ELF_TSUNAMI.R

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、ダメージ度や感染力、あるいは、その両方の脅威レベルの高まりが挙げられます。特にマルウェアは、「brute force attack（総当り攻撃）」という、ユーザ名とパスワードの組み合わせ可能な限りすべてを試す方法を用いる機能を備えています。また、マルウェアは、D-Link製ルータの脆弱性を利用する機能も備えています。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、IRCサーバに接続します。

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

バックドア活動

マルウェアは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}.{BLOCKED}.81.114
• {BLOCKED}.{BLOCKED}.52.185
• {BLOCKED}.{BLOCKED}.51.77
• vexaa.{BLOCKED}th.cx

マルウェアは、以下のいずれかのIRCチャンネルに接続します。

• #kleber
• #kaiten
• #kromex
• #dlink
• #dlink_key

ダウンロード活動

マルウェアは、以下のWebサイトから自身のコピーの更新版ファイルをダウンロードします。

• {BLOCKED}.{BLOCKED}.52.22

その他

マルウェアは、IRCサーバから以下のコマンドを受信し、実行する機能を備えています。

• .login {password} - 共同回線にログイン
• .logout - 共同回線からログアウト
• .exec {command} - システムコマンドを実行
• .clone {URL} {malware file name} - 新しいバイナリ(HTTP)からパスワード・クラッキング・ツール「hydra」を複製
• .upgrade {URL} {malware file name} - 特定のWebサイトからバイナリを更新
• .version - マルウェアの現在のバージョンを表示
• .status - マルウェアの状況を表示
• .help - 特定のヘルプを表示
• .advscan {a} {b} {user} {password} - 特定のユーザ名およびパスワードを利用してルータをスキャン／利用
• .advscan {a} {b} - 特定のユーザ名およびパスワードを利用して他の脆弱なルータをスキャン／利用
• .recursive - (A.B-range)というIPアドレスを利用しスキャン
• .recrd - (B-range random())というIPアドレスを利用しスキャン
• .stop - スキャン／フラッドの停止
• .synflood {host} {port} {secs} - SYN フラッド攻撃を開始する基本コマンド
• .ircflood {nick} {number} {type} - IRC フラッド攻撃を開始する基本コマンド(type: 0=PRIVMSG, 1=CTCP)
• .join {channel} {password} - 特定の選択されたパスワードを用いてチャンネルにマルウェアを接続
• .part {channel} - 特定のチャンネルからマルウェアを移動
• .quit - マルウェアをサーバから切断

このマルウェアの亜種は、以下のコマンドを用いることを確認しています。

• TSUNAMI {target} {secs} - 指定された数秒おきにパケットを特定の対象に送信することで、サービス拒否（DoS）攻撃を実行するようマルウェアを誘導
• UNKNOWN {target} {secs} - 指定された数秒おきにスプーフィングしていないUDPフラッド攻撃を特定の標的に対し実行
• PAN {target} {port} {secs} - 指定された数秒おきにAdvancedSYNフラッド攻撃を特定の標的に対し実行
• UDP {target} {port} {secs} - 指定された数秒おきにUDPフラッド攻撃を特定の標的に対し実行
• GETSPOOFS - DoS攻撃の発信元を隠蔽する
• SPOOFS {subnet} - changes spoofing to a subnet
• GET {HTTP address} {save as} - ファイルのダウンロードおよび保存
• IRC {command} - IRCサーバにコマンドを送信
• SH {command} - コマンドを実行

マルウェアのコード解析より、マルウェアは、「brute force attack（総当り攻撃）」という、ユーザ名とパスワードの組み合わせ可能な限りすべてを試す方法を利用して、インターネットルータがありふれたパスワードを利用しているかどうかを確認します。この攻撃を行うためにユーザ名やパスワードに関するリストがなくても、確認は可能です。さらにマルウェアは、ルータが以下の脆弱性を持つかどうかを確認することが可能です。

• D-Link DSL Router Remote Authentication Bypass Vulnerability（英語情報のみ）