Linux マルウェア

Linuxマルウェアには、 Linuxファミリーのオペレーティングシステムに影響を与えるウイルス、トロイの木馬、ワーム、その他の種類のマルウェアが含まれます。Linux、Unix、その他のUnix系コンピュータオペレーティングシステムは、一般的にコンピュータウイルスに対して非常によく保護されていると考えられていますが、ウイルスに感染しないわけではありません。 [ ^{1] [2]}

Unixシステムと同様に、Linuxはマルチユーザー環境を実装しており、ユーザーには特定の権限が付与され、何らかのアクセス制御が実装されています。Linuxシステムを制御したり、システム自体に重大な影響を及ぼしたりするには、マルウェアはシステムのルートアクセスを取得する必要があります。^[2]

これまで、Linux にマルウェアがほとんど存在しないのは、市場シェアが低いため、標的として利益が出にくいためだと言われてきました。経験豊富な Linux システム管理者の Rick Moen 氏は、次のように反論しています。

[この議論は]、Web サーバーや科学研究用ワークステーションなど、デスクトップ以外の多くの分野で Unix が優位に立っていることを無視しています。Apache httpd Linux/x86 Web サーバーを特にターゲットにすることに成功したウイルス/トロイの木馬/ワームの作成者は、非常にターゲットに富んだ環境を手に入れ、すぐに永続的な名声を得ることになりますが、実際にはそうはなりません。^[3]

2008 年には Linux を標的とするマルウェアが増加していると指摘されました。当時、 Kaspersky Labのシニア テクニカル コンサルタントである Shane Coursen氏は、「Linux マルウェアの増加は、デスクトップ オペレーティング システムとして特に人気が高まっているためです。オペレーティング システムの使用は、マルウェア作成者がその OS 向けのマルウェアを開発することへの関心と直接相関しています。」と述べています。^[4]

セキュリティプロトコルの研究者であるトム・フェリスは、カスペルスキーのレポートの1つについて、「Windows以外であれば安全だと人々は考えているが、それは事実ではない。LinuxやMac OS X向けにマルウェアを作成する人はいないと考えている。しかし、必ずしもそうではない」とコメントしている。^[4]

Linux ユーザーの中には、Windows ユーザーから送受信される安全でない文書や電子メールをスキャンするために Linux ベースのウイルス対策ソフトウェアを実行している人もいます。SecurityFocus の Scott Granneman 氏は次のように述べています。

...一部の Linux マシンには、アンチウイルス ソフトウェアが絶対に必要です。たとえば、Samba または NFS サーバーは、Word や Excel などの、文書化されていない脆弱な Microsoft 形式の文書を保存している可能性があり、これらの文書にはウイルスが含まれており、ウイルスが拡散します。Linux メール サーバーは、Outlook および Outlook Express ユーザーのメールボックスに表示される前にウイルスを無力化するために、アンチウイルス ソフトウェアを実行する必要があります。^[1]

Linux ウイルス スキャナは、他のオペレーティング システムを実行しているコンピュータにメールを送信する可能性のあるメール サーバーで主に使用されているため、一般的に、すべてのコンピュータ プラットフォームで既知のすべてのウイルスの定義を使用してスキャンします。たとえば、オープン ソースのClamAV は、「Microsoft Office マクロ ウイルス、モバイル マルウェア、その他の脅威を含むウイルス、ワーム、トロイの木馬を検出します。」 ^[5]

Microsoft Windowsシステムを対象としたマルウェアがWineなどの互換レイヤーを介して実行され、Linuxシステムに危険を及ぼす事例はまれではあるが記録されている。^[6]

以下に挙げたウイルスは、Linux システムに対して、最小限ではあるものの、潜在的な脅威となります。Linux カーネルはメモリ常駐で読み取り専用であるため、ウイルスを含む感染バイナリが実行されると、システムは一時的に感染します。感染レベルは、どのユーザーがどのような権限でバイナリを実行したかによって異なります。ルート アカウントで実行されたバイナリは、システム全体に感染する可能性があります。権限昇格の脆弱性により、制限されたアカウントで実行されたマルウェアがシステム全体に感染する可能性があります。

権限を制限するための特別な手順を踏まずに実行される悪意のあるプログラムであれば、これが当てはまることは注目に値します。ユーザーがダウンロードする可能性のあるプログラムにコード スニペットを追加し、この追加コードによって、変更されたログイン サーバー、オープン メール リレー、または同様のプログラムをダウンロードさせ、ユーザーがログインするたびにこの追加コンポーネントを実行させるのは簡単です。これには、特別なマルウェア作成スキルは必要ありません。そもそも、ユーザーをだまして (トロイの木馬) プログラムを実行させるには、特別なスキルが必要になる場合があります。

ソフトウェア リポジトリを使用すると、マルウェアがインストールされる脅威が大幅に減少します。これは、ソフトウェア リポジトリがメンテナーによってチェックされ、リポジトリにマルウェアが含まれていないことを確認するためです。その後、ソフトウェアの安全な配布を確保するために、チェックサムが利用可能になります。これにより、中間者攻撃を使用した通信のハイジャックや、 ARPやDNS ポイズニングなどのリダイレクト攻撃によって導入された可能性のある変更されたバージョンを明らかにすることができます。これらのデジタル署名を慎重に使用することで、追加の防御線が提供され、キーとチェックサムの処理方法に応じて、攻撃の範囲が元の作成者、パッケージとリリースのメンテナー、および適切な管理アクセス権を持つその他のユーザーのみに制限されます。再現可能なビルドにより、デジタル署名されたソース コードがバイナリ アプリケーションに確実に変換されたことを保証できます。

Unix 系システムに対する従来の脅威は、SSH や Web サーバーなどのネットワークデーモンの脆弱性です。これらは、ワームによって、または特定のターゲットに対する攻撃に利用される可能性があります。脆弱性が見つかるとサーバーはすぐに修正されるため、この種のワームが広まった例はほとんどありません。公開されていない脆弱性を介して特定のターゲットが攻撃される可能性があるため、特定のインストールが安全であるという保証はありません。また、そのような脆弱性のないサーバーでも、弱いパスワードを介して攻撃される可能性があります。

Linuxサーバーは、システム自体への攻撃がなくてもマルウェアに悪用される可能性があります。たとえば、Webコンテンツやスクリプトの制限やチェックが不十分な場合、マルウェアが訪問者を攻撃するために使用します。一部の攻撃では複雑なマルウェアを使用してLinuxサーバーを攻撃しますが、ほとんどの攻撃者が完全なルートアクセスを取得すると、ハッカーは^[7]バイナリの置き換えやモジュールの挿入など、あらゆるものを変更して攻撃することができます。これにより、ユーザーをWeb上の別のコンテンツにリダイレクトできる場合があります。^[8]通常、コメントを残すためのCGIスクリプトは、誤ってWebブラウザーの脆弱性を悪用するコードを含めてしまう可能性があります。

以前の Linux ディストリビューションは、バッファ オーバーフロー攻撃に対して比較的脆弱でした。プログラムがバッファ自体のサイズを気にしない場合、カーネルが提供する保護は限定的であり、攻撃者は攻撃を受けている脆弱なアプリケーションの権限で任意のコードを実行できました。非ルート ユーザーによって起動された場合でも ( setuidビットを介して) ルート アクセスを取得するプログラムは、特に攻撃者にとって魅力的でした。ただし、2009 年現在、ほとんどのカーネルには、アドレス空間レイアウトのランダム化(ASLR)、強化されたメモリ保護、およびその他の拡張機能が含まれており、このような攻撃を仕掛けるのははるかに困難になっています。

2007 年に特定された懸念事項は、クロスプラットフォーム アプリケーションの人気によって生じたクロスプラットフォームウイルスです。これは、 Badbunnyと呼ばれるOpenOffice.orgウイルスの配布によって、マルウェア認識の最前線に躍り出ました。

シマンテックのスチュアート・スミス氏は次のように書いています。

このウイルスが特筆に値するのは、スクリプト プラットフォーム、拡張性、プラグイン、ActiveX などがいかに簡単に悪用されるかを示しているからです。他のベンダーと機能を一致させようとするあまり、この点が忘れられがちです... マルウェアがクロス プラットフォーム、クロス アプリケーション環境で生き残る能力は、Web サイト経由で拡散されるマルウェアがますます増える中で、特に重要です。誰かがこのようなものを使用して、プラットフォームに関係なく Web サーバーに JavaScript 感染者をドロップするまで、どれくらい時間がかかるのでしょうか? ^[9]

他のオペレーティングシステムと同様に、Linuxはソーシャルエンジニアリングを通じてユーザーを騙してインストールさせるマルウェアに対して脆弱です。2009年12月、感染したLinux PCをサービス拒否攻撃に使用するスクリプトを含む悪質なウォーターフォールスクリーンセーバーが発見されました。^[10]

IBMセキュリティレポート「COVID-19対応を支援する業界への攻撃が倍増」では、「サイバー犯罪者によるLinuxマルウェアの使用が加速 - 過去1年間でLinux関連のマルウェアファミリーが40%増加し、2020年の最初の6か月間でGoで書かれたマルウェアが500%増加したことから、攻撃者はクラウド環境を含むさまざまなプラットフォームでより簡単に実行できるLinuxマルウェアへの移行を加速している」と重要なポイントとして挙げられています。これらのサイバー犯罪者は、赤十字のサイバー攻撃など、COVID-19危機の間、ますます脆弱になっている病院や関連産業（これらのシステムやクラウドネットワークに依存している）を標的にするためにLinuxやUnixをますます使用しています。 [ ^11]

Linux オペレーティング システムで実行できるウイルス対策アプリケーションは数多くあります。これらのアプリケーションのほとんどは、Microsoft Windows ユーザーに影響を与える可能性のある脆弱性を探します。

これらのアプリケーションは、 Microsoft Windowsユーザーにファイルを渡すコンピューター (通常はサーバー) に役立ちます。Linux 固有の脅威を探すものではありません。

これらのアプリケーションは、実行されている Linux コンピュータに対する実際の脅威を探します。

• chkrootkit（フリーでオープンソースのソフトウェア）^[21]
• ClamAV（無料オープンソースソフトウェア）^[22]
• コモド（独自）^[23]
• Crowdstrike（独自）
• Dr.Web（プロプライエタリ）^[15]
• ESET（独自仕様）^{[24] [25] [26] [27] [要出典]}
• Linuxマルウェア検出^[28]
• lynis（オープンソース監査）^{[29] [30]}
• rkhunter（フリーオープンソースソフトウェア）^[31]
• Samhain（フリーオープンソースソフトウェア）^[32]
• ソフォス（独自仕様）^{[33] [34]}

Linux マルウェアは、次のようなメモリフォレンジックツールを使用して検出 (および分析) することもできます。

• フォースポイント（独自）^[35]
• ボラティリティ^[36]（フリーソフトウェアおよびオープンソースソフトウェア）^[37]

以下は、既知の Linux マルウェアの一部です。ただし、実際に出回っているマルウェアはほとんどなく、ほとんどは Linux のアップデートによって時代遅れになっているか、そもそも脅威ではありませんでした。既知のマルウェアは唯一の脅威ではなく、最も重要な脅威でもありません。新しいマルウェアや特定のサイトを狙った攻撃は、コミュニティにこれまで知られていなかった脆弱性やマルウェアによって使用されていない脆弱性を利用する可能性があります。

• メイヘム – 32/64ビットLinux/FreeBSD多機能ボットネット^[38]
• Linux.Remaiten –モノのインターネットを狙った脅威。^{[39] [40] [41]}
• Mirai（マルウェア） – Telnetサービスを通じて拡散し、モノのインターネット（IoT）に感染するように設計されたDDoSボットネット。^{[42] [43] [44] [45]}
• GafGyt/ BASHLITE /Qbot – SSHおよびTelnetサービスの弱いパスワードを介して拡散するDDoSボットネット。最初にbash Shellshockの脆弱性で発見されました。^[46]
• LuaBot – Luaプログラミング言語のモジュールコンポーネントでコード化され、LibCを使用してCラッパーでクロスコンパイルされたボットネット。ARM、MIPS、PPCアーキテクチャのモノのインターネットを標的とし、DDoS、Mirai（マルウェア）の拡散、サイバー犯罪へのプロキシアクセスの販売に利用される。^{[47] [48]}
• Hydra ^[49]、Aidra ^[50] 、 LightAidra ^[51]、NewAidra ^[52]はLinuxボックスに感染する強力なIRCボットネットの別の形態です。
• EnergyMech 2.8 overkill mod (Linux/Overkill) – DDoS攻撃と拡散を目的として、ボットでサーバーを感染させ、IRCプロトコルを介して操作するように設計された、長期にわたるボットネットワーム。^[53]

• Snakso – 64ビットLinuxウェブサーバールートキット^[58]
• ピグミーゴート - 2024年にSophosファイアウォールで使用される^[59]

• ボットネット
• コンピュータウイルスの比較
• コンピュータウイルス
• コンピュータワーム
• 汚い牛
• ランサムウェア
• スパイウェア
• コンピュータウイルスとワームのタイムライン
• トロイの木馬（コンピューティング）

• Ubuntu 公式ドキュメントの Linuxvirus