

miraiマルウェアが気になり、様々な記事や実際のコードを読んでみました。

[IoTセキュリティガイドラインの国際標準化動向](https://www.jnsa.org/seminar/2018/1207/data/2018_resume4.pdf#page=31)  
[「Mirai」とはどんなウイルス？感染の脅威や仕組み、対策を解説！](https://it-
trend.jp/cyber_attack/article/442-0017)

miraiマルウェアは安直なユーザ名とパスワードに設定された機器に対し、辞書攻撃をすることで、IPカメラなどのIoTデバイスに感染することがわかりました。  
感染後は、ラテラルムーブメントにより、同じネットワーク内に存在するアドレスに、片っ端から辞書攻撃で感染を拡大させることも分かりました。

ただ気になるのが、 **最初に感染する機器はどうやって探し出されるのか** ということです。

浅はかな知識しか持ち合わせていないので、これ以上のことを調べることができませんでした。

最近は、特定のベンダーの機器だけの脆弱性を狙ったキャンペーンも確認されています。

**感染させることのできる端末を探し出すフローを教えていただけたら幸いです。**


CC BY-SA 4.0
2023-07-20T16:51:35.733
95713
2023-07-28T01:55:42.463
2023-07-21T00:41:35.323
3060
58699
question
security malware
miraiマルウェアの感染経路


「miraiマルウェア」で検索すると例えば以下の解説記事がヒットします。

[IoTデバイスを狙うマルウェア「Mirai」とは何か――その正体と対策](https://techfactory.itmedia.co.jp/tf/articles/1704/13/news010.html)

(強調は引用者によるもの)

> まず、Miraiは **ランダムなIPアドレスに対して感染先を探します。**
> 感染できるデバイスを見つけ出し、感染可能な端末にログインして、ボットをダウンロードさせます。このとき利用されるのが、ソースコード内に設定された“ありがちな「ID」と「パスワード」の組み合わせ”です。

件のマルウェアに限らず、大抵この手の攻撃は適当な IP
アドレスに対してのランダムアクセスがほとんどだと思います。(特定企業をターゲットとした攻撃でない限り)

スパムメール等と同じく「下手な鉄砲も数撃ちゃ当たる」理論で、一見非効率っぽく思いますが、現代的な計算機の処理性能を考えればこれで十分なんじゃないでしょうか。


CC BY-SA 4.0
2023-07-20T17:10:38.137
95714
2023-07-20T17:10:38.137
3060
95713
answer


企業体レベルで遠隔地に複数台設置したカメラを同時監視したいような場合はカメラそのものに global IP アドレスを振ったりします。

ホームネットワーク内で IP
カメラを使っている場合でも真に家庭内イントラネットに閉じているとは限らず、たとえば出先からペットの様子を監視したいみたいな要望をかなえるために

  * 設置者の意思でゲートウエイ機器（ホームルーター）のポートを開いた
  * カメラ自体に UPnP でゲートウエイ機器のポートを開く機能があるが、設置者がそのことに気づいていない（ので設置者の意図に反してそのカメラは外からアクセスできてしまう状態である）

なんてのはありそうなシナリオです。そういうのを攻撃者は狙うんでしょうね。


CC BY-SA 4.0
2023-07-20T23:21:57.290
95715
2023-07-20T23:21:57.290
8589
95713
answer


Miraiに限りせんが、一般的にCAPEC-118配下のような手法を用いて攻撃対象を探すのではないでしょうか。  
<https://capec.mitre.org/data/definitions/118.html>

  * CAPEC-118: 情報の収集と分析 
    * CAPEC-116: 発掘
    * CAPEC-117: 傍受
    * CAPEC-169: フットプリンティング
    * CAPEC-224: フィンガープリンティング
    * CAPEC-188: リバースエンジニアリング
    * CAPEC-192: プロトコル解析
    * CAPEC-410: 情報の引き出し


CC BY-SA 4.0
2023-07-28T01:55:42.463
95786
2023-07-28T01:55:42.463
7291
95713
answer