Mirai (マルウェア)

Mirai(ミライ^[3] 、日本語の未来に由来するとみられる^{[4] [註 2]} )は Linux で動作するコンピュータを、大規模なネットワーク攻撃の一部に利用可能な、遠隔操作できるボットにするマルウェアである。ネットワークカメラや家庭用ルーターといった家庭内のオンライン機器(IoTデバイス)を主要ターゲットとしている^[6] 。Mirai によって構築されたボットネットは、2016年8月^[7] 、MalwareMustDieというマルウェア調査報告グループによって初めて発見され、コンピュータセキュリティを得意とするジャーナリストであるブライアン・クレブス (英語版)のウェブサイトに行われた2016年9月20日の攻撃^[8] やフランスのインターネット関連企業である OVHに対する攻撃^[9] 、DNSサーバープロバイダの ダイン (英語版)を標的とした同年10月の攻撃 (英語版)といった、かつてないほどの大規模^[10] かつ破壊的なDDoS攻撃に使われてきた^{[11] [12] [13]} 。

Mirai のソースコードは同年9月下旬^[10] に、ハッカーが集まるフォーラムで公開された^[14] 。そのため、Mirai のソースコードの一部は他のマルウェア開発に流用された^[15] 。

Mirai に感染した端末は、 IPアドレスを走査してIoTデバイスを探索する。ただし、Mirai は米国郵便公社や米国防総省に割り当てられている IPアドレスといった、探索の対象としないサブネットマスクの表(テーブル)を有している^[16] 。Miraiは、様々なIoT機器の出荷時に共通なユーザーネームとパスワードのテーブルを有しており、発見したIoTデバイスに対してログインを試行し、成功した場合はMiraiに感染させる^{[9] [17] [18]} 。Mirai に感染した端末は、時折動作が遅くなったり^[17] 、使用する帯域幅が増加することはあっても、普段通りに動作し、再起動するまでは感染したままである。更に、再起動したとしても、直ちにログインパスワードを変更しない場合は、数分以内に再び感染してしまうという^{[1] [17]} 。また、感染したときに「競合する」マルウェアに感染していないかを検出し、感染していた場合はこれをメモリから削除し、リモート管理ポートをブロックする^[19] 。

パスワードが工場出荷時の設定のままになっていて、セキュリティの脆弱な数十万のIoTデバイスがMirai に感染している。感染した端末は、コマンド&コントロールサーバと通信するようになる^[17] 。この様に大量のIoTデバイスを支配することにより、異常なリクエストを送信してくる特定のIPアドレスに対して、ブロックやフィルタリングを行う対策は無効化される。

Mirai は、BASHLITE (英語版)と一緒に^[20] 、コンピュータセキュリティを得意とするジャーナリストのブライアン・クレブスが執筆するブログの"Krebs on Security"に対する攻撃のために使用された。攻撃によるトラフィックは、620 Gbps ^{[註 3]} に達した^[22] 。この攻撃により、ブログサービスを提供していたアカマイ・テクノロジーズは、このブログのサービスを休止することとなった^[21] 。アカマイの代わりにウェブホスティングを申し出たある企業は、このような攻撃の対策には、年間15万ドルから20万ドル(約1560万円から2100万円)の費用がかかるとの見解を示した^[21] 。2016年10月20日現在、彼のウェブサイトは Google が提供する、無料のDDoS対策サービスの"Google Project Shield"を利用して復旧している^[21] 。

また、技術関連のニュースサイトである Ars Technicaは、フランスのウェブホスティングサービス企業である OVH に対して行われた攻撃では1 Tbps を記録したと伝えた^[9] 。

同年10月21日に行われた、DNSサーバプロバイダーのダインに対する大規模DDos攻撃では Mirai に感染した大量のIoTデバイスが使われ、GitHub・Twitter・Reddit・Airbnb・Netflixといった有名サイトを含めた、多くのウェブサイトでアクセスできなくなった^{[10] [23]} 。このときの攻撃では、ダインは、10万台以上ものIoT機器から攻撃を受けることとなった^[10] 。

Mirai は2016年11月に発生した、リベリアのインターネットインフラストラクチャーをターゲットにしたサイバー攻撃でも使われている^{[24] [25] [26]} 。コンピュータセキュリティー専門家のケビン・ボーモント (Kevin Beaumont) は、攻撃の規模からしてダインを攻撃した人物と同じ者による攻撃だろうと語っている^[24] 。

BKDR_MIRAI.A という亜種は、従来 Mirai が感染対象としていた Linux の IoTデバイスだけでなく、WindowsPC をも感染対象としている^[27] 。Linux のデバイスに対しては従来のように Mirai に感染させるが、WindowsPC と認識した場合は、Mirai に感染させる代わりに BKDR_MIRAI.A 自身を複製して感染させる^[27] 。感染した WindowsPC は、元の BKDR_MIRAI.A と同じ様に Linux と WindowsPC を捜索する^[27] 。BKDR_MIRAI.A を使うことで、感染対象とするIoTデバイスの検索効率を上げることが意図されているものとみられている^[27] 。

1. ^ 下ネタという概念が存在しない退屈な世界という日本のライトノベル作品に登場するキャラクターの「アンナ・錦ノ宮」に由来する^[1] 。
2. ^ 流出した、Anna-senpai とロバート・コエーリョ (Robert Coelho) の間で交わされたチャット記録によれば、Mirai という名は未来日記という日本の漫画作品にちなんで名づけられたという^[5] 。
3. ^ このトラフィックは発生当時、史上最大のもので、以前史上最大と言われていたトラフィック量は300 Gbps とも400 Gbps とも言われているが、それの1.5倍から2倍ということになる^[21] 。

• DDoS攻撃
• IoTデバイスを攻撃するマルウェア
  • BASHLITE (英語版)
  • Linux.Darlloz (英語版)
  • Remaiten (英語版)
  • Linux.Wifatch

• Krebs on Security - Mirai で被害を受けたウェブサイトの内、初期のもの

• マルウェア
• オープンソースソフトウェア
• Linuxのソフトウェア
• DoS攻撃
• GNU General Public Licenseを利用するソフトウェア
• Cでプログラムされた自由ソフトウェア
• Goでプログラムされた自由ソフトウェア