Last Updated on 2024-06-26 12:47 by admin
過去3ヶ月間に、CatDDoSマルウェアボットネットの背後にいる脅威アクターが80以上の既知のセキュリティ脆弱性を悪用して、脆弱なデバイスに侵入し、分散型サービス拒否（DDoS）攻撃を行うためのボットネットに組み込んだ。これらの脆弱性は、Apache（ActiveMQ、Hadoop、Log4j、RocketMQ）、Cacti、Cisco、D-Link、DrayTek、FreePBX、GitLab、Gocloud、Huawei、Jenkins、Linksys、Metabase、NETGEAR、Realtek、Seagate、SonicWall、Tenda、TOTOLINK、TP-Link、ZTE、Zyxelなどのベンダーのルーター、ネットワーク機器、その他のデバイスに影響を与える。CatDDoSは、UDP、TCPなどの方法を使用してDDoS攻撃を実行できるMiraiボットネットの変種として、2023年8月に初めて確認された。このマルウェアは、コマンドアンドコントロール（C2）ドメインに「catddos.pirate」と「password_meow」といった猫に関連する文字列を使用していることからその名が付けられた。攻撃の主な対象は中国にあり、その後に米国、日本、シンガポール、フランス、カナダ、英国、ブルガリア、ドイツ、オランダ、インドが続く。
また、CatDDoSはChaCha20アルゴリズムを使用してC2サーバーとの通信を暗号化し、検出を回避するためにOpenNICドメインをC2に使用する技術を採用している。この技術は、別のMiraiベースのDDoSボットネットであるFodchaによって以前に採用されていた。興味深いことに、CatDDoSはChaCha20アルゴリズムのための同じキー/ノンスペアをhailBot、VapeBot、Woodmanという他の3つのDDoSボットネットと共有している。研究者たちは、マルウェアの元の作者が2023年12月に運用を停止したが、専用のTelegramグループでソースコードを販売する前に停止したと疑っている。
さらに、DNSBomb（CVE-2024-33655）と呼ばれる新しい「パルシング」型のサービス拒否（PDoS）攻撃技術が明らかにされた。この攻撃は、ドメインネームシステム（DNS）のクエリと応答を悪用して、20,000倍の増幅率を達成する。攻撃の核心は、クエリレートの制限、クエリ応答のタイムアウト、クエリの集約、最大応答サイズの設定など、正当なDNS機能を利用して、悪意のある権威と脆弱な再帰リゾルバを使用して、タイミングの合った応答の洪水を作り出すことにある。DNSBombは、攻撃者が制御するドメインに対して複数のDNSクエリをIPスプーフィングし、複数の返信を集約するために応答を保留する戦略を含む。この攻撃は、増幅されたトラフィックの周期的なバーストで被害者を圧倒することを目的としている。この発見は、先週サンフランシスコで開催された第45回IEEEセキュリティとプライバシーに関するシンポジウムおよび2023年10月に上海で開催されたGEEKCON 2023イベントで発表された。
【ニュース解説】
過去数ヶ月にわたり、CatDDoSマルウェアボットネットと呼ばれる新たな脅威がセキュリティ研究者の間で注目を集めています。このボットネットは、80以上の既知のセキュリティ脆弱性を悪用して、様々なデバイスを侵入し、それらを利用して分散型サービス拒否（DDoS）攻撃を行う能力を持っています。これらの脆弱性は、世界中の多くのベンダーのルーターやネットワーク機器に影響を及ぼしており、攻撃の対象は主に中国をはじめとする複数の国々に及んでいます。
CatDDoSは、Miraiボットネットの変種であり、UDPやTCPなどの方法を使用してDDoS攻撃を実行することができます。このマルウェアは、猫に関連する文字列を使用していることからその名前が付けられました。また、通信の暗号化にはChaCha20アルゴリズムを使用し、検出を回避するためにOpenNICドメインを利用しています。これらの特徴は、CatDDoSが高度な技術を駆使していることを示しています。
一方で、DNSBombという新しい攻撃技術も明らかにされました。この技術は、ドメインネームシステム（DNS）のクエリと応答を悪用して、非常に高い増幅率を達成することができる「パルシング」型のサービス拒否（PDoS）攻撃です。DNSBombは、正当なDNS機能を利用して攻撃を行うため、検出が困難であり、被害者を圧倒することが可能です。
これらの攻撃技術の登場は、セキュリティ対策の重要性を改めて浮き彫りにしています。特に、既知のセキュリティ脆弱性を悪用されることが多いため、ソフトウェアの更新やパッチの適用が急務です。また、DNSBombのような新しい攻撃手法に対しては、DNSの設定を見直し、不正なトラフィックを検出しやすくすることが重要です。
これらの攻撃は、クラウドサービスプロバイダーや教育機関、公共管理など、多岐にわたる業界に影響を及ぼす可能性があります。そのため、企業や組織は、セキュリティ対策を強化し、定期的なセキュリティチェックを行うことで、攻撃のリスクを最小限に抑える必要があります。また、攻撃の兆候を早期に検出し、迅速に対応する体制を整えることも、被害を防ぐ上で欠かせません。
長期的には、これらの攻撃技術の進化に伴い、セキュリティ対策も進化させていく必要があります。攻撃者は常に新しい手法を開発しているため、セキュリティ研究者や技術者は、最新の脅威に対する知識を常に更新し、対策を講じることが求められます。
from Researchers Warn of CatDDoS Botnet and DNSBomb DDoS Attack Technique.
