Miraiとは、セキュリティカメラ、家庭用ネットワークデバイス、ストレージ製品、ハードディスクレコーダなどのインターネットに接続されたIoTデバイスを狙うマルウェアです。感染すると大量の通信パケットを送信してWebサーバをダウンさせるDDoS(Distributed Denial of Service attack)攻撃に利用されてしまうことで知られています。

そこで今回はIoTを狙ったマルウェアであるMirai、およびその亜種の仕組みや対策方法について解説します。

Miraiの登場は2016年

Miraiが最初に話題になったのは2016年9月、セキュリティ系のWebメディア「Krebs on Security」に対するDDoS攻撃がきっかけです。Miraiのマルウェアに感染した十数万台のデバイスが、一斉に通信パケットを送り付けるなど大規模な攻撃が行われました。

しかし、このDDoS攻撃以上に衝撃的だったのは、Krebs on Securityへの攻撃の数日後、Anna-Senpaiを名乗る人物が、Miraiのソースコードを公開したことです。Miraiの作者は20歳と21歳の若者で既に米国の司法省に有罪判決を言い渡されていますが、公開されたMiraiのソースコードは瞬く間に世界中に拡散されてしまいました。これが、今日に至るまで様々なサイバー攻撃者がMiraiの亜種を生み出した原因となっています。

なおAnna-Senpaiは日本のライトノベルのキャラクター、Miraiは未来日記という日本のコミック作品から名づけられたそうです。

2017年10月、大手ISPのDyn社を対象とした大規模なDDoS攻撃では、Dynを利用していたTwitter、Netflix、Spotifyなど著名なサービスが一時的に利用できなくなるなど大きな被害が報告されていますが、この攻撃もオープンソース化されたMiraiが利用されたと言われています。その他にも、大手ECサイト、金融機関、サービスプロバイダなど、さまざまなサイトがMiraiあるいはMiraiの亜種によるDDoS攻撃の標的となっています。

Miraiの仕組み

Miraiは外部ネットワークからパスワードクラッキングによって侵入されます。感染するとボット(bot)と呼ばれるプログラムをダウンロードし、同様にMiraiに感染した他のデバイスとボットネット(botnet)を形成します。攻撃者は。C&Cサーバ（Command and Control Server）と呼ばれる外部のサーバから、このボットネットをコントロールし、DDoSなどの攻撃を実行します。

ファイルレス攻撃であるため振る舞い以外の方法で感染を検知することが難しく、感染したデバイスそのものには被害を与えないため、長期間感染に気付かないことも多いようです。

しかし、Miraiの最大の特徴は、IoTデバイスを狙っていることでしょう。ビルやマンションなどの出入口に設置されているセキュリティカメラ、赤ちゃんやペットの様子を離れた場所から確認する家庭用の監視カメラ、家庭用Wi-Fiルータなどが狙われることが多いのですが、NAS（Network Attached Storage）などのストレージ、外部から録画予約などの操作が可能なハードディスクレコーダやテレビ、さらにはエアコンや冷蔵庫といった家電に感染することもあります。

IoTデバイスを狙う理由はいくつか考えられますが、やはりPCやサーバ製品と比較するとセキュリティ性能が低いことが最大の理由でしょう。また、IoTデバイスは同じ種類の製品が大量にネットワークに接続されるケースが多いため、ある製品で脆弱性が発見されると、同じ製品に対して一気に感染が拡大することもあります。Krebs on Securityへの攻撃やDyn社への攻撃からもわかるように、こうした大規模な感染拡大を成功させてしまえば、圧倒的な物量のデバイスから一斉にDDoS攻撃を行うことができてしまうのです。

ユーザーのセキュリティ意識が低いことが感染の原因になることもあります。たとえば、セキュリティリテラシーの低いユーザーが自宅に家庭用のIoTデバイスを導入し、メーカー出荷時のデフォルトパスワードをそのまま使用しているといったケースです。

Miraiやその亜種の多くは、侵入する際にパスワードに使用されることの多い言葉を優先的に組み合わせて試します。一般的に「辞書攻撃」などと呼ばれる手法です。そのため、「password」「root」「admin」「123456」など推測されやすいパスワードを使用するのは危険です。また、短すぎるパスワード、推測されやすいパスワード、他でも使用しているパスワードの使いまわしなども、パスワードクラッキングのリスクを高めることになります。

Miraiとその亜種への対策

感染してしまうと発見が難しいと言われるMiraiですが、きちんと対策さえしていれば感染しにくい攻撃でもあります。主な対策としては次のようなことが挙げられます。

[適切なパスワードを設定する]
パスワードについては堅牢なパスワードを設定し、長期間同じパスワードを使い続けない、他のサービスと同じパスワードを使用しないなどの適切な運用を心がけてください。

[IoTデバイスのファームウェアを最新の状態に保つ]
ファームウェアを常に最新状態に保つことも重要です。使用しているIoTデバイスのメーカーサイトなどを確認する癖をつけ、なるべく早いタイミングでアップデートできる体制を整えておきましょう。脆弱性情報が公開されると、攻撃者たちはその情報をもとに一斉に攻撃しようと試行錯誤を開始しますので、迅速な対応が重要になります。

[使用していないIoT機器はネットワークから取り除く]
使用していないIoTデバイスを放置するのはとても危険です。可能であればネットワークから取り除くべきですが、物理的に難しい場合はせめて電源は切るようにしてください。

[セキュリティ性能の低いIoTデバイスを使わない]
廉価なIoTデバイスの中には、パスワードがハードコーディングされていてユーザーが変更できない製品や、ユーザーですら設定されているパスワードを確認することができないといった製品があります。

その他にも設定できるパスワードの長さが短い、パスワードとして使える文字や数字の種類が少ない、通信がSSHなどで暗号化されないなどセキュリティ性能の低い製品もあります。IoTデバイスを導入する際、可能な限りこうしたセキュリティ性能が低いものは選ばないようにしましょう。

[ネットワークのトラフィックを監視する]
Miraiやその亜種に感染してボットネットに参加すると、C&Cサーバとのやり取りや、他のデバイスへの感染を広めようとするなど不自然なトラフィックが増加します。そのためネットワークトラフィックを監視できるソリューションを導入しておけば、感染を早期に検知することができます。

セキュリティ用語の基礎知識近年増加傾向にある『ファイルレス攻撃』の仕組みとは
https://hypervoice.jp/fileless_malware

企業活動を妨害するDDoSの脅威と対策
https://hypervoice.jp/ddos

まとめ

・MiraiはIoTデバイスを狙ったマルウェア
・Miraiに感染すると他のサーバへのDDoS攻撃などに利用される
・ソースコードが公開されているため、いまだにMiraiの亜種も多い