TP-Linkルータに加え、ASUSやRuckusのルータもサイバー攻撃の標的
マイナビニュース / 2024年9月11日 8時31分
セキュリティ企業のSekoiaは9月9日(現地時間)、「A glimpse into the Quad7 operators' next moves and associated botnets」において、TP-Linkのルータを標的にするボットネット「Quad7」がASUSのルータ、ZyxelのVPNアプライアンス、Ruckusの無線LANルータ、Axentraのメディアサーバを新たな標的に加えたと伝えた。
○ボットネット「Quad7」の正体
ボットネット「Quad7」はセキュリティ研究者のGi7w0rm氏およびDunstable Toblerone氏により発見された。両氏は2023年10月に、Mediumに調査結果を投稿している(参考:「The curious case of the 7777-Botnet | by Gi7w0rm | Medium」)。
調査結果によると、このボットネットは感染したデバイスのポート7777を開き、Telnetのログインメッセージに見える「xlogin:」を応答する特徴があるという。この特徴から「Quad7」と呼ばれる。ボットネットは週に2、3回程度、小規模な攻撃に悪用されたと推測されているが、Gi7w0rm氏はその後の調査に失敗しており、詳細は明らかになっていない。
発見当初はTP-Linkの無線LANルータ「TL-WR841N」を主な感染先にしていたことが確認されている。Sekoiaの調査によると、感染デバイスの地理的な分布には偏りがあり、ブルガリアが最も多く、ロシア、米国、ウクライナがこれに続くとされる。
Sekoiaはその後の調査でASUSのルータに感染し、TCPポート63256を開いて「alogin:」を応答するボットネットを発見している。このボットネットはQuad7と管理サーバを共有しており、同じ脅威グループに属すると評価されている。
他にも、Ruckusのルータに感染し「rlogin:」を応答するボットネット、Axentraメディアサーバに感染し「axlogin:」を応答するボットネット、Zyxel VPNアプライアンスに感染し「zylogin:」を応答するボットネットが発見されている。これらもQuad7と同じ脅威グループに属するボットネットと評価されている。
○戦術の進化
Sekoiaの調査によると、Quad7は通信方法と戦術を大幅に進化させたという。従来は攻撃制御の通信にSOCKSプロキシを使用していたが、KCPプロトコルを使用した検出困難な「FsyNet」に移行中とされる。
また、バックドア「UPDTAE(UPDATEのタイプミスとみられる)」の存在も確認された。脅威グループのオペレーターによって現在テスト中とみられるこのバックドアは、HTTPプロトコルを使用したリバースシェルとされる。感染デバイスにログインインタフェースがない場合に使用すると推測されている。
○対策
SekoiaはQuad7を検出するYaraルールおよびSuricataルールを公開した。また、調査の過程にて判明したセキュリティ侵害インジケーター(IoC: Indicator of Compromise)も公開しており、必要に応じてこれらを活用することが望まれている。
(後藤大地)
外部リンク
この記事に関連するニュース
-
Kaspersky、台頭するランサムウェア「Mallox」を調査:独自運用から「サービスとしてのランサムウェア」へ変化
PR TIMES / 2024年9月10日 13時0分
-
アダルトサイト狙う脅威アクターを別な脅威アクターが攻撃、カオスな状態
マイナビニュース / 2024年9月9日 12時49分
-
チェック・ポイント・リサーチ、2024年7月に最も活発だったマルウェアを発表 国内ではAndroxgh0st が依然首位、世界的なRemcosとRansomHubの蔓延を確認
PR TIMES / 2024年8月22日 13時45分
-
サイバー攻撃に悪用されるTP-Linkルータが増加、確認を
マイナビニュース / 2024年8月21日 9時21分
-
弱いパスワードからSSHサーバに侵入、GPUマイニングで資金稼ぎ
マイナビニュース / 2024年8月20日 9時31分
ランキング
-
1熟睡すると足が上がっちゃう猫ちゃん 犬神家ならぬ猫神家?
おたくま経済新聞 / 2024年9月11日 7時0分
-
2「PS5 Pro」登場 価格は大台突破の“約12万円” 11月に発売へ【更新終了】
ITmedia NEWS / 2024年9月11日 0時6分
-
3イケアのまな板「コスパいい」なぜかオーディオ愛好家に好評 「発想が柔軟」目的外使用にはリスクも
iza(イザ!) / 2024年9月9日 17時50分
-
4今期は「Xperia 5 V」の後継モデルが登場しない ソニーが今後のスマホ販売方針を明らかに
ITmedia Mobile / 2024年9月10日 12時52分
-
5「日本のマクドナルドはクレイジーだ!」 アメリカ人が日本のメニューを食べてみたら…… まさかの酷評&絶賛に2500万再生「今から日本行きたい」
ねとらぼ / 2024年9月8日 12時0分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)