検索:
ホーム   »   Linux

MITRE ATT&CK TTPsに基づくIoT Linuxマルウェアの分析

  • 投稿日:2022年5月16日
  • 脅威カテゴリ:ランサムウェア, ボットウイルス, 攻撃手法
  • 執筆:Trend Micro
0

本ブログエントリでは、IoT(Internet of Things: モノのインターネット)Linuxマルウェアの調査結果を報告し、特にこれらマルウェアファミリが時間と共にどのように変化してきたかを分析します。トレンドマイクロが観測したマルウェアについて、その機能や特徴を定義するため、MITRE ATT&CK TTPs(Tactics、Techniques、Procedures)を用いました。

本調査より、IoT Linuxマルウェアは、特にIoTボットネットを構築するものについて、継続的に進化していることが分かりました。時間とともに実装する機能の追加、または、削除が見られます。とりわけ、データ送出や水平移動(ラテラルムーブメント)の機能ではなく、局所集中型の感染を引き起こす機能の進化に力が向けられる傾向があります。

表1に、トレンドマイクロが収集したマルウェア関連データの中で、最も多く実装されている機能やテクニックの上位10個を示します。

ATT&CK Tactic Technique (TTP)

マルウェア

ファミリ数

Discovery(探索) T1083:File and Directory Discovery(ファイルとディレクトリの探索) 10
Command and Control(コマンド・コントロール) T1071.001:Application Layer Protocol: Web Protocols(アプリケーション層プロトコル: Webプロトコル) 9
Initial Access(初期アクセス) T1133:External Remote Services (外部リモートサービス) 8
Execution(実行) T1059.004:Command and Scripting Interpreter: Unix Shell(コマンド・スクリプトインタプリタ: Unixシェル) 7
Impact(影響) T1498.001:Network Denial of Service: Direct Network Flood(サービス拒否・直接フラッド攻撃)
Credential Access(認証情報アクセス) T1110.001:Brute Force Password Guessing(ブルートフォースパスワード推定) 6
Discovery(探索) T1057:Process Discovery(プロセス探索)
Execution(実行) T1106:Native API(ネイティブAPI) 5
Impact(影響) T1486:Data Encrypted for Impact(データ暗号化)
Defense Evasion(防御回避) T1070.004:Indicator Removal on Host: File Deletion(ホスト上の痕跡隠滅: ファイル削除) 4
Lateral Movement(水平移動・内部活動) T1210:Exploitation of Remote Services(リモートサービス不正使用)
Persistence(永続化) T1053.003:Scheduled Task/Job: Cron(タスク・ジョブスケジュール: Cron)

表1:実装頻度の高い上位10個のテクニック

(さらに…)

続きを読む
Tags: ランサムウェアボット型マルウェアIOTLinuxMITRE ATT&CK

Linux版「LockBit」ランサムウェアを初確認、VMware ESXiに与える影響を解説

  • 投稿日:2022年2月8日
  • 脅威カテゴリ:ランサムウェア
  • 執筆:Trend Micro
0

トレンドマイクロは、ランサムウェア「LockBit」が侵入時に用いるツール群を追跡調査する中で、2021月10月のアンダーグラウンドフォーラム「RAMP」内でアフィリエイト(攻撃を行う実行犯)候補者に向けた「LockBit Linux-ESXi Locker version 1.0(ESXiサーバを標的とするLinux版LockBit 1.0)」の告知を発見しました。これは、「LockBit」ランサムウェアの背後にいるサイバー犯罪者グループ(LockBitグループ)が、攻撃対象をLinuxホストにまで拡大したことを示しています。トレンドマイクロは10月以降、Linux版LockBit 1.0による実際の攻撃活動を観測しています。

(さらに…)

続きを読む
Tags: LinuxLockBitVMware ESXi

Linux脅威レポート:2021年上半期の動向と必要な対策を解説

  • 投稿日:2021年12月16日
  • 脅威カテゴリ:対策技術, 統括
  • 執筆:スレットマーケティンググループ 高橋 哲朗
0

Linuxは、その安定性と柔軟性、そしてオープンソースであることから、多くの人がユニークなオペレーティングシステム(OS)として評価しています。その高い評価を裏付けるのが、近年の数々の目覚ましい成果です。例えば、W3Techsの調査によると、世界の上位500台のスーパーコンピュータの100%がLinuxを使用しており、世界の上位1,000件のウェブサイトの50.5%がLinuxを使用しています。以前のLinuxに関する解説記事では、2017年のパブリッククラウドのワークロードの90%でLinuxが稼働し、このOSがクラウドを支配していることも紹介しました。また、現在ではLinuxはスマートウォッチや高速鉄道、さらには世界の主要な宇宙開発プログラムをも支えています。

(さらに…)

続きを読む
Tags: Linux

サイバー犯罪者集団がAlibaba ECSインスタンスをクリプトジャッキングに悪用する手口を解説

  • 投稿日:2021年12月2日
  • 脅威カテゴリ:クラウド, 攻撃手法
  • 執筆:Trend Micro
0

オンプレミス、クラウド環境を問わず、攻撃者が設定ミスのあるLinuxサーバを積極的に侵害していることは知られています。侵害されたサーバは、暗号資産(旧:仮想通貨)「Monero」を採掘する活動(マイニング)を中心としたクリプトジャッキングの目的に悪用されることがほとんどです。悪名高い事例の1つとして、クラウドサービスへの攻撃活動に重点を置いた最初のハッキンググループの1つである「TeamTNT」が挙げられます。

クリプトジャッキングが蔓延る戦場は、KinsingやTeamTNTを含めた複数の攻撃者グループによって共有されています。彼らのコード内における2つの共通した特徴は、同じ感染マシン内で暗号資産を採掘している別のコインマイナーを削除することと、感染マシン内で発見したセキュリティ機能を無効化することです。これらの機能により攻撃者は、Huawei Cloudのシステムを対象に高度なサニタイジング処理(無害化)が実行された事例のように、乗っ取ったリソースに対して優位に立つことができます。

本ブログ記事では、トレンドマイクロが複数のペイロードで確認した1つの共通する仕組みである、Alibaba Cloudが提供するクラウドサービス内の機能を無効化する手口に焦点を当てます。加えて、複数の攻撃者やマルウェアがAlibaba Cloud(別称:Aliyun)を標的と定めた理由や、これらの不正な採掘活動がAlibaba Cloudユーザに与える影響についても考察します。

(さらに…)

続きを読む
Tags: クリプトジャッキングコインマイナーKinsingLinuxTeamTNT

外部露出した分散処理フレームワーク「Apache Hadoop YARN」を侵害する攻撃手口を確認

  • 投稿日:2021年8月20日
  • 脅威カテゴリ:クラウド, 攻撃手法
  • 執筆:Trend Micro
0

クラウドサービスの設定ミスにより自組織の情報が外部に露出してしまうセキュリティインシデントは、Linux環境における主要なリスクの1つと言えるでしょう。トレンドマイクロでもこれまでに、クラウド環境におけるインシデントを調査する中で、インターネット上に露出したDocker APIやRedisインスタンスが攻撃者に悪用されたり、積極的に検索されたりする事例を確認してきました。

本ブログ記事では、同様の設定ミスの事例として、インターネット上に露出したApache Hadoop YARNが侵害される事例について解説します。オープンソースの分散処理フレームワーク「Apache Hadoop YARN」は、Hadoopフレームワークの一部であり、クラスタ上でタスクを実行する役割を担っています。

(さらに…)

続きを読む
Tags: Apache Hadoop YARNコインマイナーKinsingLinux暗号通貨採掘ツール

Linuxを狙うBash型ランサムウェア「DarkRadiation」

  • 投稿日:2021年7月15日
  • 脅威カテゴリ:不正プログラム
  • 執筆:Trend Micro
0

トレンドマイクロは、Linuxなどで採用されるシェル「Bash」を使ったランサムウェア「DarkRadiation」を確認しました。このランサムウェアは攻撃にBashスクリプトを利用しているものの、そのスクリプト自体はまだ開発途中であると当社は推測しています。攻撃で使用されるコンポーネントの多くは、主に「Red Hat」および「CentOS」向けのLinuxディストリビューションを対象としていますが、一部のスクリプトには、「Debian」向けのLinuxディストリビューションも含まれていました。また、これらのワームやランサムウェアのスクリプトでは、コマンドアンドコントロール(C&C)の通信にメッセージングアプリケーション「Telegram」のAPIを使用していました。さらにまた、攻撃で使用されたコンポーネントほとんどは「Virus Total」での検出数が非常に少ないことも確認されました。実際、これらのランサムウェアの情報が記載されたハッキングツールのURLは、当初Twitter上で報告されていただけでした。

本記事では、今回扱うランサムウェアおよびランサムウェアの展開に使用された「Secure Shell(SSH)ワーム」、そしてこれらが格納されているディレクトリ「api_attack/」を解析した結果を説明します。

図1:ランサムウェア「DarkRadiation」感染時に表示される画面の例

(さらに…)

続きを読む
Tags: ランサムウェアDarkRadiationLinux

IaCツールを悪用して拡散するLinuxのボット型マルウェアのキャンペーンを解説

  • 投稿日:2021年7月8日
  • 脅威カテゴリ:不正プログラム, ボットウイルス, クラウド
  • 執筆:Trend Micro
0

Linuxを標的とする脅威の増加は、「Windows以外のOSはマルウェアに感染しにくい」といった俗説を覆しました。Linuxが攻撃者に狙われるようになると、Ngrokのようなローカル環境で実行しているアプリケーションを外部公開するサービスを悪用したり、競合する別のマルウェアを強制停止させる機能を利用したりと、脅威が高度化していく様子が見られるようになりました。

本記事では、Linuxシステムを標的とする攻撃者の間で新たに採用されている手口について解説します。今回トレンドマイクロでは、Infrastructure as Code(IaC)ツールを悪用する手口を特定しました。これはマルウェアの拡散にIaCツールの悪用が確認された初のケースと言えます。また今回解説する手口の中には、Socks5プロトコルを使用したプロキシ経由のネットワークを介したTor(The Onion Router)の使用、正規DevOpsツールの悪用、アーキテクチャに応じた後続のマルウェア検体のダウンロード、競合する暗号資産採掘ツール(コインマイナー)の削除や無効化のほか、マルウェア検出や解析を回避する機能が含まれます。

(さらに…)

続きを読む
Tags: ボット型マルウェアクラウドcloudIaCツールLinuxTorプロキシ

クラウドの認証情報を窃取する不正なシェルスクリプトの事例を解説

  • 投稿日:2021年4月13日
  • 脅威カテゴリ:不正プログラム, クラウド
  • 執筆:Trend Micro
0

トレンドマイクロは、シェルスクリプトを使用して不正な活動を行う攻撃を再び確認しました。これらのシェルスクリプトは、公開されているコンテナリポジトリ上のランダムなイメージとして作成されていました。このようなシェルスクリプトにはバックドアなどの不正要素が含まれている可能性があるため、実行することによるセキュリティ上のリスクがあることを認識する必要があります。過去の攻撃では、そのような不正なシェルスクリプトの多くはコインマイナーを展開するために使用されていました。しかし、新しいサンプルを利用した最近の事例では、シェルスクリプトがコインマイナーのダウンローダとしてではなく別の目的を果たしており、どのように開発されているかを明確にしています。トレンドマイクロでは今回の調査により判明したコマンド&コントロール(C&C)サーバのURL、文字列、暗号鍵、サンプルで使用されている言語などの特徴から、この最新の攻撃はハッキング集団「TeamTNT」によるものと推測しています。

図1:不正シェルスクリプトの機能を示すコード部分の例
図1:不正シェルスクリプトの機能を示すコード部分の例

(さらに…)

続きを読む
Tags: コンテナイメージコインマイナーシェルスクリプトLinuxTeamTNTUNIX暗号資産

コンテナ経由でホストを侵害する「コンテナエスケープ」攻撃を実例で解説

  • 投稿日:2021年3月31日
  • 脅威カテゴリ:クラウド, 攻撃手法
  • 執筆:Trend Micro
0

「DX(デジタルトランスフォーメーション)」や「2025年の崖」など新たなデジタル世界への対応と変革の必要性が叫ばれる中、そのシンプルさと柔軟性の高さからマイクロサービスアーキテクチャを採用する企業や組織が増えています。実際、2019年に行われた調査では、大企業のITリーダの89%は「進化し続けるデジタル世界で企業が競争力を維持するためにはマイクロサービスが不可欠」と考えていることが報告されており、今後より多くの開発者がオンプレミスやクラウドサービス内にコンテナを展開することが予想されます。しかしクラウド上のコンテナではセキュリティ管理の不備により重要データが不用意に露出する可能性があり、攻撃者にとって格好の的となる恐れがあります。具体的には露出したRedisインスタンス内に暗号資産採掘ツール(コインマイナー)が展開されたり、Docker Hub上でコミュニティが共有するコンテナイメージを悪用して不正コンテナが展開されたりするなど、設定に不備のあるサービスを狙った攻撃が継続的に確認されています。また別の事例ではコインマイナーが感染したLinuxシステム内に既存する別のコインマイナーを検索して削除し自身の計算能力を最大化させる動きも確認しました。このコインマイナーはDockerやRedisのプラットフォーム内で露出したアプリケーションプログラミングインターフェース(API)を検索していたことから、攻撃者がこれらのプラットフォームに精通していることが示唆されます。

そして今回トレンドマイクロでは、さらに上記とは異なる攻撃手口を確認しました。この攻撃はいわゆる「コンテナエスケープ」の攻撃手法となっており、ルート権限のすべてを備えたホストマシン上のPrivileged(特権)コンテナからホスト側に「脱出」できるよう特別に作成されたペイロードが利用されました。注意すべき点は、Dockerを利用しているからといって、ユーザが使用するコンテナすべてが自動的に特権コンテナとなるわけではないことです。事実、Dockerユーザの多くは特権コンテナを使用していません。これはすなわち、適切なセキュリティを確保する方法を知らずに特権コンテナを使用することはリスクが高いことを示します。

図1:Dockerの特権コンテナに内在する脆弱性を攻撃する流れ
図1:Dockerの特権コンテナに内在する脆弱性を攻撃する流れ

(さらに…)

続きを読む
Tags: APIマイクロサービスコンテナコンテナエスケープコインマイナーDockerLinuxPoC

Linux環境における脅威を解説、被害に遭わないためには?

  • 投稿日:2021年3月4日
  • 脅威カテゴリ:その他, 脆弱性
  • 執筆:Trend Micro
0

30年前に個人のプロジェクトとして始まったLinuxは、現在では世界中のクラウドプラットフォームやサーバを席巻する主要なオペレーティングシステム(OS)のひとつとなっています。実際に、現在Microsoft独自のクラウドプラットフォームであるAzure上ではLinuxの利用率がWindowsを上回っています。

また、Linuxは環境に依存せず利用できるOSと言えます。Linux Foundationの「2017 State of Linux Kernel Development Report」によると、Linuxはパブリッククラウドのワークロードの90%と、上位10社のパブリッククラウドプロバイダのうち9社で稼働しています。その上、Linuxは世界のスマートフォンの82%で動作し、スーパーコンピュータ市場では99%という巨大な市場シェアを持っていました。

しかしながら、他のソフトウェアと同様に、Linux にもセキュリティの脅威やリスクがないわけではありません。企業がクラウドに移行し、結果的に Linux に移行していく中で、サイバー犯罪者がその焦点とリソースを変えてこれらの環境を標的にして悪用するのは当然のことであると言えるでしょう。

本記事では、Linux の脅威概況について解説し、Linux がいかにして攻撃者にとって魅力的な攻撃対象となっているのか、また、Linux がどのようにして様々な脅威やリスクに晒されるかを調査しました。該当する脅威やリスクには、脆弱性、誤設定、セキュリティギャップ、マルウェアなどが含まれます。本記事では、昨今のLinuxに影響を与えるセキュリティの問題点と脅威の概要を説明した上で、Linux環境を脅威から保護しリスクを軽減するために必要なセキュリティのベストプラクティスを紹介します。

(さらに…)

続きを読む
Tags: ランサムウェアクラウドコンテナCVE-2017-5638CVE-2020-11651CVE-2020-11652DockerLinux
Page 1 of 412 › »


  • 個人のお客さま向けオンラインショップ
  • |
  • 法人のお客さま向け直営ストア
  • |
  • 販売パートナー検索
  • Asia Pacific Region (APAC): Australia / New Zealand, 中国, 日本, 대한민국, 台灣
  • Latin America Region (LAR): Brasil, México
  • North America Region (NABU): United States, Canada
  • Europe, Middle East, & Africa Region (EMEA): France, Deutschland / Österreich / Schweiz, Italia, Россия, España, United Kingdom / Ireland
  • 電子公告
  • ご利用条件
  • プライバシーポリシー
  • Copyright © 2021 Trend Micro Incorporated. All rights reserved.