２０２０年７月、F5Networksが提供する「BIG-IP」製品の2つの脆弱性が初めて公開されました。トレンドマイクロでは、この脆弱性の深刻度について理解を深めるため、本脆弱性およびその他の関連アクティビティの調査を行いました。この調査に関してはF5Networks側からご連絡、ご協力をいただいたことに感謝します。そしてこの調査の中で、モノのインターネット（IoT）を対象とするボット「Mirai」のダウンローダ（Trend Microでは「Trojan.SH.MIRAI.BOI」として検出）を確認しました。このダウンローダは露出した、つまりインターネット側からアクセス可能なBIG-IP製品を探し、公開された脆弱性の１つ「CVE-2020-5902」を利用して侵入、不正ペイロードの拡散を行います。また同時に既存の様々な脆弱性を利用することもわかりました。関連機器を使用するシステム管理者および個人は、各ツールに対して迅速にパッチを適用することを推奨します。 (さらに…)
続きを読む2019年7月22日から2019年8月6日の間、トレンドマイクロが設置したハニーポットから注目すべき3つのボット型マルウェア「Neko」、「Mirai」、「Bashlite」の新しい亜種を確認しました。2019年7月22日に、Nekoの検体を確認して解析を開始し、翌週の2019年7月29日には利用する脆弱性が追加された亜種を確認しました。また、2019年7月30日にMiraiの亜種「Asher」、さらに翌週の2019年8月6日にはBashliteの亜種「Ayedz」が確認されました。 これらのマルウェアに感染したルータは、分散型サービス拒否（Distributed Denial of Service, DDoS）攻撃を実行するボットネットの一部として機能します。
(さらに…)
トレンドマイクロは、Miraiの新しい亜種（Backdoor.Linux.MIRAI.VWIPTとして検出）を確認しました。この亜種は合計13件の脆弱性を利用します。そのほとんどが以前のMiraiに関連した攻撃において利用されてきました。典型的なMiraiの亜種はバックドアと分散型サービス拒否（Distributed Denial of Service、DDoS）の機能を持っています。しかしながら、今回の場合、13件の脆弱性すべてを1つの活動においてまとめて使用した初めての事例として、他のMiraiの事例と比べて注目されています。
(さらに…)
トレンドマイクロのリサーチャは、さまざまなルータやモノのインターネット（Internet of Things、IoT）デバイスを狙うために複数の脆弱性を利用する「Mirai」の新しい亜種（「Trojan.Linux.MIRAI.SMMR1」として検出）を確認しました。Miraiはこれまでに、さまざまなDDoS攻撃に利用されていたことで知られている悪名高いマルウェアです。今回確認されたバージョンのMiraiは、IoT関連の脅威を監視するためにリサーチャが設定したハニーポットにおいて確認されました。
続きを読むモノのインターネット（Internet of Things、IoT）を狙うマルウェア「Mirai」の新しい亜種がセキュリティ企業「Palo Alto Networks」のリサーチャによって報告されました。Palo Altoの解析によると、この新しい亜種は新旧の脆弱性を利用し、業務利用されているデジタルサイネージ用機器およびワイヤレスプレゼンテーションシステムを攻撃対象とします。また、辞書攻撃に使用する初期設定の認証情報一覧には新しい認証情報が追加されていました。
トレンドマイクロはこのMiraiの新しい亜種を「Backdoor.Linux.MIRAI.VWIPI」および「Backdoor.Linux.BASHLITE.AME」として検出対応しています。
続きを読むトレンドマイクロは、主に中国で利用されているWebアプリケーション開発フレームワーク「ThinkPHP」で遠隔からのコード実行（Remote Code Execution、RCE）が可能になる脆弱性が、Miraiの新しい亜種「Yowai」および「Gafgyt」の亜種「Hakai」によって利用されていることを確認しました。これらのマルウェアは初期設定の認証情報を利用した辞書攻撃や脆弱性攻撃によって侵入し、感染したデバイスをボット化して「分散型サービス拒否（distributed denial-of-service、DDoS）攻撃」に利用します。YowaiおよびHakaiによる攻撃の急増が2019年1月11日から17日にかけて確認されています。
続きを読む脆弱性を利用したスマートデバイスへの攻撃は、「モノのインターネット（Internet of Things、IoT）」機器を使用する多くのユーザにとって以前からの課題となっています。中でも、もっとも悪名高い脅威は、常に変化を続けてきたIoTマルウェア「Mirai」でしょう。Miraiは過去、多くのキャンペーンで、弱いパスワードや初期設定の認証情報をそのまま使用しているデバイスの侵害に利用されてきました。2016年にMiraiのソースコードが流出してからは、さまざまな亜種が出現しています。
トレンドマイクロは、「Miori」と呼ばれるMiraiの新しい亜種を確認しました。Mioriは、主に中国で利用されているWebアプリケーション開発フレームワーク「ThinkPHP」で遠隔からのコード実行（Remote Code Execution、RCE）が可能になる脆弱性を利用して拡散します。この脆弱性を利用する攻撃は比較的新しく、「Proof-of-Concept（PoC、概念実証型エクスプロイト）」は、2018年12月11日になって初めて公開されています。影響を受けるThinkPHPのバージョンは、5.0.23より前の5.xと5.1.31です。トレンドマイクロのクラウド型セキュリティ技術基盤「Trend Micro Smart Protection Network（SPN）」の統計でも、問題のRCE脆弱性に関連したイベントが最近増加しています。
続きを読む開放されたポートを狙う攻撃は、多くの IoTデバイスにおいて現在進行中の課題となっています。特に TCP 5555番ポートは以前にも攻撃に利用されており、このポートを開放したまま出荷し端末を攻撃に露出させてしまっていた製造業者も確認されています。
トレンドマイクロは、2018 年 7 月 9 日から 10 日と、15 日の 2 度にわたり、5555 ポートを狙う新しい攻撃を確認しました。この攻撃では、Android 端末のコマンドラインツール「Android Debug Bridge（ADB）」が利用されました。ADB は、「Android Software Development Kit（Android SDK）」に含まれており、通常は、アプリのインストールやデバッグなどを行う際に開発者が使用するツールです。弊社のデータによると、確認されたネットワークトラフィックは、第 1 波が主に中国と米国から、第 2 波が主に韓国からのものでした。
図 1：TCP 5555 番ポートで確認された活動
