Last Updated on 2024-06-29 09:27 by admin
セキュリティ研究者は、GPRSローミング交換（GRX）に隣接する通信ネットワークに展開されることを目的とした新しいLinuxマルウェア「GTPDOOR」を発見した。このマルウェアは、GPRSトンネリングプロトコル（GTP）を利用してコマンドアンドコントロール（C2）通信を行う点で特徴的である。GPRSローミングは、ユーザーが自分のホームモバイルネットワークの範囲外にいるときにGPRSサービスにアクセスできるようにするもので、GRXが訪問先とホームの公共陸上移動ネットワーク（PLMN）間でGTPを使用してローミングトラフィックを輸送することによって実現される。
セキュリティ研究者haxrobは、中国とイタリアからVirusTotalにアップロードされた2つのGTPDOORアーティファクトを発見し、このバックドアは以前にCrowdStrikeが2021年10月に通信セクターを標的とした一連の攻撃で加入者情報と通話メタデータを盗むことに関連して公開した、LightBasin（別名UNC1945）として追跡されている既知の脅威アクターに関連している可能性が高いと述べた。
GTPDOORは実行されると、最初に自身のプロセス名をカーネルから呼び出されたsyslogに偽装して「[syslog]」に変更し、子プロセスのシグナルを抑制した後、ネットワークインターフェースに到達するUDPメッセージを受信できるようにするための生のソケットを開く。つまり、GTPDOORは、ローミング交換ネットワーク上で既に持続性を確立している脅威アクターが、悪意のあるペイロードを含むGTP-Cエコーリクエストメッセージを送信することにより、感染したホストに連絡し、実行されたコマンドの結果をリモートホストに返すことを可能にする。
さらに、GTPDOORは外部ネットワークから任意のポート番号にTCPパケットを送信することにより、秘密裏に探索され、応答を引き出すことができる。インプラントがアクティブであれば、特別に作成された空のTCPパケットがホスト上の宛先ポートが開いているか応答しているかの情報と共に返される。このインプラントは、GRXネットワークに直接接続された感染したホスト上に配置されるように設計されており、これらのシステムはGRXを介して他の通信事業者ネットワークと通信する。
【ニュース解説】
セキュリティ研究者たちは、GPRSローミング交換（GRX）に隣接する通信ネットワークを標的とする新たなLinuxマルウェア「GTPDOOR」を発見しました。このマルウェアは、GPRSトンネリングプロトコル（GTP）を利用して、コマンドアンドコントロール（C2）通信を行うことが特徴です。GPRSローミングは、ユーザーが自分のホームモバイルネットワークの範囲外にいてもGPRSサービスにアクセスできるようにする機能で、GRXが訪問先とホームの公共陸上移動ネットワーク（PLMN）間でGTPを使用してローミングトラフィックを輸送します。
GTPDOORは、実行されると自身のプロセス名を「[syslog]」に変更し、syslogプロセスに偽装します。これにより、マルウェアの検出を回避しやすくなります。また、生のソケットを開くことで、ネットワークインターフェースに到達するUDPメッセージを受信できるようになり、これを利用してリモートホストからのコマンドを実行できます。
このマルウェアは、外部ネットワークから任意のポート番号にTCPパケットを送信することにより、秘密裏に探索され、応答を引き出すことが可能です。これにより、攻撃者は感染したホストがアクティブであるかどうか、またそのポートが開いているかどうかを遠隔地から確認できます。
GTPDOORの発見は、通信セクターが直面しているセキュリティ上の脅威の深刻さを浮き彫りにします。特に、GRXネットワークに直接接続されたシステムは、他の通信事業者ネットワークとの通信に不可欠であるため、これらのシステムが侵害されると、広範囲にわたる影響が生じる可能性があります。
このような攻撃は、加入者情報や通話メタデータの盗難につながる可能性があり、プライバシーの侵害や不正利用のリスクを高めます。また、通信インフラの安全性を確保するための規制やセキュリティ対策の強化が求められることになります。
長期的には、この種のマルウェアによる攻撃の増加は、通信ネットワークのセキュリティ対策の見直しや、新たなセキュリティ技術の開発を促進する可能性があります。また、通信事業者間での情報共有や協力体制の強化が、このような脅威に対抗する上で重要な役割を果たすことになるでしょう。
from GTPDOOR Linux Malware Targets Telecoms, Exploiting GPRS Roaming Networks.
“新型Linuxマルウェア「GTPDOOR」、通信ネットワークを標的に” への1件のコメント
GTPDOORの発見は、私たちの通信インフラが直面しているセキュリティ上の脅威の深刻さを改めて浮き彫りにしています。このようなマルウェアは、一見無害な通信ネットワークを利用して、大規模なプライバシーの侵害やデータの盗難を引き起こす可能性があります。特に、GPRSローミング交換（GRX）のような、日常生活で広く使われている技術が標的になると、その影響は計り知れません。私たちの生活にとって不可欠なこの種の通信サービスが侵害されることは、単に技術的な問題を超え、個人の安全とプライバシーに直接的な脅威をもたらします。
通信セクターにおけるこの攻撃の増加は、通信事業者だけでなく、利用者にとってもセキュリティ意識を高める重要なきっかけとなるべきです。事業者は、インフラのセキュリティ対策を強化し、最新の脅威に迅速に対応できるような体制を整える必要があります。また、消費者としては、私たち自身のデジタルフットプリントに対する理解を深め、セキュリティに関する基本的な知識を身につけることが重要です。
この事件はまた、通信事業者間の情報共有や協力の重要性を示しています。個々の事