【要約】ボットネットが標的とする多様なCPUアーキテクチャに関する分析 [Qiita_Trend] | Summary by TechDistill
> Source: Qiita_Trend
Execute Primary Source
// Problem
攻撃者が複数のCPUアーキテクチャを標的とするボットネットを運用する場合、防御側は検知の困難さに直面する。IoT機器は多様なアーキテクチャが混在しており、従来の単一的な対策では不十分であるためだ。
- ・IoT機器はARM、MIPS、x86など多様なアーキテクチャが混在している。
- ・攻撃者は複数のアーキテクチャ向けバイナリを同時に配布し、効率的に攻撃を行う。
- ・HTTPリクエストのみでは、攻撃対象のアーキテクチャを正確に特定できない。
// Approach
三菱電機は、運用中のハニーポットから得られたHTTPリクエストを、名称やパスに基づく推定手法で分析した。リクエスト内の文字列から、攻撃者が狙うアーキテクチャを特定する試みである。
- ・判定レベルをL1（名称・パス）、L2（User-Agent）、L3（ヘッダー）に定義。
- ・正規表現を用いて、arm64、arm7、mips、x86等の文字列を抽出。
- ・リクエスト内のコマンド構文（
;や||）の使い分けを解析。
// Result
HTTPリクエストの解析により、攻撃の傾向と配布パターンの特性を特定した。これにより、アーキテクチャ名に頼らない検知の可能性が示された。
- ・アーキテクチャ名を含むリクエストの約75%がARM系であった。
- ・攻撃者は
uname -m等の判定を行わず、バイナリを総当たりで実行する。 - ・
wget || busybox wget || curlという3段構成のフォールバックが全体の74%で確認された。 - ・ファイル名を
dに統一することで、アーキテクチャの特定を回避している。
Senior Engineer Insight
> 攻撃者がアーキテクチャ判定をスキップし、コマンドの冗長性で生存率を高めている点は実戦的だ。アーキテクチャ名による検知は偽装に弱いため、
wget || busybox wget のような「異常なコマンド連鎖」をシグネチャ化すべきだ。これにより、未知のアーキテクチャ攻撃も効率的に捕捉できる。運用コストの観点からも、ペイロードの全解析よりリクエスト構文の検知の方がスケーラビリティが高い。