VPNFilter UNIXトロイの木馬–それを削除してネットワークを保護する方法

この記事は説明するために作成されました VPNFilterマルウェアとは正確には何ですか ルーターを保護するだけでなく、コンピューターを保護することで、この大規模な感染からネットワークを保護する方法.

新しいマルウェア, の名前で行く VPNFilter 伝えられるところによると 500 Linksysなどの最も広く使用されているブランドの数千のルーターデバイス, MikroTik, NETGEARおよびTP-Link, 主に家庭やオフィスで使用されます. Cisco Talosのcyber-secの研究者は、脅威は現実のものであり、生きていると報告しています。, 感染したデバイスは現在調査中であるとはいえ. 伝えられるところによると、このマルウェアはBlackEnergyマルウェアと関係があります。, どれの 複数のデバイスをターゲット ウクライナと米国の産業用制御システム. あなたがについてもっと知りたいなら VPNFilterマルウェア ネットワークから削除してネットワークを保護する方法を学びます, この記事を読むことをお勧めします.

VPNFIlterマルウェアは、非常に複雑な2段階の感染方法を使用します, その結果、あなたのコンピュータは情報収集や説明操作の犠牲者になります.

ステージ 1 感染症 (ローダ)

このウイルスの最初の段階では、ルーターまたはハブを再起動します. VPNFilterマルウェアは、主にルーターやその他のモノのインターネットデバイスを標的にしているため, ちょうどのように みらい マルウェアは、中央サーバーが正常に侵害された結果として解放された自動ボットネット攻撃の結果として発生する可能性があります. ただし、感染は、スマートデバイスの再起動をトリガーするエクスプロイトの助けを借りて発生します. このステージの主な目標 1 部分的な制御を取得し、ステージの展開を可能にすることです 2 再起動プロセスが終了した後. ステージのフェーズ 1 次は:

1.Photobucketから写真をプルダウンします.
2.エクスプロイトがトリガーされ、IPアドレスを呼び出すためにメタデータが使用されます.
3.ステージに接続します 2 サーバーとステージをダウンロードします 2 マルウェアはその後自動的にそれを実行します.

感染の第1段階に関連付けられたURLは、偽のphotobucketユーザーのライブラリであると研究者によって報告されています:

→ フォトバケット[.]com / user / nikkireed11 / library
フォトバケット[.]com / user / kmila302 / library
フォトバケット[.]com / user / lisabraun87 / library
フォトバケット[.]com / user / eva_green1 / library
フォトバケット[.]com / user / monicabelci4 / library
フォトバケット[.]com / user / katyperry45 / library
フォトバケット[.]com / user / saragray1 / library
フォトバケット[.]com / user / millerfred / library
フォトバケット[.]com / user / jeniferaniston1 / library
フォトバケット[.]com / user / amandaseyfried1 / library
フォトバケット[.]com / user / suwe8 / library
フォトバケット[.]com / user / bob7301 / library

7月の更新 2018: セキュリティレポートは、VPNFilterの脆弱性が次のベンダーとモデルに影響を与えることを示しています:

• ASUS — RT-AC66U, RT-N10, RT-N10E, RT-N10U, RT-N56U, およびRT-N66U.
• D-Link — ASUS — RT-AC66U, RT-N10, RT-N10E, RT-N10U, RT-N56U, およびRT-N66U.
• Huawei — HG8245.
• Linksys —e1200, E2500, E3000 E3200, E4200, RV082, およびWRVS4400N.
• MikroTik — CCR1009, CCR1016, CCR1036, CCR1072, CRS109, CRS112, CRS125, RB411, RB450, RB750, RB911, RB921, RB941, RB951, RB952, RB960, RB962, RB1100, RB1200, RB2011, RB3011, RBグルーブ, RB Omnitik, およびSTX5.
• Netgear — DG834, DGN1000, DGN2200, DGN3500, FVS318N, MBRN3000, R6400, R7000, R8000, WNR1000, WNR2000, WNR2200, WNR4000, WNDR3700, WNDR4000, WNDR4300, WNDR4300-TN, およびUTM50.
• QNAP — TS251, TS439プロ, およびQTSソフトウェアを実行しているその他のQNAPNASデバイス.
• TP-LINK — R600VPN, TL-WR741ND, およびTL-WR841N.
• ユビキティ —NSM2およびPBEM5.
• ZTE — ZXHN H108N.

アナリストは、言及されたデバイスに使用されている特定の脆弱性も明らかにしました:

QNAPFTPサービス (認証バイパスの脆弱性CVE-2015-7261), D-Link DIR-300 (Reaperリモートコード実行CVE-2011-4723),
ASUS RT-AC66U, RT-N66U (リモートコード実行CVE-2014-9583),
Linksys E2500 (ReaperOSコマンドインジェクションCVE-2013-2678), 脆弱なUPnPサービス (例えば. Netgear / TP-Link / D-Link) (バッファオーバーフローの脆弱性CVE-2013-0229, スタックオーバーフローの脆弱性
CVE-2013-0230, スタックオーバーフローの脆弱性CVE-2012-5958, Stack OverflowVulnerabilityCVE-2012-5959), QNAPQTS前 4.2.4 建てる 20170313 (リモートコード実行CVE-2017-6361),
ASUSRT-AC*およびRT-N* (ルーターJSONP情報リークCVE-2017-8877), Netgear R6400, R7000, R8000 (ルーターのパスワード開示CVE-2017-5521),
D-Link DIR-300 (リーパールーターのリモートコード実行),
Netgear WNR2000 (ルーターのパスワード開示), Netgear R6400, R7000 (リモートコード実行CVE-2016-6277),
ASUS RT-N66U (ルーターセッションスティーリングCVE-2017-6549), Linksys E4200 (OSコマンドインジェクションCVE-2013-2679),
Netgear WNR1000 (認証バイパスの脆弱性, ルーターのパスワード開示),
TP-Link TL-WR841N (認証されていないルーターアクセスの脆弱性).

ステージ 2 感染症

感染の第2段階がトリガーされると、 VPNFilterマルウェア 解き放たれる. これには、次のアクティビティでのウイルスの使用が含まれます:

• Cに接続します&Cサーバー.
• ステージに接続します 3 サーバ.
• Torを実行します, PS. およびその他のプラグイン.
• マルウェアの悪意のある活動を実行します, データ収集を含む, コマンド実行, ファイルの盗難, 端末管理.
• 自己破壊活動を行うことができる.

感染の第2段階に関連するIPアドレスは、次のように研究者によって報告されています:

→ 91.121.109[.]209
217.12.202[.]40
94.242.222[.]68
82.118.242[.]124
46.151.209[.]33
217.79.179[.]14
91.214.203[.]144
95.211.198[.]231
195.154.180[.]60
5.149.250[.]54
91.200.13[.]76
94.185.80[.]82
62.210.180[.]229

これらの2つの段階に加えて, のサイバーセキュリティ研究者 Cisco Talos プレイ中の第3ステージサーバーについても報告しています, これまでのところ、その目的は不明のままです. 見た目から, このマルウェアはすでに非常に高度な感染症になりつつあり、感染率が上昇する可能性があるため、過小評価されるべきではありません。.

に関連付けられている主な活動 VPNFilterマルウェア マルウェア研究者によって2つの部分に分割されていることが報告されています, 最初のセットは、最終目標のアクティビティを実際に実行する前に情報を収集する運用前のアクティビティです。. それに加えて, Cisco Talosの専門家は、 VPNFilterマルウェア および以前に報告された BlackEnergyIoTボットネット, これは、米国の組織や政府を標的にするために使用されました. とウクライナ. このマルウェアは、BlackEnergy感染の背後にいる同じ人々によって使用されている可能性があることを示す、同じ別のステージタイプの感染モジュールを使用していました。.

の活動 VPNFilterマルウェア 最初にアウトバウンドおよびインバウンドのTCP/IPv4トラフィックをチェックする準備段階から始まります. 宛先IPアドレスが、リスナーがアクティブなときに検出したものと一致することを理解するために、このチェックを実行します. もしそうなら, ウイルスは、パックされたバイトが8バイト以上であることを確認し、その後、データをスキャンして特定のバイトを探します。. これが行われるとすぐに, ウイルスは、新しく受信したIPアドレスへの呼び出しプロセスを開始します。これは、基本的にはチェックしたバイトであり、その結果、その段階になります。 2 始めること.

第二段階, このマルウェアは、最初のマルウェアよりもはるかに多くのことを行います, これは基本的に, VPNFilterのローダー. このステージには、被害者のデバイスに次のディレクトリを作成することが含まれます:

→ /var / run / vpnfilterm (mはモジュールディレクトリ用です)
/var / run / vpnfilterw (wは作業ディレクトリ用です)

それで, マルウェアはさまざまなモジュールを強制終了し、モジュール内のデータを上書きし始めます, それらのモジュールの1つは:

→ /dev / mtdblock0 (それが最初です 5,000 バイトはゼロで上書きされ、デバイスが再起動されます)

これが行われた後, the VPNFilterマルウェア シェルコマンドを実行してから、Tor構成を設定します。これにより、匿名性が有効になります。. これが行われるとすぐに, ウイルスは、クライアントからサーバーに直接ファイルをコピーします. ただし、VPNFilterはそこで止まりません – botnerマルウェアは2種類のURLを設定する限り:

• デバイスの現在の構成の構成パネルでURLを設定します.
• 現在のプロキシ構成でカスタムURLを設定する.

ウイルスがURLを設定したとき, ポート設定をいじくり回します, デフォルトのプロキシポートを変更し、メインループの実行間の遅延を設定する.

これらすべての悪質な行動をした後, マルウェアはIoTデバイスを通常よりも長く再起動し、URLをダウンロードしてからファイルに保存します. このすべてに加えて, 感染の途中で感染プロセスを停止したり、場合によっては遅延させたりする可能性があります.

その後、マルウェアは第3段階に進みますが、研究者はまだ分析中である可能性があるため、まだ開示されていません。, しかし、第3段階はマルウェアの目的に関連していると考えられています, これは:

• ネットワーク内の各デバイスから異なる情報を盗む.
• ネットワークデータを盗む.
• パスワードと通信データを取得する.
• キーストロークやその他のデータを取得する.
• IoTデバイスのパラメーターを変更するか、ネットワーク内のエンドデバイスのパラメーターを変更して、マルウェア感染に対して脆弱にします。.

これまでに侵害されたデバイスは、次のリストにあります。, Cisco Talosの研究者がこれまでに集めたものは、 100% 感染したもの:

これらのデバイスに加えて, 研究者はまたTP-Linkを報告しました, Netgear, Linksysやその他のカスタムISPルーターやIoTデバイスも 500,000 マルウェアは実際の平均的なボットネットよりも高度である可能性があると彼らが信じているため、感染している. VPNFilterマルウェアの危険な特徴は、監視する機能です。 ModbusSCADAプロトコル. これは、業界で自動化に使用されている最も人気のあるシリアル通信プロトコルの1つです。 IoT デバイス. このプロトコルは、さまざまな接続タイプを使用して実装でき、デバイスを制御するための最も用途の広い方法の1つです。.

VPNFilterのレベルでマルウェアについて話すとき, シンプルな クリーンアップとリセット お使いのルーターのは、削除のためにそれをカットしません, マルウェアは複雑な脅威である可能性があるため、上記の「アクティビティ」の段落で説明したように、ルーターのファームウェアにオブジェクトを深く埋め込む可能性があります。. これが理由です, 最初のステップは、ネットワークがこのマルウェアによって侵害されていないかどうかを確認することです. シスコの研究者は、次の手順に従ってこれを行うことを強くお勧めします:

ステップ 1: 「VPNFilterC2」という名前の新しいホストグループを作成し、JavaUIを介して外部ホストの下に配置します。.
ステップ 2: 完了したら, デバイス上のグループ自体の「会話」をチェックして、グループが現時点で通信していないことを検証します.
ステップ 3: アクティブなトラフィックがない場合, 研究者は、ネットワーク管理者に、イベントを作成してWebユーザーインターフェイスでホストを選択することにより、ホストグループにトラフィックがあるとすぐに通知するトリップワイヤタイプのアラームを作成するようにアドバイスします。.

これに加えて, ネットワークがプライベートであると同時に安全であることを確認するため, より安全なルーターデバイスを選択することをお勧めします, ただし、デバイスはソフトウェアであるため安全であることに注意してください, したがって、VPNも設定し、これに加えてISPと通信して、接続が途中で保護されていることを確認する必要があります。. 下, あなたはのリストを見つけることができます 最も安全なルーターと最高のNASデバイス その中から、ネットワークに適したものを選択できます:

→関連している:で最も安全なNASデバイス 2017

→関連している:で最も安全なルーターはどれですか 2017

また、エンドデバイスのセキュリティについては、組織にカスタム構成のデバイスを装備し、構成情報を会社の従業員にも開示しておくことをお勧めします。, これにより、使用のリスクが最小限に抑えられます。.

そしていつものように, セキュリティ研究者は、組織のエンドデバイスも保護することをお勧めします, 彼らはしばしばそのような感染症の「患者ゼロ」になるからです. マルウェアからエンドデバイスを保護するために従うことができるいくつかのヒントがあります:

ステップ 1: をインストールします 高度なマルウェア対策ソフトウェア各デバイスで. アクティブなリアルタイム保護と頻繁な更新が標準装備されています.

スパイハンタースキャナーは脅威のみを検出します. 脅威を自動的に削除したい場合, マルウェア対策ツールのフルバージョンを購入する必要があります.SpyHunterマルウェア対策ツールの詳細をご覧ください / SpyHunterをアンインストールする方法

ステップ 2: でプログラムを実行する サンドボックス 環境. 保護の壁のように機能する暗号化されたレイヤー内でマルウェアを分離することにより、実行されたタイプのマルウェアがコンピューター上で効果的に実行されるのを防ぎます.

ステップ 3: ネットワーク内のユーザーがさまざまなルーターを認識していることを確認してください セキュリティリスク これは弱点から実際のクラスターになります 頭痛.

ステップ 4: 方法について従業員を教育するようにしてください ファイルを安全に保存する マルウェアからそれらを保護するため.

About the VPNFilter Research

SensorsTechForum.comで公開するコンテンツ, this VPNFilter how-to removal guide included, 広範な研究の結果です, 特定のトロイの木馬の問題を取り除くためのハードワークと私たちのチームの献身.

How did we conduct the research on VPNFilter?

私たちの調査は独立した調査に基づいていることに注意してください. 私たちは独立したセキュリティ研究者と連絡を取り合っています, そのおかげで、最新のマルウェア定義に関する最新情報を毎日受け取ることができます, さまざまな種類のトロイの木馬を含む (バックドア, ダウンローダー, infostealer, 身代金, 等)

さらに, the research behind the VPNFilter threat is backed with VirusTotal.

トロイの木馬によってもたらされる脅威をよりよく理解するため, 知識のある詳細を提供する以下の記事を参照してください.