ELF_VPNFILT.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

2018年５月、世界 54 カ国余りで50 万台以上の家庭用または小規模オフィス用ルータが「VPNFilter」と名付けられたマルウェアに感染したと報告されました。VPNFilter マルウェアは、モジュール化によって多段階の攻撃を実行する巧妙なマルウェアです。一般消費者向けのルータおよび「Network Attached Storage（NAS）」を対象として、三段階の攻撃を行います。第一段階のマルウェア（「ELF_VPNFILT.A」として検出）の目的は、コマンド&コントロール（C&C）サーバを特定し、次の段階で利用するマルウェアをダウンロードすることと、感染機器における持続的な活動の確立です。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• /var/run/client.crt <--- Used to authenticate request to the C&C Server
• /var/run/client.key <--- Used to authenticate request to the C&C Server
• /var/run/client_ca.crt <--- Used to authenticate request to the C&C Server

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://photobucket.com/user/katy{BLOCKED}45/library
• http://photobucket.com/user/lisa{BLOCKED}87/library
• http://photobucket.com/user/kmi{BLOCKED}2/library
• http://photobucket.com/user/nik{BLOCKED}d11/library

ただし、情報公開日現在、このWebサイトにはアクセスできません。

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。これらのファイルは、C＆Cサーバの認証要求に使用されます。

• /var/run/client.crt
• /var/run/client.key
• /var/run/client_ca.crt

その他

マルウェアは以下を実行します。

• C＆C サーバからさまざまなモジュールをダウンロードします。
• 最初のURLに接続できない場合は、以下のバックアップ用URLに接続します。
  • http://{BLOCKED}wall.com/manage/content/update.php
• URLへの接続に失敗した場合、マルウェア作成者が感染機器へアクセスできるようにする、特定のトリガを待機するポートを開きます。
• 設定ファイルからURLを生成し、生成したURLからダウンロードしたファイルを以下の名前で保存します。
  • /var/vpnfilter
• スクリプトが５分ごとに実行されるようにCron/Crontab （Linux スクリプトスケジューラ） を変更します。