Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

複数ネットワーク機器に感染する「VPNFilter」が判明 - 少なくとも54カ国50万台に感染か

感染機器から情報を収集したり、破壊する機能を備えており、少なくとも2016年以降には活動していたと見られる。ただし、攻撃者が「VPNFilter」を具体的にどのように悪用しているかはわかっていない。

特徴のひとつとしては、ウクライナを狙ったマルウェア「BlackEnergy」と共通のコードを持っていた。さらに5月8日に感染活動の急激な増加が確認されたが、被害の多くはウクライナに集中していたという。

また複数のステージで構成されている点も特徴となっており、同マルウェアでは「ステージ1」から「ステージ3」まで確認されている。

「ステージ1」では、「Busybox」など「Linux」ベースのファームウェアが動作するネットワーク機器に感染。一定期間ごとに実行する「crontab」に自身を追加することで感染を持続しつつ、「ステージ2」を感染させる。

「ステージ2」そのものは、持続的に感染し続ける機能を備えていないが、ファイルやデバイス情報などの収集、システムの破壊など、コマンド&コントロール(C&C)サーバよりコマンドを取得し、実行する機能を備えていた。

20180524_ci_002.jpg
「VPNFilter」の感染動向。5月8日に急激な増加が観測されたという(図:Cisco)

(Security NEXT - 2018/05/24 ) このエントリーをはてなブックマークに追加

PR

関連記事

偽取引アプリなどで暗号資産を窃取 - 北朝鮮関与か
ソフト開発会社がマルウェア開発か - ソフォスが指摘
北朝鮮グループ「Lazarus」が悪用する10種類のツール
米連邦政府機関に「SolarWinds Orion」製品の遮断命令
正規署名で検知回避する「SigLoader」 - VPN経由の標的型攻撃で悪用
「Docker API」狙う攻撃に注意 - 9月ごろより増加
凶暴性増すランサムウェアの裏側 - 今すぐ確認したい「意外な設定」
米政府、医療分野を標的としたランサムウェアに注意喚起 - DNSで通信して検知回避
米政府、イランによるサイバー攻撃の警戒呼びかけ - 大統領選が標的に
米政府、北朝鮮関与「BeagleBoyz」に注意喚起 - 金融機関狙う「FASTCash 2.0」を展開か