2024年上半期のIoTボットの観測状況

はじめに

本記事では，2024 年の上半期（1 〜 6 月）に NICTER で観測された IoT ボットに感染したホストについて，日本国内および韓国の状況を紹介します． なお，2023 年 10 月以降，InfectedSlurs ボットによる Mirai の亜種が活動を活発化させています．この亜種はスキャンパケットに Mirai の特徴を持たないものの依然として脅威となっています．本稿では，分析の便宜上，以下の3種類のホストに分けて取り上げます．

• Mirai の特徴¹を持つスキャンを行うホスト
• Mirai の特徴を持たず，23/TCP ポートのみをスキャンするホスト
• 特定のポートセット²をスキャンするホスト

これらのホストを追跡することで，日本国内における IoT ボットの実態をより正確に把握することが可能です．

Mirai 感染ホスト（日本国内）

日本国内におけるMirai感染ホスト¹数の推移を図 1 に示します．

日本国内の Mirai に感染したホスト数は，1 月と 5 月に急増しましたが，これらは IP アドレス変動の影響による見かけ上の増加です．5 月の増加はグローバル IP アドレスが割り当てられるモバイル回線における IP アドレス変動によるものでした．

目立った急増は見られなかったものの，5 月 10 日以降，TP-Link 社製ブロードバンドルータの感染を確認しており，5 月 10 日は，100 ホスト以上の TP-Link 社製ルータを観測しています．

ハニーポットでは TP-Link 社製ルータの脆弱性（CVE-2023-1389）を悪用する攻撃（図 2）を観測していますが，NICTER で観測した感染ホスト（図 3）は当該脆弱性の影響を受ける型番（Archer AX21）とは異なるため，当該脆弱性の悪用ではなく，何らかの別の脆弱性が悪用されて感染していると考えられます．

Mirai の特徴を持たず23/TCPのみをスキャンするホスト（日本国内）

日本国内における Mirai の特徴を持たず 23/TCP のみスキャンするホストの推移を図4に示します．

「NICTER観測統計 - 2023年10月～12月」で紹介した通り，2023 年より HITRON 社製 DVR を標的にする Mirai 亜種 InfectedSlurs ボットの活動により，Mirai の特徴が無く 23/TCP ポートのみをスキャンするホストの増加を日本国内で確認しています．

2024 年の 2 月以降は減少傾向にありましたが，5 月 21 日頃から再びホスト数が増加しました．増加の原因を調査する中で，Buffalo 社製ルータの感染増加を確認したため，X（旧 Twitter）で注意喚起³を行いました． 2023 年 11 月時点で InfectedSlurs のダウンロードサーバに置かれていた一連の攻撃ツールの中に Buffalo 社製のルータを感染対象にしていると推測されるファイル名のシェルスクリプト（図 5）が置かれていましたが，2023 年 11 月の段階では同社ルータの感染は観測されておらず，なぜこのタイミングで感染ホストが増加したのかは不明です．

特定のポートセットをスキャンするホスト

2024 年 6 月に，2223/TCP，23/TCP，2323/TCP，26/TCP，4719/TCP，60023/TCP のポートセットでスキャンを行うホストを調査したところ，攻撃対象の機器と使用されたゼロデイ攻撃から，NICT にて 2021 年から調査を行ってきた，DVR 製品のゼロデイ脆弱性を利用する攻撃グループの攻撃によるものである可能性が非常に高いため，その情報を報告します． 当該ポートセット²をスキャンするホスト数の推移を図 6 に示します．

感染機器の実態の解明（一部）

本攻撃グループの使用するマルウェアにはスキャン機能がないことが多いため，実際の DVR 製品（Rifatron，CTRing，ITX Security）を使用して攻撃の観測を行ってきました． 6 月 12 日から使用されていた検体⁴には当該ポートセット²でのスキャン機能が搭載されていたため，NICTER で感染ホストの実態を一部⁵把握することができました． 6 月 20 日にも実際の DVR 製品に対して，攻撃を観測していますが検体⁶からはスキャン機能が削除されたことを確認しています． ここでは，NICTER で当該ポートセット²のスキャンを観測したホストのうち，DVR/NVR 製品のメーカー名が特定できたものを紹介します．

• Rifatron
• CTRing
• KGUARD
• NADATEL
• Uniview
• Lilin/iCatch
• Faraday Technology
• EverFocus
• VACRON

IoC

• ダウンロードサーバとして使用されていたIPアドレス/ドメイン名

  171[.]22[.]136[.]15
  171[.]22[.]136[.]16
  171[.]22[.]136[.]17
  171[.]22[.]136[.]18
  171[.]22[.]136[.]19
  109[.]206[.]243[.]207
  45[.]8[.]146[.]36
  194[.]180[.]48[.]105
  169[.]0[.]202
  80[.]66[.]77[.]235
  45[.]125[.]66[.]102
  158[.]255[.]213[.]225
  91[.]92[.]251[.]250
  141[.]98[.]11[.]189
  179[.]43[.]134[.]167
  94[.]156[.]68[.]206
  95[.]214[.]27[.]202
  vzxv[.]me
  rppr[.]cc
  zyb[.]ac
  qiap[.]cc
  4v[.]wtf

韓国の Mirai 感染機器

ルーターや監視カメラなど，インターネットにつながる様々な種類の IoT 製品がボットに感染し，DDoS 攻撃の踏み台になっています．

日本国内で Mirai への感染が最も多く確認されている IoT 製品は，デジタルビデオレコーダー( DVR )と呼ばれる監視カメラの映像を録画するための装置ですが，NICT でこれまでに感染を確認した DVR 製品の大半は，FocusH&S や Pinetron，CTRing など韓国メーカーの製品でした．これらの韓国製 DVR 製品は日本をはじめ，アメリカやヨーロッパ諸国など様々な国で販売・使用されていますが，本節では，メーカー本国の韓国の感染状況について報告します．

報告対象の観測データは以下の通りです．

• 観測日時：2024年6月7日06時04分〜14分の10分間
• 送信元国：韓国
• 抽出条件：SYN パケットに Mirai の特徴を持つ

この条件に合致する韓国の Mirai 感染ホストは 1235 ホストでした． 同時間帯（2024 年 6 月7 日 05 時 52 分～ 06 時 02 分の 10 分間）の日本の Mirai 感染ホスト数は，710 ホストであり，韓国のホストが多いことが分かります． さらに韓国の感染ホストである 1235 ホストに対して，バナー情報の調査を行い，641 ホストで機器を特定しました． 特定した結果をもとに製品種別ごとに分類した結果を図 7 に示します．

カメラ/ビデオレコーダー製品の内訳

「カメラ/ビデオレコーダー」に分類した製品のメーカー名とホスト数を表 1 に示します． 日本の感染機器と比較しても特定できた機器に目立った差異はありませんでした． FocusH&S 製の DVR を狙った攻撃については，過去に NICTER Blog で記事⁷にしているため，詳細はそちらをご覧ください．

ネットワーク製品の内訳

表 2 に，ネットワーク製品のメーカー名とホスト数を示します．日本国内でも感染が目立つ TP-Link 社製ルータ製品や Ruckus 社製の機器の管理画面を確認していますが， 韓国国内のみで売られていると思われるネットワーク製品も感染していることが明らかになりました．

その他：バスの電光掲示板システム

その他の機器の中には，バス停の電光掲示板システム（図 8）と思われるホストが確認できました．

当該ホストでは，SSH や VNC のサービスが有効になっており，同様の構成のバスの電光掲示板システムと思われるホストは複数確認しています． しかし，Mirai の感染が確認できたのは当該ホストのみとなっており，感染経路は不明です．

終わりに

2024 年上半期の観測から，攻撃対象として確認されていた Buffalo 社製ルータが，実際に感染し始めたことが明らかになりました．NICT で分析できた感染ホストのデータを確認すると，マルウェアに感染した IoT 機器は増加傾向にあります． これまで，主に Mirai に関する分析に焦点を当ててきましたが，Mirai の特徴を持たず 23/TCP のみをスキャン IoT 機器の存在が多いことも確認されました．これら Mirai の特徴を持たないスキャンを行う IoT 機器についても，引き続き分析を進めていく予定です．