Akamai SIRTセキュリティ報告：CVE-2023-26801の悪用によるMiraiボットネットマルウェアの拡散
論説・協力：Tricia Howard
エグゼクティブサマリー
Akamaiの研究者は、CVE-2023-26801が実際に悪用されている事例を確認しました。これは、2023年3月に発見された、緊急性の高いコマンドインジェクションの脆弱性です（CVSSスコア9.8）。
この脆弱性を悪用した事例は、2023年6月13日にAkamai Security Intelligence Response Team（SIRT）により実環境において確認されており、現在も攻撃が行われています。
この脆弱性は、次に示すファームウェアバージョンでMiraiボットネットマルウェア拡散に悪用されています：LB-LINK BL-AC1900_2.0 V1.0.1、BL-WR9000 V2.4.9、BL-X26 V1.2.5、およびBL-LTE300 V1.0.8。
この脆弱性の原因は、macフィールドの検証不足です。不正な攻撃者は、この脆弱性を悪用し、影響を受けるデバイスで任意のコマンドを実行することができます。
この脆弱性が悪用されると、不正アクセス、デバイスのセキュリティ侵害、ラテラルムーブメント（横方向の移動）につながります。
この記事では、この脆弱性に対するリスクを軽減するためのAkamai SIRTが推奨する緩和策を提示しています。
はじめに
Miraiボットネットはセキュリティプロフェッショナルの間ではよく知られており、特にDynDNSに対する2016年の攻撃が有名です。それ以来、数多くの亜種およびMiraiボットネットの影響を受けたボットネットが登場しており、現在でも活動が続けられています。最も新しい事例は、CVE-2023-26801を悪用した事例であり、Akamai SIRTが2023年6月13日に確認しました。これは、2023年3月に発見された、緊急性の高いコマンドインジェクションの脆弱性です。この脆弱性のCVSSスコアは9.8であり、感染したデバイス、およびそのデバイスが属するネットワークにとって、重大な損害につながる危険性があることを示しています。
攻撃者はこの脆弱性を悪用し、影響を受けるワイヤレスルーターに対して巧妙なリクエストを送信することで、感染したデバイス上でコマンドを実行することができます。このようにしてMiraiを送り込んで実行するコマンドが実行されると、いくつかのセキュリティ上の問題を引き起こします。
このブログ記事では、この脆弱性とその影響について説明し、SIRTで確認した脅威の痕跡情報（IOC）の実例をお見せします。この脆弱性の悪用による攻撃は、現在進行形で行われているため、新しい情報が判明次第記事の内容を更新します。
脆弱性の詳細
この脆弱性は、どのような悪用が可能かを示す概念実証とともに、2023年3月に初めて公表されました。この脆弱性は、ファイル「/lib/libshare-0.0.26.so」に存在しています。具体的には、このファイルに含まれている「bs_SetLimitCli_info」関数が影響を受けます。「mac」、「time1」、および「time2」フィールドを含むJSONデータが渡されると、「mac」フィールドが適切なチェックを経ずに、フォーマットされた文字列へと連結されます。その後、この文字列が引数として「bl_do_system」に渡され、実行されることで、コマンドインジェクションが発生します。
さらに、「/bin/goahead」プログラムの「ftext」関数に脆弱性が存在しています。ここでは、「formDefineCGIjson」関数でURL「/goform/xxx」のハンドラーが定義されています。「/goform/set_LimitClient_cfg」という特定のURLは、脆弱性を含む関数「sub_44DB74」に対応しています。この関数では、POSTリクエストフィールドの内容が「websGetVar」を使用して取得され、JSON形式に変換されて、脆弱性が存在する「bs_SetLimitCli_info」関数へと渡されます。「time1」および「time2」フィールドを両方とも「00:00-00:00」に設定すると、この脆弱性を悪用して、「mac」フィールドに悪性コマンドを注入することができます。
影響
不正な攻撃者は、影響を受けるLB-LINKワイヤレスルーターのURL「/goform/set_LimitClient_cfg」に対して巧妙にHTTP POSTリクエストを送信することで、この脆弱性を悪用できます。「time1」および「time2」フィールドを「00:00-00:00」に設定し、任意のコマンドを「mac」フィールドに注入することで、攻撃者は標的デバイス上でこれらのコマンドを実行できます。これにより、不正アクセス、デバイスのセキュリティ侵害、ネットワーク内でのさらなる悪用活動など、さまざまなセキュリティリスクが生じます。
概念実証
攻撃者は、URL「/goform/set_LimitClient_cfg」に対して以下のHTTP POSTリクエストを送信して、この脆弱性を悪用できます。
POST /goform/set_LimitClient_cfg HTTP/1.1
Host: <target_router_ip>
Content-Type: application/x-www-form-urlencoded
Content-Length: <length>
Cookie: user=admin
time1=00:00-00:00&time2=00:00-00:00&mac=;telnetd -l /bin/sh;
このプログラムでは、認証または認可のための特別なチェックは行われないため、Cookieヘッダーは「user=admin」に設定します。つまり、事前の認証なく脆弱性を悪用できます。
Mirai攻撃
SIRTのハニーポットでは、この脆弱性を使用してデバイスへの感染を引き起こすMiraiの事例を2023年6月13日に確認しています（図1および2）。このペイロードは、32ビットMIPSアーキテクチャでコンパイルされたMiraiのバイナリーをダウンロードし、すべてのユーザーが実行可能な権限を設定して、そのバイナリーを実行することにより、wgetコマンドの注入を試みます（図3および4）。
図1：脆弱性悪用を試みるコードを含む3つのマルウェアサンプルのマッピング
図2：ハニーポットで捕捉された脆弱性悪用の試みのマッピング
図3：脆弱性CVE-2023-26801の悪用を試みる関数sym.lblink_scanner() の逆アセンブル
図4：main() 関数から呼び出されるsym.lblink_scanner() の逆アセンブル
緩和策
LB-LINKはこの脆弱性について通知を受けており、影響を受けるユーザーは以下の6つの対策をとることをお勧めします。
1. ファームウェアをアップデートする：世界各国のユーザーや中国のユーザー向けに、影響を受けるモデル（LB-LINK BL-AC1900_2.0、BL-WR9000、BL-X26、およびBL-LTE300）についてファームウェアのアップデート情報がベンダーのWebサイトに掲載されますので、最新の情報を確認してください。
2. すみやかにダウンロードおよびインストールする：ファームウェアのアップデートバージョンが提供されたら、すみやかにダウンロードおよびインストールして、脆弱性に対処します。
3. ネットワークアクセスを制限する：一般的なセキュリティ対策として、インターネットから直接LB-LINKルーターにアクセスできないようにすることをお勧めします。適切なファイアウォールルールやネットワークセグメンテーションを実装し、影響を受けるデバイスへのアクセスを制限します。
4. 強力な認証を導入する：不正アクセスのリスクを緩和するため、ルーターの管理インターフェースにアクセスする際は、推測されにくい強いパスワードを利用します。複雑なパスワードを使用するか、デバイスでサポートされている場合は多要素認証を導入します。
5. 定期的にセキュリティアップデートを実行する：LB-LINKルーターのセキュリティの脆弱性やアップデートについて常に最新の情報をチェックします。固有のモデルに関連するセキュリティ報告、ファームウェアリリース、パッチが新たに提供されていないか、ベンダーのWebサイトを定期的に確認してください。
6. ネットワークを監視する：ネットワーク監視ソリューションを導入して、ネットワーク上の疑わしい活動を検知および分析します。このような監視は、LB-LINKルーターに対する脆弱性悪用の試みや不正アクセスを見極めるのに役立ちます。
結論
マルウェアの作成者は、使用する実装方法、言語、配信方法を常に刷新しています。よく用いられる手法として、既知の脆弱性の悪用がありますが、今回のケースではまさにこの手法が用いられています。あらゆるセキュリティプログラムにおいて、パッチの管理は重要な位置を占めています。適切なパッチ管理を実施できるかどうかが、インシデントが発生しても侵害を食い止めることができるかどうかを左右します。
Akamai SIRTでは、セキュリティの状況を追跡し、新たな脅威を検知して、その内容を文書化および公開することにより、Akamai、Akamaiの顧客、そしてインターネット全体のセキュリティと安定性を保護することを目指しています。SIRTでは引き続きこれらの攻撃について監視を行い、グローバルネットワークへの新たな脅威が検知されたらただちにコミュニティへの情報提供を行ってまいります。リアルタイムの最新情報、およびセキュリティ関連の調査について詳しくお知りになりたい場合は、X（旧Twitter）をフォローしてください。
IOC
85.208.139.67
45.66.230.32
103.95.196.149
193.42.32.40
446bf64f576f3ee1e3fa130005e6cea27ec4acfd8af7dd067d39367159ebee62：ELF 32ビットLSB実行可能ファイル、MIPS、MIPS-Iバージョン1（SYSV）、スタティックリンク、strip実行済み
eb143186410a79e876cb2e4a09eadba530e7b7ffb893dccf6b6e9a5febfabb46：ELF 32ビットLSB実行可能ファイル、MIPS、MIPS-Iバージョン1（SYSV）、スタティックリンク、strip実行済み
048e4e09396cd9e6c1bb2ac89fdb243d7669929499850940bb0a2737aaf0fb4d：ELF 32ビットLSB実行可能ファイル、MIPS、MIPS-Iバージョン1（SYSV）、スタティックリンク、strip実行済み
ac4750995b6159238f8b61ea31a5de45c2414cc37d46b360ac3746ec7188bfe5：ELF 32ビットLSB実行可能ファイル、ARM、EABI4バージョン1（SYSV）、スタティックリンク、デバッグ情報付き、strip未実行
9507e3fd6a74289998c5460060038d45271f175a0485db63379f494843b1f7f6：ELF 64ビットLSB実行可能ファイル、x86-64、バージョン1（SYSV）、スタティックリンク、strip実行済み
feca0b6fd6bec792c79d3a4dcf4e43aea9e5ff978d5b688e0a77b593144ac569：ELF 32ビットLSB実行可能ファイル、ARM、バージョン1（ARM）、ダイナミックリンク、インタープリター /lib/ld-uClibc.so.0、strip実行済み
40f8be79003d9fe2ac0e0f6890958c731bf5869e0f52c869c061e88a80cc09a2：ELF 32ビットLSB実行可能ファイル、ARM、EABI4バージョン1（SYSV）、スタティックリンク、strip実行済み
参照
1. LB-LINKベンダーWebサイト：https://www.lb-link.cn
2. LB-LINK（中国）のベンダーWebサイト：https://www.b-link.net.cn
