カイジマルウェアブルートフォース、簡単に推測できるユーザー名とパスワードの組み合わせで攻撃を成功させる

いわゆるモノのインターネット（IoT）革命により、オンラインエコシステムがさまざまな面で変化しました。サイバーセキュリティも例外ではありません。ハッカーは、スマートガジェットやその他のIoTデバイスは、縮小された（主にLinuxベースの）オペレーティングシステムを備えた小さなコンピューターに過ぎないことを知っており、この事実を利用することが決定されました。

分散サービス拒否（DDoS）攻撃に関しては、Miraiが登場し、記録帳を完全に書き直す前に、成功しなかったいくつかのIoT脅威が現れました。ボットネットの巨大な攻撃は、世界中の地域全体でインターネットの大きなチャンクを破壊するのに十分強力であり、それらは、どれほど危険な兵器化されたIoTガジェットがあり得るかを示しました。また、IoTセキュリティの状態がいかに劣悪であるかを全員に示しました。あなたは私たちが今までに私たちの教訓を学んだと思います。スマートデバイスのハッキングをより困難にしたとお考えでしょう。まあ、あなたは間違っているでしょう。

Kaiji –真新しいIoTマルウェアファミリー

MalwareMustDieという名前の独立系研究者のグループが最近、これまで報告されていないIoTマルウェアの株であるカイジに遭遇しました。彼らはこれまで聞いたことはありませんでしたが、専門家はおそらく最初はマルウェアの唯一の新しいことは名前だと思っていました。

Miraiの歴史的なDDoS攻撃の後、セキュリティコミュニティと法執行機関はマルウェアの作者を探し始めました。最終的に、世界で最も強力なDDoSボットネットの作成者が特定されましたが、その前にMiraiのソースコードが漏洩しました。それ以来、DDoS攻撃を開始しようとするほぼすべてのIoTマルウェアファミリはMiraiに基づいています。新しい名前と新しいコンポーネントがありますが、コアは常にほぼ同じで、悪名高いMiraiに由来します。

しかし、カイジはゴーランで一から書かれました。 1行のコードが他の場所からコピーされたことはありません。つまり、しばらくして、Miraiと比較できるIoTマルウェアファミリが存在することになります。それでは、どのように積み上げますか？

カイジは新しいみらいですか？

実際のところ、現時点ではカイジについてはあまり知りません。 Intezerの研究者が新しいマルウェアに関する技術レポートを書いたが、これはカイジが中国のハッカーによって作成されたというMalwareMustDieの疑いを裏付けている。マルウェアは明らかにいくつかの異なる種類のDDoS攻撃を仕掛ける準備ができていますが、まだ開発中のようです。分析中のある時点で、Intezerの研究者たちは、カイジがRAMを過度に消費していることに気付き、その後、コマンド＆コントロールインフラストラクチャの一部が機能していないことに気づきました。

しかし、彼らは最初の感染経路を選択しました。彼らの決定は、カイジについてだけでなく、IoTランドスケープ全体について多くのことを教えてくれます。

新しいマルウェア、古いトリック

カイジは、SSHログイン認証情報をブルートフォースすることで新しいデバイスに感染します。 SSHは、他のデバイスをリモートで制御できるネットワークプロトコルであり、多くの場所で、Miraiがスマートガジェットを採用するために使用する通信プロトコルであるTelnetよりもはるかに安全であると説明されています。実際、主な違いの1つは、SSH接続が暗号化されることですが、この特定のケースでは、これは重要ではありません。

みらいちゃんとかいじちゃんは総当たりで攻撃を仕掛けているため、攻撃はプロトコルではなく、ログイン認証情報を狙っています。これらのログイン資格情報が有効な感染経路を示しているという単なる事実は、IoTセキュリティの状態について多くのことを物語っています。カイジとミライは、人々の不十分なパスワード管理の決定を悪用することすらありません。代わりに、あまりにも多くのデバイスがデフォルトの資格情報を使用しているという事実を利用しています。

IoTガジェットのメーカーは、誰でもデバイスを制御できる推測可能なログイン認証情報を使用して、市場に出ているデバイスをリリースしています。ベンダーがこれらの特定のガジェットをハッキングすることに関心がないことを期待して、ベンダーは脆弱なパスワードを更新する方法の実装に失敗することが多く、攻撃がさらに成功する可能性が高くなります。パスワードのリセットメカニズムがあったとしても、ユーザーはそれを使用することに煩わされないことがよくあります。

みらいちゃんが初めてマークを出したのは2016年のことでしたが、今は明らかにそうです。過去4年間、何も学んでいないことを示しています。