Mirai (マルウェア)
Mirai に感染した端末は、IoTデバイスの IPアドレスをインターネット上で走査する。ただし、Mirai は米国郵便公社や米国防総省に割り当てられている IPアドレスといった、感染対象としないサブネットマスクの表(テーブル)を有している。
その後、走査された IPアドレスを使っている IoTデバイスのセキュリティが脆弱であることを、出荷時に共通なユーザーネームとパスワードのテーブルを使って確認し、感染させるためにログインする。Mirai に感染した端末は、時折動作が遅くなったり、使用する帯域幅が増加することはあっても、普段通りに動作し、再起動するまでは感染したままである。更に、再起動したとしても、直ちにログインパスワードを変更しない場合は、数分以内に再び感染してしまうという。また、感染したときに「競合する」マルウェアに感染していないかを検出し、感染していた場合はこれをメモリから削除し、リモート管理ポートをブロックする。
数十万もの工場出荷時の設定のままになっていて、セキュリティの脆弱なIoTデバイスが、 Mirai に感染している。感染すると、端末は、攻撃対象を指示するコマンドやコントロールサーバを監視するようになる。この様に大量のIoTデバイスを支配するのは、特定のIPアドレスから送信される大量のリクエストのような異常なトラフィック・パターンを検知して、送信元IPアドレスに対しブロックやフィルタリングを行う、DoS対策ソフトウェアを掻い潜るためである。