Mirai ボットネットの亜種が Four-Faith ルーターの脆弱性を悪用して DDoS 攻撃を仕掛ける

ボットネットがもたらす危険性が高まっていることを如実に物語る出来事として、2024年11月初旬から、新たなMiraiの亜種がFour-Faithの産業用ルーターの脆弱性を悪用しています。「gayfemboy」（攻撃的なソースコード参照に由来する用語）と呼ばれるこの最新のボットネットは、分散型サービス拒否（DDoS）攻撃の継続的な脅威を浮き彫りにし、強力なサイバーセキュリティ防御の必要性を強調しています。

このボットネットは、中国、イラン、ロシア、トルコ、米国などの地域にまたがり、毎日 15,000 のアクティブな IP を擁し、壊滅的な規模にまで拡大しています。ゼロデイ脆弱性と 20 を超える既知のセキュリティ欠陥の両方を悪用する能力は、企業と個人ユーザーの両方にとって警鐘を鳴らすものです。

悪用された脆弱性: CVE-2024-12856

ボットネットの最近の攻撃の中心となっているのは、Four-Faith ルーター モデル F3x24 および F3x36 に影響を及ぼすコマンド インジェクション脆弱性である CVE-2024-12856 です。CVSS スコアが 7.2 であるこの欠陥により、攻撃者は変更されていないデフォルトの認証情報で構成されたルーターを悪用することができます。

この脆弱性は、2024年11月に発見されて以来、リバースシェルやMiraiベースのマルウェアの亜種を含む悪意のあるペイロードを配信するために積極的に悪用されてきました。産業グレードのルーターを標的にすることで、攻撃者は高度に接続されたデバイスを活用し、ボットネットの範囲と有効性を高めることができます。

多角的な攻撃戦略

Mirai の亜種は、デバイスに感染してその影響を最大化するために、さまざまな戦術を組み合わせて使用します。

1. 弱い認証情報による初期アクセス
   ボットネットは、多くの IoT および産業システムでよくあるセキュリティ上の見落としである、弱い Telnet 認証情報または工場出荷時のデフォルト設定を持つデバイスをスキャンします。
2. 多数の脆弱性を悪用する
   CVE-2024-12856 以外にも、ボットネットは 20 を超える追加の脆弱性を悪用します。これには、2013 年にまで遡る次のような欠陥が含まれます。
   • CVE-2013-3307
   • CVE-2016-20016
   • CVE-2021-35394
3. Miraiベースのマルウェア機能
   マルウェアは、導入されると、次のような手法を採用します。
   • 悪意のあるプロセスを隠します。
   • 新しい脆弱なデバイスを見つけるためのコマンドを実行します。
   • マルウェアのペイロードを継続的に更新します。
   • 標的型 DDoS 攻撃を開始します。

攻撃の規模と影響

ボットネットは毎日何百ものターゲットに対して DDoS 攻撃を仕掛け、帯域幅のピークは 100 Gbps に達します。これらの攻撃は 10 ～ 30 秒しか続かないことが多いですが、突然のトラフィックの流入によりサーバーが過負荷になり、サービスが中断され、重大な損害が発生する可能性があります。

特に、2024 年 10 月と 11 月にはボットネット活動が急増し、マルウェアが積極的にデバイスをスキャンして侵害しました。

ボットネットの脅威の拡大

この最新の Mirai 亜種は、サイバー犯罪者が IoT や産業用デバイスの脆弱性を悪用してボットネットを構築するという大きなトレンドの一部です。同様のキャンペーンには以下が含まれます。

• Juniper Networks の警告: 悪意のある攻撃者が、デフォルト パスワードを持つセッション スマート ルーター (SSR) 製品を標的にして Mirai マルウェアを拡散しています。
• Akamai レポート: DigiEver DVR のリモート コード実行の脆弱性を悪用した Mirai 感染。

これらのインシデントは、デバイスが誤って構成されたりパッチが適用されなかったりすると、攻撃者はそれらを悪用してボットネット軍を拡大し続けるという、厄介な現実を反映しています。

Mirai ボットネットと DDoS 攻撃から身を守る方法

Mirai ベースのボットネットの脅威は持続的かつ進化し続けているため、組織とユーザーは包括的なセキュリティ対策を採用することが重要です。

1. デフォルトの資格情報を変更する
   すべてのデバイスの工場出荷時のデフォルトのパスワードを、強力で一意の資格情報に置き換えます。
2. 定期的にデバイスにパッチを適用して更新する
   CVE-2024-12856 などの既知の脆弱性を軽減するために、ルーターのファームウェアとソフトウェアを最新の状態に保ってください。
3. ネットワークセグメンテーションを実装する
   横方向の移動を制限すべく、IoT および産業用デバイスを重要なネットワークから分離します。
4. 異常なトラフィックを監視する
   侵入検知システム (IDS) と異常ベースの監視ツールを使用して、DDoS アクティビティを示す異常なトラフィック パターンを検出します。
5. DDoS対策ソリューションを導入する
   クラウドベースの DDoS 保護は、高帯域幅攻撃がネットワークに到達する前にそれを吸収し、軽減することができます。
6. Telnetとリモートアクセスを制限する
   Telnet アクセスを無効にし、リモート管理インターフェイスを信頼できる IP のみに制限します。

DDoSの脅威は進化している

最新の Mirai ボットネットの亜種は、単なるマルウェアの一種ではなく、DDoS 脅威の高度化の先駆けです。産業用ルーターや IoT デバイスの脆弱性を悪用することで、攻撃者はより広範囲かつ破壊的な潜在能力を持つボットネットを作成しています。

こうした脅威に先手を打つには、組織や個人が警戒を怠らず、デバイスを保護し、積極的なサイバーセキュリティ対策を講じる必要があります。このキャンペーンが示すように、一見小さな脆弱性であっても、対処しなければ大きな影響を及ぼす可能性があります。