「Mirai」と異なるボット、国内ベンダーのルータに感染拡大か

観測されたパケットに「Mirai」関連のパケットが持つ特徴は見られず、受信側が1度に受信できるデータ量を示したTCPのパラメータである「windowサイズ」が「5656」である特徴が確認された。

JPCERT/CCでは、特定の国内ベンダー製ルータを対象に攻撃を展開し、「Mirai」とは異なるマルウェアのボットネットが展開されているものと分析。

探索元の多くは、ウェブインタフェースによる機種の特定には至らなかったという。探索元の機器がマルウェアによる高負荷などで再起動し、調査した時点で、探索時からIPアドレスが変わり、追跡できなかったものと見られる。

一方、一部は国内メーカー製ブロードバンドルータが探索元であることが判明。悪用された可能性がある製品とファームウェアのバージョンを複数確認した。

同一IPアドレスからの探索行為は1、2日程度で収束するが、機器が再起動して異なるIPアドレスが割り振られたものと見られる。

同問題を受けて、ISPや開発者に対する情報提供を行っており、発信元のIPアドレスを利用するユーザーに確認や対応を依頼することがあると説明。情報提供など協力を求めている。

（Security NEXT - 2024/08/19 ）ツイート