Trend Micro Security

ELF_VPNFILT.D

2018年6月7日
 解析者: Noel Anthony Llimos   
 別名:

Linux.VPNFilter (Norton), Trojan.Linux.VPNFilter.D (Bitdefender)

 プラットフォーム:

Linux

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 他のマルウェアからの作成

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

2018年5月、世界 54 カ国余りで50 万台以上の家庭用または小規模オフィス用ルータが「VPNFilter」と名付けられたマルウェアに感染したと報告されました。VPNFilterは、モジュール化によって多段階の攻撃を実行する巧妙なマルウェアです。一般消費者向けのルータおよび「Network Attached Storage（NAS）」を対象として、三段階の攻撃を行います。

このマルウェアは、第三段階目の攻撃を構成する複数のモジュールの一つ（「ELF_VPNFILT.D」として検出）です。JavaScriptインジェクションを実行し、また、感染デバイスのiptablesに変更を加えます。

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

  詳細

ファイルサイズ 1,384,168 bytes
タイプ ELF
メモリ常駐 はい
発見日 2018年6月7日
ペイロード システムセキュリティへの感染活動, 情報収集

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

その他

マルウェアは以下を実行します。

  • このモジュールの動作は、以下のパラメータによって決定します。
    • dump: ←傍受したすべてのHTTPヘッダを reps_*.binに格納するために使用する。（reps_*.binは、 ELF_VPNFILT.Bによって作成される）
    • dst: ←iptablesのルールが適用される、特定の送信先IPアドレス範囲を作成するために使用される
    • src: ←iptablesのルールが適用される、特定の送信元IPアドレス範囲を作成するために使用される
    • site: ←このパラメータで指定されているURLは、JavaScriptインジェクション対象となるWebページのこと
    • hook: ←このパラメータは、JavaScriptファイルがインジェクションされる場所あるいはURLを指定する
  • マルウェアは、パラメータ "site："のデータに基づいてJavaScriptインジェクションを実行します。
  • マルウェアはHTTPを使用してHTTPSリクエストを変換しセキュリティを低下させ、認証情報やログイン情報などのデータを抽出します。
  • 認証ヘッダー内の以下の文字列のデータを傍受して、ログイン認証情報を抽出します。
    • ail=
    • sername=
    • ame=
    • ser=
    • ogin=
    • hone=
    • session[password
    • session%5Bpassword
    • session%5Busername
  • このモジュールは、変更を加えた感染デバイスのiptableのルールが削除されないように、約4分ごとにルールを一旦削除して復元します。
  • マルウェアは、80番ポートに宛てられたデータとネットワークトラフィックを傍受し、以下のLinuxシェルコマンドを実行することにより、感染デバイスのネットワークアドレス（iptables）をポート8888にリダイレクトするように設定します。
    • iptables -I INPUT -p tcp --dport 8888 -j ACCEPT
    • iptables -t nat -I PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8888

<補足>
侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 14.310.04
初回 VSAPI パターンリリース日 2018年6月7日
VSAPI OPR パターンバージョン 14.311.00
VSAPI OPR パターンリリース日 2018年6月8日

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ELF_VPNFILT.D」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください