Mirai（ミライ、日本語の未来に由来するとみられる）は Linux で動作するコンピュータを、大規模なネットワーク攻撃の一部に利用可能な、遠隔操作できるボットにするマルウェアである。ネットワークカメラや家庭用ルーターといった家庭内のオンライン機器（IoTデバイス）を主要ターゲットとしている。Mirai によって構築されたボットネットは、2016年8月、MalwareMustDieというマルウェア調査報告グループによって初めて発見され、コンピュータセキュリティを得意とするジャーナリストであるのウェブサイトに行われた2016年9月20日の攻撃 やフランスのインターネット関連企業である OVHに対する攻撃、DNSサーバープロバイダの を標的としたといった、かつてないほどの大規模 かつ破壊的なDDoS攻撃に使われてきた。

Mirai のソースコードは同年9月下旬 に、ハッカーが集まるフォーラムで公開された。そのため、Mirai のソースコードの一部は他のマルウェア開発に流用された。

日本国内でMiraiを使用して許可なく他人の端末を攻撃する行為は、不正アクセス禁止法によって禁じられており、刑事罰を受ける可能性があるe-GOV 法令検索「平成十一年法律第百二十八号 不正アクセス行為の禁止等に関する法律」。

動作 Mirai に感染した端末は「高速スキャンフェーズ」に入り、インターネット上のランダムのIPアドレスのTelnetのポート（23番および2323番）に対し、非同期かつ『ステートレス』にTCP-SYNプローブを送信するAntonakakis, M., et al.: Understanding the Mirai botnet. In: 26th USENIX Security Symposium (USENIX Security 2017) (2017)。ただし、Mirai は米国郵便公社や米国防総省に割り当てられている IPアドレスといった、探索の対象としないサブネットマスクの表（テーブル）を有している。IoTデバイスがこのプローブに応答した場合、攻撃は「ログインフェーズ」に移行する。Miraiは、様々なIoT機器の出荷時に共通なユーザーネームとパスワードのテーブルを有しており、発見したIoTデバイスに対してログインを試行し、成功した場合はMiraiに感染させる。 新たにMiraiに感染したIoTデバイスがTelnetのアクセスを許可すると、IoTデバイスのIPアドレスとログインに成功した認証情報が、収集用サーバーへと送信される。

Mirai に感染した端末は、時折動作が遅くなったり、使用する帯域幅が増加することはあっても、普段通りに動作し、再起動するまでは感染したままである。再起動するとMiraiは消去されるが、再起動したとしても直ちにログインパスワードを変更しない場合は、数分以内に再び感染する。

またMiraiは、感染時にTelnet、HTTP、SSHの各ポートを使用する「競合する」他のマルウェアの存在を検出し、検出された場合にはそれらをメモリ上から削除する。これらリモート管理にも使用されるポートをブロックすることで、正規の遠隔操作に必要な認証も遮断する。

多くのIoT 機器は初期設定のまま使用されており、その結果としてマルウェアの感染に対して脆弱である。いったん感染すると、感染した機器は攻撃者のコマンド・アンド・コントロール（C&C）サーバと通信する。攻撃者のC&Cサーバから、DDoS攻撃の対象が指示される。

多数の IoT 機器から同時に攻撃を行うことにより、受信リクエストの IP アドレスを監視し、特定の IP アドレスからの異常なトラフィックパターン（例えば、単一の IP アドレスから過剰なリクエストが送信される場合）を検出して遮断する一部の対 DoS 防御ソフトウェアの防御機能を無効化できる場合がある。さらに、単独の攻撃者では確保できない規模の帯域幅を動員した DDoS攻撃が可能となり、攻撃元の追跡も困難になる。

DDoS攻撃での利用 Mirai は、と一緒に、コンピュータセキュリティを得意とするジャーナリストのブライアン・クレブスが執筆するブログの“”に対する攻撃のために使用された。攻撃によるトラフィックは、620 Gbps に達したThe Economist, 8 October 2016, The internet of stings。この攻撃により、ブログサービスを提供していたアカマイ・テクノロジーズは、このブログのサービスを休止することとなった。アカマイの代わりにウェブホスティングを申し出たある企業は、このような攻撃の対策には、年間15万ドルから20万ドル（約1560万円から2100万円）の費用がかかるとの見解を示した。2016年10月20日現在、彼のウェブサイトは Google が提供する、無料のDDoS対策サービスの“”を利用して復旧している。

また、技術関連のニュースサイトである Ars Technicaは、フランスのウェブホスティングサービス企業である OVH に対して行われた攻撃では1 Tbps を記録したと伝えた。

同年10月21日に行われた、DNSサーバプロバイダーのダインに対する大規模DDos攻撃では Mirai に感染した大量のIoTデバイスが使われ、GitHub・Twitter・Reddit・Airbnb・Netflixといった有名サイトを含めた、多くのウェブサイトでアクセスできなくなった。このときの攻撃では、ダインは、10万台以上ものIoT機器から攻撃を受けることとなった。

Mirai は2016年11月に発生した、リベリアのインターネットインフラストラクチャーをターゲットにしたサイバー攻撃でも使われている。コンピュータセキュリティー専門家のケビン・ボーモント () は、攻撃の規模からしてダインを攻撃した人物と同じ者による攻撃だろうと語っている。

亜種 BKDR_MIRAI.A という亜種は、従来 Mirai が感染対象としていた Linux の IoTデバイスだけでなく、WindowsPC をも感染対象としている。Linux のデバイスに対しては従来のように Mirai に感染させるが、WindowsPC と認識した場合は、Mirai に感染させる代わりに BKDR_MIRAI.A 自身を複製して感染させる。感染した WindowsPC は、元の BKDR_MIRAI.A と同じ様に Linux と WindowsPC を捜索する。BKDR_MIRAI.A を使うことで、感染対象とするIoTデバイスの検索効率を上げることが意図されているものとみられている。

作者と攻撃者

2017年1月17日、コンピュータ・セキュリティ分野のジャーナリストであり、Miraiによる攻撃を受けたことでも知られるは、自身のブログ「Krebs on Security」に記事を投稿し、マルウェアの作者であると考えられる人物の名前を公表した。クレブスは、Miraiの作者とされる「Anna-senpai」（アニメ『下ネタという概念が存在しない退屈な世界』のキャラクター・西宮アンナに由来する名前）の現実世界における正体について、DDoS攻撃対策サービス企業のオーナーであり、当時大学生でもあったアメリカ人である可能性が高いと述べている。

その後、元の記事の更新において、被疑者とされる人物がクレブスに対して回答し、自身がMiraiを書いたことを否定した。2016年10月に発生したへの関与について、FBIが被疑者とされる人物に事情聴取を行ったと報じられている。2017年12月13日、ブライアン・クレブスの指摘した被疑者を含む3名は、Miraiボットネットに関連する犯罪について有罪を認めた。3人は他のサイバーセキュリティ関連捜査に協力し、その結果、実刑は科されず、保護観察と社会奉仕活動の判決を受けた。

一方、miraiを利用した攻撃者の一人は、「BestBuy」「Popopret」「Spiderman」という別名でも知られており、英国国家犯罪対策庁（NCA）によると、「Miraiボットネットとして知られる感染コンピュータのネットワークを使用して、ロイズ・バンキング・グループおよびバークレイズ銀行を攻撃し、恐喝を行った」として告発されている。同報告によれば、彼はドイツからイギリスへ引き渡された。また、ケイはドイツテレコムのネットワーク上にある90万台以上のルーターを乗っ取った罪についても、法廷で有罪を認めている。

さらに研究者らは、「Nexus Zeta」というハンドルネームが、Miraiの新たな亜種（Okiru、Satori、Masuta、PureMasutaと呼ばれるもの）の作者であると指摘した。2018年8月21日、アメリカの大陪審は、「Nexus Zeta」として知られる当時20歳の男性を、プログラム、情報、コード、コマンドを意図的に送信し、その結果として保護されたコンピュータに対し、無許可で損害を与えたとして起訴した。この起訴状はアラスカ州アンカレッジのに提出され、その後、容疑者は逮捕され、裁判にかけられた。

註釈

出典

関連項目 DDoS攻撃 IoTデバイスを攻撃するマルウェア

Linux.Wifatch

外部リンク Krebs on Security - Mirai で被害を受けたウェブサイトの内、初期のもの