ELF_MIRAI.LBOUG
Linux/Mirai.acgfb (Avira)
Linux
- マルウェアタイプ: ワーム
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。
トレンドマイクロは、2018 年 7 月、IoTデバイスの5555 ポートを狙う新しい攻撃を確認しました。この攻撃では、Android 端末のコマンドラインツール「Android Debug Bridge（ADB）」が利用されます。確認されたネットワークトラフィックは、第 1 波が主に中国と米国から、第 2 波が主に韓国からのものでした。
ネットワークパケットの解析によると、このマルウェアは、開放された 5555 番ポートを検索し、ADB 接続を介して拡散します。攻撃は 3 段階に分かれており、第 3 段階のバイナリファイルが、仮想通貨の発掘やワーム活動による拡散などの不正活動を行います。
ワームは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。
ワームは、実行後、自身を削除します。
ワームは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
ワームは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。
インストール
ワームは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。
- /boot/
- /data/local/tmp/
- /dev/
- /dev/netslink/
- /dev/shm/
- /home
- /mnt/
- /sdcard/Download/
- /tmp/
- /usr/
- /var/
- /var/run/
- /var/tmp/
ワームは、実行後、自身を削除します。
バックドア活動
ワームは、以下のWebサイトにアクセスし、情報を送受信します。
- {BLOCKED}.{BLOCKED}.62.169:7267
＜補足＞
侵入方法
ワームは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。
その他
ワームは以下を実行します。
- DDoS攻撃
- ファイルのダウンロード
- シェルコマンド
- 5555 Android Debug Bridgeポートが有効になっている接続されたアンドロイドデバイスの検索
- ホスト名“n.{BLOCKED}ianhorseriding.com”を使用してDNSサーバにクエリを送信し、C＆Cサーバを解決
対応方法
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ELF_MIRAI.LBOUG」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください