Satoriボットネットが再活性化：未パッチのルーターが新たなDDoS脅威を招く理由

悪名高いMiraiの亜種であるSatoriボットネットが、12月下旬以降、新たなエンドポイントへの感染を開始し、差し迫ったDDoS脅威を示唆しています。その仕組みを理解することは、ネットワークを守る上で不可欠です。

休眠していたボットネットの目覚め

Satoriの元となったMiraiは、2016年にルーター、防犯カメラ、スマート温度調節器など数百万台のIoTデバイスを乗っ取り、米国東部の光ファイバーバックボーンをダウンさせることで、全米のインターネットを震撼させました。SatoriはMiraiではありませんが、同じ目的、すなわち大規模攻撃のための大量デバイス悪用を共有しています。

Miraiが起動前に別途ダウンロードを必要としたのに対し、Satoriはワームとして自律的に伝播します。感染ホストはルーターやその他のIoTデバイスのオープンポートをスキャンし、特定の脆弱性を探します。これまでに、以下の3つのデバイスファミリーが脆弱であることが確認されています。

• Huawei Home Gateway ルーターには、未パッチのリモートコード実行の脆弱性が存在する可能性があります。公開されている修正プログラムはありません。
• Realtek ルーターにも同様の弱点がありますが、多くのモデルでパッチが適用済みであり、攻撃対象は縮小しています。
• DASAN Networks は韓国のメーカーで、約4万台のルーターが製造されていますが、全モデルが脆弱であると見られています。同社は研究者への対応やパッチのリリースを行っていません。

これらのデバイスの運用者は、悪用を防ぐために即座に隔離、パッチ適用、または交換を行うべきです。

DDoSに加え、Satoriの運営者はクリプトジャッキングを通じてボットネットを収益化しています。具体的には、暗号通貨マイニングソフトウェア「Claymore」を標的にし、ウォレットアドレスを書き換えて採掘されたコインを攻撃者のアカウントに転送させました。このボットネットはすでに2,000ドル以上相当のEthereumを窃取しています。

多目的ボットネットの可能性

SatoriがDDoSとクリプトマイニングの両方に利用されていることは、より広範な脅威モデルを示唆しています。最近では、悪意あるアドウェアが訪問者のCPUをハイジャックしてBitcoinをマイニングする事例や、あるグループが保護されていないKubernetesコンソールを通じてTeslaのパブリッククラウドに侵入した事例が報告されています。単一のルーターの処理能力は微々たるものですが、数万台規模のネットワークとなれば、莫大な不正暗号通貨を生成し、サービスを妨害する力を持ちます。

クリプトジャッキングとDDoS攻撃を監視する方法

IoTデバイスの侵害や迫り来るDDoS攻撃を早期に検知することは極めて重要です。従来のネットワーク盲点は、あなたを脆弱な状態に置きます。AppNetaはトラフィックパターンへのリアルタイム可視性を提供し、クリプトジャッキングや協調攻撃を示唆する異常な遅延を検出するのに役立ちます。

クリプトジャッキングもDDoSもパフォーマンスを低下させ、生産性と顧客体験を損ないます。これらの脅威を未然に防ぐため、今すぐAppNetaの無料デモをお申し込みください。