Mirai（マルウェア）

Mirai（日本語の「未来」に由来）は、 Linuxを実行しているネットワークデバイスを、大規模なネットワーク攻撃でボットネットの一部として使用できるリモート制御ボットに変えるマルウェアです。主に、 IPカメラや家庭用ルーターなどのオンラインコンシューマーデバイスをターゲットにしています。^[1] Miraiボットネットは、2016年8月^[2]にMalwareMustDie ^[3]によって初めて発見され、2016年9月20日のコンピューターセキュリティジャーナリストのブライアン・クレブスのウェブサイトへの攻撃[4]、フランスのウェブホストOVHへの攻撃[5]、および2016年10月のDynへのDDoS攻撃など、最大かつ最も破壊的な分散型サービス拒否^（ DDoS ）攻撃^のいくつかに使用されました。^{[6] [7]}アンナ先輩（マルウェアの原作者）とロバート・コエーリョのチャットログによると、ミライは2011年のテレビアニメシリーズ「未来日記」にちなんで名付けられたとのことです。^[8]

このソフトウェアは当初、作成者らがMinecraftサーバーやMinecraftサーバーにDDoS攻撃対策を提供する企業にDDoS攻撃を仕掛けるために使用されており、作成者はMiraiを使って保護活動を行っていた。^[9] Miraiのソースコードはその後、オープンソースとしてHack Forumsに公開された。^[10]ソースコードが公開されて以来、この手法は他のマルウェアプロジェクトにも応用されている。^{[11] [12]}

Miraiに感染したデバイスは、インターネットを継続的にスキャンして、モノのインターネット（IoT）デバイスのIPアドレスを探します。Miraiには、プライベートネットワークや米国郵政公社や国防総省に割り当てられたアドレスなど、感染しないIPアドレス範囲の表が含まれています。^[13]

Miraiは、60を超える一般的な工場出荷時のデフォルトのユーザー名とパスワードのテーブルを使用して脆弱なIoTデバイスを識別し、それらにログインして感染させます。^{[5] [14] [15]}感染したデバイスは、時折動作が遅くなること^[14]と帯域幅の使用量が増加することを除いて、正常に機能し続けます。デバイスは再起動されるまで感染したままになります。再起動には、単にデバイスの電源をオフにして、少し待ってから再びオンにするだけの場合があります。再起動後、ログインパスワードをすぐに変更しない限り、デバイスは数分以内に再感染します。^[14]感染すると、Miraiは「競合する」マルウェアを識別し、メモリから削除し、リモート管理ポートをブロックします。^[16]

被害者のIoTデバイスは、「まず、急速なスキャン段階に入り、ハードコードされたIPブラックリストにあるアドレスを除く疑似ランダムIPv4アドレスに、Telnet TCPポート23と2323でTCP SYNプローブを非同期かつ「ステートレスに」送信する」ことで識別されます。^[17] IoTデバイスがプローブに応答すると、攻撃はブルートフォースログイン段階に入ります。この段階で、攻撃者は資格情報リストから事前に決定されたユーザー名とパスワードのペアを使用して、Telnet接続を確立しようとします。これらのログインのほとんどは、IoTベンダーのデフォルトのユーザー名とパスワードです。IoTデバイスがTelnetアクセスを許可すると、被害者のIPと、正常に使用された資格情報が収集サーバーに送信されます。

デフォルト設定のままのIoTデバイスは数多くあり、感染に対して脆弱です。感染すると、デバイスは攻撃対象を示すコマンドアンドコントロールサーバーを監視します。 ^[14]多数のIoTデバイスが使用される理由は、着信リクエストのIPアドレスを監視し、特定のIPアドレスからのリクエストが多すぎるなど、異常なトラフィックパターンを識別した場合にフィルタリングまたはブロックを設定するDoS対策ソフトウェアを回避するためです。その他の理由としては、犯人が単独で集められるよりも多くの帯域幅をマーシャリングできるようにすることや、追跡を回避することなどが挙げられます。

モノのインターネット(IoT) デバイスとしての Mirai の脅威は、アクターの逮捕後も止まっていません。^[要出典]一部のアクターは^、他のアクターがGitHubのソース コードを利用してMirai を新しい亜種に進化させていると考えています。彼ら^{[誰? ]は、その目的は}ボットネットノードをより多くの IoT デバイスに拡張することであると推測しています。これらの亜種の最近の進展の詳細は、次の段落に記載されています。

2017年12月12日、研究者らは、Huawei HG532ルーターのゼロデイ脆弱性を悪用してMiraiボットネットの感染を加速させるMiraiの亜種を特定し、^[18]ルーターのWebインターフェースに2つの既知のSOAP関連の脆弱性、CVE-2014–8361とCVE-2017–17215を実装しました。このMiraiバージョンは「Satori」と呼ばれています。

2018年1月14日、ARM、MIPS、x86、PowerPC ^{[19]などの一般的な組み込みプロセッサをすでに標的としていたMiraiの新しい亜種「Okiru」（日本語で「起きる」）が、} ARCプロセッサベースのLinuxデバイス^[20]を初めて標的としていることが判明しました。Argonaut RISC Coreプロセッサ（略してARCプロセッサ）は、2番目に人気のある組み込み32ビットプロセッサで、デスクトップコンピュータ、サーバー、ラジオ、カメラ、モバイル、ユーティリティメーター、テレビ、フラッシュドライブ、自動車、ネットワークデバイス（スマートハブ、テレビモデム、ルーター、WiFi）、モノのインターネットなど、年間15億を超える製品に搭載されています。ARCベースのデバイスのうちLinuxを実行しているデバイスは比較的少数であるため、Miraiの影響を受けます。

2018年1月18日、Miraiの後継が暗号通貨の マイニング業務をハイジャックするように設計されていると報告された。^[21]

2018年1月26日、2つの類似したMirai亜種のボットネットが報告された。その改良版は、EDB 38722 D-Linkルーターの脆弱性を武器にして、さらに脆弱なIoTデバイスを組み込むものだった。ルーターのホームネットワーク管理プロトコル（HNAP）の脆弱性を利用して、認証をバイパスできる悪意のあるクエリを悪用したルーターに送り、任意のリモートコード実行を引き起こす。改良されていないMiraiのバージョンは「Masuta」（「Master」の日本語訳にちなんで）と呼ばれ、改良されたバージョンは「PureMasuta」と呼ばれている。^[22]

2018年3月、脆弱なIoTデバイスを標的とし、それらをプロキシサーバーに変えるための設定を追加した「OMG」と呼ばれるMiraiの新しい亜種が出現しました。生成されたHTTPおよびSOCKSポートをトラフィックが通過できるようにする新しいファイアウォールルールが、Miraiコードに追加されました。これらのポートがトラフィックに開放されると、OMGはロシアのウェブサイトで入手可能なオープンソースソフトウェアである3proxyを設定します。^[23]

2018年5月から6月にかけて、「Wicked」と呼ばれるMiraiの別の亜種が出現し、NetgearルーターやCCTV-DVRに影響を与えるものを含む少なくとも3つの追加のエクスプロイトをターゲットとする設定が追加されました。Wickedはポート8080、8443、80、81をスキャンし、それらのポートで実行されている脆弱でパッチが適用されていないIoTデバイスを見つけようとします。研究者は、Wicked、Sora、Owari、Omniボットネットは同じ作者によって作成されたと疑っています。^{[24] [25]}

2018年7月初旬、少なくとも13種類のMiraiマルウェアがインターネット上のLinux IoTに感染していることが報告され、そのうち3つはデフォルトの認証情報に対するブルートフォース攻撃を仕掛けることなく、エクスプロイトの概念実証を使用して特定の脆弱性を狙うように設計されていた。^[26]同月、Androidオペレーティングシステムのオプション機能であるTCP/5555上のAndroid Debug Bridgeを介してAndroidデバイスへのMiraiマルウェア感染キャンペーンの報告が公開されたが、この機能は一部のAndroidスマートフォンで有効になっていることが判明した。^[27]

2018年末、ThinkPHPフレームワークのリモートコード実行の脆弱性を介して「Miori」と呼ばれるMiraiの亜種が拡散し始め、バージョン5.0.23から5.1.31に影響を与えました。この脆弱性は、2019年1月に「Hakai」と「Yowai」、2019年2月に「SpeakUp」と呼ばれるさらに進化したMiraiの亜種によって継続的に悪用されています。^[28]

MiraiはBASHLITE ^[29]とともに、 2016年9月20日にKrebs on Securityサイトに対して620Gbit/sに達したDDoS攻撃に使用された。 ^[30] Ars Technicaはまた、フランスのウェブホストOVHに対する1Tbit/sの攻撃を報告した。^[5]

2016年10月21日、 DNSサービスプロバイダーDynのDNSサービスに対して、多数のIoTデバイスにインストールされたMiraiマルウェアを使用した複数の大規模なDDoS攻撃が発生しました。これらのデバイスの多くは、デフォルトのユーザー名とパスワードを使用していました。^{[31]これらの攻撃の結果、} GitHub、Twitter、Reddit、Netflix、Airbnbなど、いくつかの有名なウェブサイトにアクセスできなくなりました。 ^[32] Dyn攻撃がMiraiボットネットによるものであるという報告は、もともとLevel 3 Communicationsによって行われました。^{[29] [33]}

Miraiは後に、2014年から2016年にかけてラトガース大学に対して行われたDDoS攻撃で使用されていたことが明らかになった。この攻撃により、キャンパス内の教職員と学生は一度に数日間、外部のインターネットにアクセスできなくなった。さらに、大学の中央認証サービスに障害が発生したため、学期の重要な時期に履修登録やその他のサービスが利用できなくなった。大学はこれらの攻撃に対応するため、コンサルティングに30万ドルを費やし、大学のサイバーセキュリティ予算を100万ドル増額したと伝えられている。大学は、2015年から2016年の学費の値上げの理由の1つとしてこの攻撃を挙げた。^[34]「exfocus」という別名を持つ人物が、/r/RutgersサブレディットのReddit AMAで、ユーザーは同校の学生であり、DDoS攻撃は大学のバスシステムへの不満が原因だったと述べ、攻撃の責任を主張した。同じユーザーは後にニュージャージー州在住のブロガーとのインタビューで、大学と関係があると嘘をつき、攻撃は匿名のクライアントによって資金提供されていたと主張した。セキュリティ研究者のブライアン・クレブスは後に、そのユーザーは実際にはラトガース大学の学生であり、後者のインタビューは捜査官の注意をそらすために行われたと主張した。^[8]

Deep Learning Securityのスタッフは、10月21日の攻撃の前後でMiraiボットネットが着実に成長しているのを観察しました。^[35]

Miraiは2016年11月にリベリアのインターネットインフラへの攻撃にも使用されました。^{[36] [37] [38]}コンピュータセキュリティの専門家であるケビン・ボーモント氏によると、この攻撃はDynを攻撃した攻撃者によるものと思われます。^[36]

同社のDDoS攻撃はブラジル、台湾、コスタリカ、インドでも目立った。^[39]

2016年11月末、ドイツテレコム製でArcadyan社製のルーター約90万台が、Miraiの亜種によるTR-064攻撃の失敗によりクラッシュし、これらのデバイスのユーザーのインターネット接続に問題が生じました。^{[40] [41]} TalkTalkはその後ルーターにパッチを適用しましたが、TalkTalkルーターでMiraiの新しい亜種が発見されました。^[42]

BBCによると、この攻撃の背後にいた疑いのあるイギリス人男性がルートン空港で逮捕されたという。^[43]

2017年1月17日、コンピュータセキュリティジャーナリストのブライアン・クレブス氏は自身のブログ「Krebs on Security」に記事を投稿し、マルウェアを作成したと思われる人物の名前を明らかにした。クレブス氏は、Miraiの作者であるアンナ先輩（下ネタの登場人物、アンナ・ニシキノミヤにちなんで名付けられた）の実在の人物は、DDoS緩和サービス会社ProTraf Solutionsのオーナーでラトガース大学の学生でもあるインド系アメリカ人のパラス・ジャー氏である可能性が高いと述べた。元の記事の更新版で、パラス・ジャー氏はクレブス氏に返答し、Miraiの作成を否定した。^[8] FBIはジャー氏を2016年10月のDynサイバー攻撃への関与について尋問したと報じられた。^[44] 2017年12月13日、パラス・ジャー氏、ジョサイア・ホワイト氏、ダルトン・ノーマン氏はMiraiボットネットに関連する犯罪について有罪を認めた。^[45] 3人は政府の他のサイバーセキュリティ調査に協力し、懲役刑なしで保護観察と社会奉仕活動を宣告された。^[46]

NCAによると、別名「ベストバイ」、「ポポプレト」、「スパイダーマン」としても知られるダニエル・ケイ（29歳）は、「ミライボットネットとして知られる感染したコンピュータネットワークを使用してロイズ銀行グループとバークレイズ銀行を攻撃し、脅迫した」として告発されている。同報告書によると、彼はドイツから英国に引き渡された。ケイはまた、ドイツテレコムのネットワークから90万台以上のルーターをハイジャックした罪で法廷で有罪を認めている。^{[47] [48]}

研究者らは後に、ハンドルネーム「Nexus Zeta」がMiraiの新しい亜種（Okiru、Satori、Masuta、PureMasutaと呼ばれる）の作者であると指摘し、^{[49] [50] [22]}、2018年8月21日、アメリカの大陪審はNexus Zetaとしても知られるケネス・カリン・シュッヒマン（20歳）を、プログラム、情報、コード、コマンドの送信を故意に引き起こし、その結果、保護されたコンピュータに許可なく故意に損害を与えたとして起訴したと、アンカレッジの米国地方裁判所に提出された起訴状に記載されており、^{[51] [52]}その後、容疑者が逮捕され、裁判にかけられた。^[53]

アメリカのエレクトロニックミュージシャン兼作曲家、ジェームズ・フェラーロの2018年のアルバム『Four Pieces for Mirai』では、その進行中の物語の中でMiraiが言及されています。

• Linux マルウェア
• サービス拒否攻撃
• BASHLITE – もう一つの注目すべきIoTマルウェア
• Linux.Darlloz – もう一つの注目すべき IoT マルウェア
• Remaiten – もう一つの IoT DDoS ボット
• Linux.Wifatch
• ハジメ
• ブリッカーボット

• グリーンバーグ、アンディ（2023年11月14日）。「ミライの告白：ウェブを殺すモンスターを作った3人の若いハッカーがついにその物語を語る」。Wired。