本ブログエントリでは、IoT（Internet of Things: モノのインターネット）Linuxマルウェアの調査結果を報告し、特にこれらマルウェアファミリが時間と共にどのように変化してきたかを分析します。トレンドマイクロが観測したマルウェアについて、その機能や特徴を定義するため、MITRE ATT&CK TTPs（Tactics、Techniques、Procedures）を用いました。
本調査より、IoT Linuxマルウェアは、特にIoTボットネットを構築するものについて、継続的に進化していることが分かりました。時間とともに実装する機能の追加、または、削除が見られます。とりわけ、データ送出や水平移動(ラテラルムーブメント)の機能ではなく、局所集中型の感染を引き起こす機能の進化に力が向けられる傾向があります。
表1に、トレンドマイクロが収集したマルウェア関連データの中で、最も多く実装されている機能やテクニックの上位10個を示します。
| ATT&CK Tactic | Technique (TTP) |
マルウェア ファミリ数 |
| Discovery（探索） | T1083：File and Directory Discovery（ファイルとディレクトリの探索） | 10 |
| Command and Control（コマンド・コントロール） | T1071.001：Application Layer Protocol: Web Protocols（アプリケーション層プロトコル: Webプロトコル） | 9 |
| Initial Access（初期アクセス） | T1133：External Remote Services （外部リモートサービス） | 8 |
| Execution（実行） | T1059.004：Command and Scripting Interpreter: Unix Shell（コマンド・スクリプトインタプリタ: Unixシェル） | 7 |
|---|---|---|
| Impact（影響） | T1498.001：Network Denial of Service: Direct Network Flood（サービス拒否・直接フラッド攻撃） | |
| Credential Access（認証情報アクセス） | T1110.001：Brute Force Password Guessing（ブルートフォースパスワード推定） | 6 |
| Discovery（探索） | T1057：Process Discovery（プロセス探索） | |
| Execution（実行） | T1106：Native API（ネイティブAPI） | 5 |
| Impact（影響） | T1486：Data Encrypted for Impact（データ暗号化） | |
| Defense Evasion（防御回避） | T1070.004：Indicator Removal on Host: File Deletion（ホスト上の痕跡隠滅: ファイル削除） | 4 |
| Lateral Movement（水平移動・内部活動） | T1210：Exploitation of Remote Services（リモートサービス不正使用） | |
| Persistence（永続化） | T1053.003：Scheduled Task/Job: Cron（タスク・ジョブスケジュール: Cron） |
