Webアプリの脆弱性を利用する「Miori」など複数の「Mirai」亜種の拡散を確認

脆弱性を利用したスマートデバイスへの攻撃は、「モノのインターネット（Internet of Things、IoT）」機器を使用する多くのユーザにとって以前からの課題となっています。中でも、もっとも悪名高い脅威は、常に変化を続けてきたIoTマルウェア「Mirai」でしょう。Miraiは過去、多くのキャンペーンで、弱いパスワードや初期設定の認証情報をそのまま使用しているデバイスの侵害に利用されてきました。2016年にMiraiのソースコードが流出してからは、さまざまな亜種が出現しています。

トレンドマイクロは、「Miori」と呼ばれるMiraiの新しい亜種を確認しました。Mioriは、主に中国で利用されているWebアプリケーション開発フレームワーク「ThinkPHP」で遠隔からのコード実行（Remote Code Execution、RCE）が可能になる脆弱性を利用して拡散します。この脆弱性を利用する攻撃は比較的新しく、「Proof-of-Concept（PoC、概念実証型エクスプロイト）」は、2018年12月11日になって初めて公開されています。影響を受けるThinkPHPのバージョンは、5.0.23より前の5.xと5.1.31です。トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」の統計でも、問題のRCE脆弱性に関連したイベントが最近増加しています。

Mioriの他にも、「IZ1H9」や「APEP」のような既知のMiraiの亜種が同一のRCE脆弱性を利用して拡散していることが確認されました。これらの亜種はすべて、Telnetを介して、工場出荷時の初期設定の認証情報を使用して侵入および拡散します。感染したLinuxマシンはボットネットの一部となり、「分散型サービス拒否（distributed denial-of-service、DDoS）攻撃」に利用されます。

■Mioriの解析

MioriはMiraiの多くの亜種の1つに過ぎません。セキュリティ企業「Fortinet」は、「Shinoa」と呼ばれる別のMiraiの亜種との際立った類似性を指摘しています。トレンドマイクロ独自の解析によると、MioriはThinkPHPのRCE脆弱性を利用し、図1のコードによって「hxxp://144[.]202[.]49[.]126/php」から脆弱なマシンにマルウェアをダウンロードして実行していました。

図 1：Mioriをダウンロードして実行するコードを遠隔から実行

実行に際して、Mioriは以下のメッセージをコンソールに表示します。

図 2：実行時にMioriがコンソールに表示するメッセージ

MioriはTelnetを開始し、他のIPアドレスに対して侵入を試行します。また、コマンド&コントロール（C&C）サーバからのコマンドを受信するために42352番ポート（TCP/IP）をリッスンします。そして、対象システムの感染を検証するコマンド「/bin/busybox MIORI」を送信します。

図 3：Mioriが送信するコマンド

「Miori」で確認された文字列（XOR暗号の鍵：0x62）

トレンドマイクロは、Mioriのバイナリデータに埋め込まれた設定テーブルを復号し、表1の文字列を確認しました。これらの文字列にはMioriが利用するユーザ名とパスワードが含まれており、その中のいくつかは簡単に予想できそうなものや初期設定のものでした。

表 1：「Miori」で確認された文字列

■Mioriに類似したMiraiの亜種「IZ1H9」および「APEP」

さらなる調査により、Miraiのその他の亜種「IZ1H9」および「APEP」がホストされた以下の2つのURLを確認することができました。

• IZ1H9：hxxp://94[.]177[.]226[.]227/bins/
• APEP：hxxp://cnc[.]arm7plz[.]xyz/bins/

上記URLに位置するx86バージョンのバイナリファイルを解析したところ、これらの亜種は両方ともMiraiおよびMioriと同じ難読化手法を使用していました。

「IZ1H9」で確認された文字列（XOR鍵：0xE0）

表 2：Miraiの亜種「IZ1H9」で確認された文字列

「APEP」で確認された文字列（XOR鍵：0x04）

表 3：Miraiの亜種「APEP」で確認された文字列

「APEP」が利用する別の脆弱性

APEPは、Telnetへのログイン試行に加え、拡散のために脆弱性「CVE-2017-17215」も利用します。CVE-2017-17215は「Huawei HG532」ルータに影響を与える別のRCE脆弱性です。この脆弱性は「Satori」の亜種や「Brickerbot」の亜種でも利用が報告されています。Huaweiはセキュリティ通知を通して問題の脆弱性攻撃を回避する手段について概説しています。

図 4：Huawei製ルータのRCE脆弱性「CVE-2017-17215」を利用した攻撃

■被害に遭わないためには

初期設定の認証情報を利用したTelnetへのログイン攻撃は新しい手法ではありません。しかし、工場出荷時の初期設定パスワードの変更はしばしば見落とされ、多くのユーザがインターネットに接続したデバイスにアクセスするために初期設定パスワードを利用しています。このような状況の中、初期設定の認証情報や脆弱性を利用するさまざまなMiraiの亜種が生み出されてきました。

ユーザは、ハッカーによるデバイスの乗っ取りを防ぐために、初期設定の認証情報を変更することが推奨されます。また、一般的なルールとして、定期的にスマートデバイスのシステムを最新バージョンに更新してください。それにより、デバイスの機能を更新するだけでなく、侵入経路となり得る脆弱性に対処することが可能になります。デバイスが対応している場合は自動更新機能を有効化してください。
前述したベストプラクティスに加え、本記事で解説したような脅威からIoTデバイスを保護するために設計されたセキュリティ対策製品の利用を検討することも可能です。トレンドマイクロの組込み型ホームネットワークセキュリティ「Trend Micro Smart Home Network™」を搭載したルータをご利用のお客様は、以下の侵入防止ルールによって本記事で解説した脆弱性を利用する攻撃から保護されています。

• 1135215 WEB ThinkPHP Remote Code Execution

■侵入の痕跡（Indicators of Compromise、IoCs）

関連する不正なURLは以下の通りです。

• hxxp://144[.]202[.]49[.]126/miori[.]mips
• hxxp://144[.]202[.]49[.]126/miori[.]mpsl
• hxxp://144[.]202[.]49[.]126/miori[.]arm
• hxxp://144[.]202[.]49[.]126/miori[.]arm5
• hxxp://144[.]202[.]49[.]126/miori[.]arm6
• hxxp://144[.]202[.]49[.]126/miori[.]arm7
• hxxp://144[.]202[.]49[.]126/miori[.]sh4
• hxxp://144[.]202[.]49[.]126/miori[.]ppc
• hxxp://144[.]202[.]49[.]126/miori[.]x86
• hxxp://144[.]202[.]49[.]126/miori[.]arc
• hxxp://144[.]202[.]49[.]126/php
• hxxp://94[.]177[.]226[.]227/bins/
• hxxp://cnc[.]arm7plz[.]xyz/bins/
• hxxp://scan[.]arm7plz[.]xyz

参考記事：

• 「With Mirai Comes Miori: IoT Botnet Delivered via ThinkPHP Remote Code Execution Exploit」
  by Augusto Remillano II and Mark Vicente (Threats Analysts)

翻訳： 澤山　高士（Core Technology Marketing, TrendLabs）