバージョンのエクスプロイトを使用します。例えば、SOAPActionをターゲットにします。 http://purenetworks[.]com/HNAP1/GetDeviceSettings/
D-Link OSコマンドインジェクション	D-Link DSL-2750B	以前のキャンペーンと同様
JAWS Webサーバー認証シェルコマンドの実行	MVPower DVRなど	以前のキャンペーンと同様
CVE-2018-10561, CVE-2018-10562	Dasan GPON ルーター	以前のキャンペーンと同様この亜種には、同じエクスプロイトのPOSTリクエスト版も含まれています。