Ballista ボットネット: TP-Link Archer ルーターを悪用するサイバー脅威

サイバーセキュリティ研究者は、パッチ未適用の TP-Link Archer ルーターを標的とした、Ballista と呼ばれる別のボットネット キャンペーンを発見しました。2025 年 1 月 10 日に初めて検出されたこのキャンペーンは、既知の脆弱性 (CVE-2023-1389) を利用してデバイスに侵入し、インターネット全体に拡散します。この欠陥を悪用した他のボットネットとは異なり、Ballista は活発に開発が進められているようで、世界中のユーザーや組織にとって大きな懸念事項となっています。

Ballista ボットネットとは何ですか?

Ballista は、脆弱な TP-Link Archer AX-21 ルーターを侵害するように設計された悪意のあるソフトウェア キャンペーンです。これは、コマンド インジェクション、そして最終的にはリモート コード実行 (RCE) を可能にする、重大度の高いセキュリティ欠陥である CVE-2023-1389 を悪用します。ルーターが侵害されると、Ballista は自身をインストールし、暗号化されたコマンド アンド コントロール (C2) チャネルを確立し、構造化された攻撃シーケンスに従って目的を達成します。

ボットネットは、「dropbpb.sh」と呼ばれるマルウェア ドロッパーを実行することで拡散します。このドロッパーは、感染したデバイスでメイン ペイロードを取得して実行します。このマルウェアは、mips、mipsel、armv5l、armv7l、x86_64 など、さまざまなシステム アーキテクチャで動作します。ボットネットは侵入すると、コマンドを実行し、サービス拒否 (DoS) 攻撃を実行し、検出を回避するために自身の存在の痕跡を削除することさえあります。

Ballista は何を達成しようとしているのでしょうか?

Ballista の主な目的は、さまざまな悪意ある目的で侵入したデバイスを制御することであると思われます。主な機能には次のようなものがあります。

• シェル コマンドの実行:このマルウェアにより、攻撃者は Linux シェル コマンドをリモートで実行できるようになり、感染したルーターを広範囲に制御できるようになります。
• サービス拒否 (DoS) 攻撃: Ballista は、「flooder」と呼ばれるコマンドを使用してフラッド攻撃を開始し、ネットワーク操作を妨害する可能性があります。
• 他のルーターへの拡散:マルウェアは、パッチが適用されていない他のルーター上の同じ脆弱性を悪用し、その範囲を大幅に拡大する可能性があります。
• データ アクセスと流出:侵害されたシステムから機密ファイルを読み取ろうとするため、機密情報が漏洩する可能性があります。
• 自己保存と進化: Ballista は、自身の以前のバージョンを削除して、最新のイテレーションのみがアクティブになるように設計されています。さらに、最近の更新では、ボットネットがハードコードされた IP アドレスから TOR ネットワーク ドメインを使用するように移行したことが示されており、追跡と緩和がさらに困難になっています。

どのような影響があるのでしょうか?

Ballista の出現は、インターネット接続デバイス、特にパッチが適用されないことが多い消費者向けルーターの継続的なセキュリティ課題を浮き彫りにしています。このボットネットの範囲は広く、標的のデバイスはブラジル、ポーランド、英国、ブルガリア、トルコに 6,000 台以上あります。また、米国、オーストラリア、中国、メキシコの製造、医療、サービス、テクノロジー分野の企業への攻撃にも関連しています。

このボットネットの影響は、個々のルーターの感染だけにとどまりません。感染したデバイスは大規模なサイバー攻撃に利用される可能性があるため、Ballista は次のような世界的なサイバー脅威の一因となる可能性があります。

• ボットネットを利用した攻撃の増加:感染したデバイスの数が増加すると、攻撃者は Ballista を利用して協調的な DoS 攻撃を行い、標的のサービスを麻痺させる可能性があります。
• データ侵害とスパイ活動:機密ファイルへのアクセスは不正なデータ流出につながり、個人と組織の両方が危険にさらされる可能性があります。
• サプライ チェーンの脆弱性:侵害されたルーターに依存している企業は、知らないうちに大規模なサイバー犯罪活動の一部になる可能性があります。
• 追跡と無効化の難しさ:ボットネットが TOR ネットワーク ドメインを使用するようになったため、攻撃者を特定してその活動を阻止することが難しくなりました。

バリスタから身を守るには？

脅威の深刻さを考えると、ユーザーはルーターを保護するために積極的な措置を講じる必要があります。

1. ルーターのファームウェアを更新する:メーカーはセキュリティの脆弱性を修正するためのパッチを定期的にリリースしているため、TP-Link Archer AX-21 ファームウェアが最新バージョンに更新されていることを確認してください。
2. リモート管理を無効にする:必要ない場合は、不正な接続を防ぐためにリモート アクセス機能をオフにします。
3. 強力な資格情報を使用する:デフォルトのログイン資格情報を避け、ルーターの管理には複雑なパスワードを使用します。
4. ネットワーク トラフィックを監視する:送信トラフィックの急増などの異常なアクティビティは、感染を示している可能性があります。
5. 工場出荷時設定へのリセットと再構成:デバイスが侵害された疑いがある場合は、工場出荷時設定へのリセットを実行して最初から設定し直すと、マルウェアの削除に役立つ場合があります。
6. ファイアウォール ルールを実装する:管理ポートへの不要なアクセスを制限し、疑わしい IP アドレスをブロックします。

今後の道

Ballista はルーターの脆弱性を悪用する最初のボットネットではありませんし、もちろん最後でもありません。マルウェアのバイナリにイタリア語の文字列が含まれていることから、その起源は明らかですが、進化し続ける性質上、真の運営者は不明のままです。ボットネットが匿名ネットワークに移行していることは、ボットネットが積極的に改良されていることを示しており、緩和策はより困難になっています。

Ballista はMiraiや Mozi などの他のボットネットとは一線を画していますが、自己増殖して強力な攻撃を実行する能力があるため、サイバーセキュリティ分野では注目に値する展開となっています。詳細が明らかになるにつれ、情報を入手し、必要な予防策を講じることが、被害の拡大を防ぐ鍵となるでしょう。

セキュリティ アップデートを優先し、ベスト プラクティスに従うことで、ユーザーは Ballista や同様の脅威のリスクを軽減できます。ボットネットとの戦いは続いていますが、認識とタイムリーな行動によって、その影響を大幅に制限することができます。