Mirai (マルウェア)

Mirai（ミライ、日本語の未来に由来するとみられる）は Linux で動作するコンピュータを、大規模なネットワーク攻撃の一部に利用可能な、遠隔操作できるボットにするマルウェアである。ネットワークカメラや家庭用ルーターといった家庭内のオンライン機器（IoTデバイス）を主要ターゲットとしている。Mirai によって構築されたボットネットは、2016年8月、MalwareMustDieというマルウェア調査報告グループによって初めて発見され、コンピュータセキュリティを得意とするジャーナリストであるのウェブサイトに行われた2016年9月20日の攻撃 やフランスのインターネット関連企業である OVHに対する攻撃、DNSサーバープロバイダの を標的としたといった、かつてないほどの大規模 かつ破壊的なDDoS攻撃に使われてきた。

Mirai のソースコードは同年9月下旬 に、オープンソースとして、ハッカーが集まるフォーラムで公開された。そのため、Mirai の機構は他のマルウェア開発でも使われることとなった。

マルウェア 
Mirai に感染した端末は、IoTデバイスの IPアドレスをインターネット上で走査する。ただし、Mirai は米国郵便公社や米国防総省に割り当てられている IPアドレスといった、感染対象としないサブネットマスクの表（テーブル）を有している。

その後、走査された IPアドレスを使っている IoTデバイスのセキュリティが脆弱であることを、出荷時に共通なユーザーネームとパスワードのテーブルを使って確認し、感染させるためにログインする。Mirai に感染した端末は、時折動作が遅くなったり、使用する帯域幅が増加することはあっても、普段通りに動作し、再起動するまでは感染したままである。更に、再起動したとしても、直ちにログインパスワードを変更しない場合は、数分以内に再び感染してしまうという。また、感染したときに「競合する」マルウェアに感染していないかを検出し、感染していた場合はこれをメモリから削除し、リモート管理ポートをブロックする。

数十万もの工場出荷時の設定のままになっていて、セキュリティの脆弱なIoTデバイスが、 Mirai に感染している。感染すると、端末は、攻撃対象を指示するコマンドやコントロールサーバを監視するようになる。この様に大量のIoTデバイスを支配するのは、特定のIPアドレスから送信される大量のリクエストのような異常なトラフィック・パターンを検知して、送信元IPアドレスに対しブロックやフィルタリングを行う、DoS対策ソフトウェアを掻い潜るためである。

DDoS攻撃での利用 
Mirai は、と一緒に、コンピュータセキュリティを得意とするジャーナリストのブライアン・クレブスが執筆するブログの“”に対して行われた攻撃で使用され、620 Gbps もの通信量に達した。多大なトラフィックを前に、ブログサービスを提供していたアカマイ・テクノロジーズは、このブログの維持を休止することとなった。アカマイからウェブホスティングを中止された後にウェブホスティングを申し出たある企業は、「Akamaiで受けていたような保護を受けるには、年間15万ドルから20万ドル（約1560万円から2100万円）の費用がかかるだろう」と対策の難しさを示した。2016年10月20日現在、彼のウェブサイトは Google が提供する、無料のDDoS対策サービスの“”を利用して完全復活している。

また、技術関連のニュースサイトである Ars Technicaは、フランスのウェブホスティングサービス企業である OVH に対して行われた攻撃では1 Tbps を記録したと伝えた。

同年10月21日に行われた、DNSサーバプロバイダーのダインに対する大規模DDos攻撃では Mirai に感染した大量のIoTデバイスが使われ、GitHub・Twitter・Reddit・Airbnb・Netflixといった有名サイトを含めた、多くのウェブサイトでアクセスできなくなった。このときの攻撃では、ダインは、10万台以上ものIoT機器から攻撃を受けることとなった。

Mirai は2016年11月に発生した、リベリアのインターネットインフラストラクチャーをターゲットにしたサイバー攻撃でも使われている。コンピュータセキュリティー専門家のケビン・ボーモント () は、攻撃の規模からしてダインを攻撃した人物と同じ者による攻撃だろうと語っている。

亜種 
BKDR_MIRAI.A という亜種は、従来 Mirai が感染対象としていた Linux の IoTデバイスだけでなく、WindowsPC をも感染対象としている。Linux のデバイスに対しては従来のように Mirai に感染させるが、WindowsPC と認識した場合は、Mirai に感染させる代わりに BKDR_MIRAI.A 自身を複製して感染させる。感染した WindowsPC は、元の BKDR_MIRAI.A と同じ様に Linux と WindowsPC を捜索する。BKDR_MIRAI.A を使うことで、感染対象とするIoTデバイスの検索効率を上げることが意図されているものとみられている。

註釈

出典

関連項目 
 DDoS攻撃
 IoTデバイスを攻撃するマルウェア
 
 
 
 Linux.Wifatch

外部リンク 
 Krebs on Security - Mirai で被害を受けたウェブサイトの内、初期のもの

マルウェア
オープンソースソフトウェア
Linuxのソフトウェア
DoS攻撃