IoTデバイスやルータを侵害しDDoS攻撃を仕掛けるボットネット「Momentum」

トレンドマイクロは、2019年、Linuxを狙うさまざまな攻撃を確認してきました。そうした中、このプラットフォームのデバイスを狙う注目すべき不正活動を確認しました。入手した検体を解析したところ、この不正活動は、ボットネット「Momentum」に関連していることが判明しました。Momentumという名称は、このボットネットが使用している通信チャンネルで確認された画像に由来しています。今回の解析では、デバイスへの感染や分散型サービス拒否（DDoS）攻撃に際してこのボットネットが使用しているツールや手法について新たな詳細を確認しました。

Momentumは、ARM、MIPS、Intel、Motorola 68020などの各種CPUアーキテクチャのLinuxプラットフォームを標的としています。主な目的は、標的のデバイスへバックドア型マルウェアを感染させ、その上でコマンド＆コントロール（C&C）サーバからのコマンドを待機し、特定のターゲットへさまざまなサービス拒否（DoS）攻撃を仕掛けることです。このボットネットで拡散されるマルウェアは、Mirai、Kaiten、Bashliteなど一般にIoTボットとされているものです。今回解析した検体はMiraiの亜種となります。その他、このボットネットは、各種ルータやWebサービスの脆弱性複数を悪用し、標的のデバイス上でシェルスクリプトをダウンロードして実行することで自身のネットワークを拡大させます。

■Momentumの活動

Momentumは、バックドア型マルウェアを標的のデバイスに感染させた後、「rc」ファイルを変更して感染デバイス内にとどまります。そしてC＆Cサーバに接続した上で、インターネットリレーチャット（IRC）のチャンネル「＃HellRoom」に参加して自身を登録し、コマンドを待機します。なお、このIRCプロトコルは、C＆Cサーバとの主要な通信方法として悪用されています。こうしてMomentumの運営者は、登録したIRCチェンネルへメッセージを送信することにより、感染デバイスの制御が可能になります。

図1：デバイスは、バックドア型マルウェアの感染後、
IRCチャンネルを介して攻撃者のC&Cサーバへ接続する

図2：C&C通信パス（ダウンローダ／配信サーバおよびIRCサーバ）

上図のとおり、まず配信サーバがバックドア型マルウェアの実行ファイルをホストします。そしてもう1つのサーバがIRCによるC＆Cサーバとなります。このC＆Cサーバは、2019年11月18日まで稼働していたことが確認されています。

C&Cサーバとの通信が確立すると、Momentumは、自身のボットネット上の感染デバイスを駆使し、さまざまなコマンドを用いて攻撃を仕掛けます。特にDoS攻撃の場合、以下のとおり、多数のさまざまな攻撃手法を展開します。

表1：ボットネット「Momentum」が行使可能がDoS攻撃の手法一覧

このバックドア型マルウェアは、既知のリフレクション手法やアンプ手法を用いることで、分散型メモリキャッシュシステムのモジュール「Memcache」、ディレクトリサービスのアクセスプロトコル「LDAP」、IPアドレスとドメイン名の管理システム「DNS」、Valve社開発の汎用ゲームエンジン「Valve Source Engine」など、さまざまなサービスを利用して標的に攻撃を仕掛けます。リフレクション、アンプ攻撃では標的サーバのIPアドレスに偽装して利用するサービスに通信することにより、大量の応答が標的に集中するように仕向けます。こうして発生した大量の応答が、標的サーバを圧倒し、被害が発生することになります。

なお、Momentumは、DoS攻撃だけでなく、その他、指定されたIPのポートでプロキシを開いたり、クライアントのニックネームを変更したり、クライアントからのパケットを無効や有効にしたり、複数の不正活動が実行できることも確認されました。

以下、Momentumが行使可能な各種DoS攻撃について説明します。

■Momentumによる各種DoS攻撃

LDAP DDoSリフレクション攻撃

この攻撃の場合、デバイスに感染したバックドア型マルウェアは、LDAPの公開サーバへアクセス可能で同時に標的でもある特定のシステムのソースIPアドレスになりすまします。これにより、最終的に標的のシステムに対して大量の応答が送信されることになります。

Memchache攻撃

この攻撃の場合、遠隔の攻撃者が、標的のシステムになりすましたソースIPアドレスを用いて、脆弱なUDP memcachedサーバに対して（通信プロトコルUDPによる）不正なUDPリクエストを作成して送信します。これにより、Memcachedサーバから膨大の応答が標的のシステムへ送信されることになります。この際、Momentumは、HTTP GETリクエストを使用してリフレクションファイルをダウンロードします。なお、このHTTP GETリクエストは、別のアンプDoS攻撃を行使する際にも使用されます。

オンライン検索エンジン「Shodan」のデータによると、この攻撃の影響を受ける可能性がある脆弱性なMemcachedサーバの数は、4万2,000台以上に至ることが確認されています。

Momentumは、以下のHTTP GETリクエストを使用して、リフレクションファイルをダウンロードします。

UDP-BYPASS攻撃

この攻撃の場合、Momentum上の正規の通信プロトコルUDPによって特定のポートを介し、標的となるホストへフラッド攻撃が仕掛けられます。攻撃に際しては、デバイスに感染したマルウェアが任意のポートをランダムに選択します、これにより、各ポートに対応した攻撃が、標的のホストへ送信されることになります。この際、マルウェアは複数のスレッドを使用し、各スレッドに振り分けられたポートを介して攻撃が仕掛けられます。

フラッド攻撃は、各ポートに応じて以下のように異なります。

表2：ポートおよび攻撃内容

上記のスクリプトは、主にサービスの検出に使用されます。このため、これらが長期に渡り標的のデバイスに送信されることで、該当サービスがクラッシュし、結果的にサービス拒否が発生することになります。

Phatwonk攻撃

この攻撃の場合、TCPクリスマスツリースキャン（FIN、URG、PSHフラグのパケットの同時送信）や、すべてのフラグのパケットの同時送信、USYNスキャン（URGおよびSYNフラグのパケットの同時送信）、任意のTCPフラグのパケットの組み合わせによる同時送信など、複数のDoS攻撃が一度に実行されます。

■その他の機能

上述の攻撃は、ボットネットが駆使する他の機能に依存することで大きな成果を上げることができます。例えば、拡散されるマルウェアが備える検出回避機能、公開サーバ上での通信を維持する機能、その他の各種機能が挙げられます。

特に以下の機能は、ボットネットを介してマルウェアを拡散させ、デバイスへ感染させる上で有効です。

• Fast-Flux手法：Momentumは、C&Cサーバのネットワーク復元力を高めるためにこの手法を駆使します。この手法により、特定のドメイン名に複数のIPアドレスを関連づけられ、それらをすばやく連続的に変更させるFast-Fluxネットワークが確立されます。これにより、攻撃者は、セキュリティリサーチャーの追跡を回避したり混乱させたりすることが可能になります。
• バックドア機能：攻撃者は、BASH、SHD、もしくはSHなどのコマンドをボットネット上のIRCチャンネルに送信します。そして感染デバイスがこれらのコマンドを受信して実行します。これらのコマンド内容が該当のIRCチャンネルへ応答されることで、攻撃者は、感染デバイスをコントロールすることが可能になります。
• 脆弱性を介した拡散：Momentumは、複数の脆弱性を悪用して影響範囲を拡大せます。今回調査したC&Cサーバだけでも、その範囲は、1,232台のデバイスに及んでいます。Momentumの他の亜種およびそれに利用されるC＆Cサーバを含めると、範囲はさらに大きくなる可能性があります。

■被害に遭わないためには

スマートデバイスやネットワーク機器は、セキュリティ設定と保護オプションが限定されており、さまざまな脅威にさらされやすい状況にあります。これらのデバイスは、多くの場合、セキュリティよりも操作性を優先する形で製造されており、ユーザは、こうした条件を念頭に、ご使用のデバイス、特にルータを保護するためのセキュリティ対策を講じる必要があります。とりわけ、Momentumの場合、Linuxデバイスを対象としています。近年、Linuxプラットフォームを狙うボットネット、ランサムウェア、コインマイナーなどの攻撃が表面化しており、このようなデバイスを攻撃から保護するセキュリティ対策を講じることが求められています。

■トレンドマイクロの対策

Trend Micro Smart Home Network（SHN）は、家庭用ネットワークに接続されたすべてのデバイスに対するネットワークアクセス管理を可能にし、サイバー攻撃のリスクから守る組込み型ネットワークセキュリティソリューションです。大手家庭用ルータベンダーの多くがすでにこのソリューションを採用し、すでに国内外の100万以上の家庭で利用いただいており、トレンドマイクロの豊富な脅威リサーチの経験と業界をリードするDPI（Deep Packet Inspection）技術に基づいて、SHNはインテリジェントなサービス品質（QoS）、保護者による利用制限（ペアレンタルコントロール）、ネットワークセキュリティなどを提供します。

統合型サーバセキュリティソリューション「Trend Micro Deep Security™」は、仮想パッチ機能によって脆弱性を狙う攻撃からサーバを防御します。家庭用ルータを中心に構成されるホームネットワークを保護する「ウイルスバスター for Home Network」では、接続されている各デバイスへの脆弱性を悪用する攻撃をネットワークレイヤでブロックします。トレンドマイクロ製品に組み込まれたクロスジェネレーション（XGen）セキュリティアプローチは、高度な機械学習型検索を活用しエンドポイントのデータとゲートウェイおよびアプリケーションを守ります。XGenは、従来の検出技術を回避し、既知、未知および未公開の脆弱性を突くなどの今日の目的に特化した脅威からユーザを保護します。

トレンドマイクロのネットワーク挙動監視ソリューション「Deep Discovery™」は、ネットワーク内に侵入した標的型攻撃などの脅威による活動の兆候を可視化することができます。今日の気づけない標的型攻撃や巧妙化する脅威をリアルタイムで検出および分析し、対処できます。専用のエンジンとカスタムサンドボックス機能を使用し、攻撃のライフサイクル全体に対する相関分析を可能にします。

■侵入の痕跡（Indicators of Compromise、IoC）

今回の記事に関する侵入の痕跡はこちらを参照してください。

参考記事：

• 「DDoS Attacks and IoT Exploits: New Activity from Momentum Botnet」
  by Aliakbar Zahravi

翻訳： 与那城 務（Core Technology Marketing, Trend Micro™ Research）