VPNFilterマルウェアとは?今すぐ感染を確認して対処する完全ガイド

すべてのマルウェアが同じというわけではありません。その証拠の一つがVPNFilterマルウェアです。これは破壊的な特性を持つ新型のルーターマルウェアであり、他の多くのIoT(モノのインターネット)脅威とは異なり、再起動後も生き残れるという際立った特徴を持っています。

この記事では、VPNFilterマルウェアの見分け方や標的となるデバイスのリストをご紹介します。さらに、システムに被害が及ぶ前に防ぐための具体的な対策方法についても詳しく解説します。

VPNFilterマルウェアとは?

VPNFilterは、ルーターやIoTデバイス、さらにはNAS(ネットワーク接続ストレージ)デバイスを脅かす破壊的なマルウェアです。さまざまなメーカーのネットワーク機器を主な標的とする、高度なモジュール型マルウェアと考えられています。

当初、このマルウェアはLinksys、NETGEAR、MikroTik、TP-Link製のネットワーク機器で検出されました。その後、QNAP製NASデバイスでも発見されています。現在までに54カ国で約50万台が感染しており、その影響範囲の広さがうかがえます。

VPNFilterを暴露したCisco Talosチームは、このマルウェアに関する詳細な技術情報をブログ記事として公開しています。それによると、ASUS、D-Link、Huawei、UPVEL、Ubiquiti、ZTE製のネットワーク機器にも感染の兆候が見られるとのことです。

他の多くのIoT向けマルウェアとは異なり、VPNFilterは再起動後も存続するため駆除が非常に困難です。特に危険なのは、初期設定のログイン情報を使い続けているデバイスや、ファームウェア更新が未適用のまま既知のゼロデイ脆弱性を抱えたデバイスです。

VPNFilterマルウェアの影響が確認されているデバイス

このマルウェアは、エンタープライズ向けおよびSOHO(スモールオフィス・ホームオフィス)向けルーターの両方を標的にしています。以下のブランドおよびモデルには十分注意してください。

• Asus RT-AC66U
• Asus RT-N10
• Asus RT-N10E
• Asus RT-N10U
• Asus RT-N56U
• Asus RT-N66U
• D-Link DES-1210-08P
• D-Link DIR-300
• D-Link DIR-300A
• D-Link DSR-250N
• D-Link DSR-500N
• D-Link DSR-1000
• D-Link DSR-1000N
• Linksys E1200
• Linksys E2500
• Linksys E3000
• Linksys E3200
• Linksys E4200
• Linksys RV082
• Huawei HG8245
• Linksys WRVS4400N
• Netgear DG834
• Netgear DGN1000
• Netgear DGN2200
• Netgear DGN3500
• Netgear FVS318N
• Netgear MBRN3000
• Netgear R6400
• Netgear R7000
• Netgear R8000
• Netgear WNR1000
• Netgear WNR2000
• Netgear WNR2200
• Netgear WNR4000
• Netgear WNDR3700
• Netgear WNDR4000
• Netgear WNDR4300
• Netgear WNDR4300-TN
• Netgear UTM50
• MikroTik CCR1009
• MikroTik CCR1016
• MikroTik CCR1036
• MikroTik CCR1072
• MikroTik CRS109
• MikroTik CRS112
• MikroTik CRS125
• MikroTik RB411
• MikroTik RB450
• MikroTik RB750
• MikroTik RB911
• MikroTik RB921
• MikroTik RB941
• MikroTik RB951
• MikroTik RB952
• MikroTik RB960
• MikroTik RB962
• MikroTik RB1100
• MikroTik RB1200
• MikroTik RB2011
• MikroTik RB3011
• MikroTik RB Groove
• MikroTik RB Omnitik
• MikroTik STX5
• TP-Link R600VPN
• TP-Link TL-WR741ND
• TP-Link TL-WR841N
• Ubiquiti NSM2
• Ubiquiti PBE M5
• Upvel デバイス(型番不明)
• ZTE ZXHN H108N
• QNAP TS251
• QNAP TS439 Pro
• QTSソフトウェアを搭載するその他のQNAP NASデバイス

標的となったデバイスの多くに共通しているのは、初期設定の認証情報を使用している点です。また、特に古いバージョンでは既知の脆弱性(エクスプロイト)が存在することも大きな特徴です。

VPNFilterマルウェアは感染したデバイスに何をするのか

VPNFilterは、感染したデバイスに深刻なダメージを与えるだけでなく、データ収集の手段としても機能します。その動作は次の3つのステージに分けられます。

ステージ1

この段階では、ターゲットデバイスへのインストールと永続化が行われます。マルウェアはコマンド&コントロール(C&C)サーバーに接続し、追加モジュールをダウンロードして指示を待ちます。このフェーズでは、脅威の展開中にインフラが変更された場合に備え、ステージ2のC&Cサーバーを見つけるための冗長性が複数組み込まれています。ステージ1のVPNFilterは再起動にも耐えます。

ステージ2

ここで本体ペイロードが展開されます。再起動後の永続化はできませんが、より多くの機能を備えています。ファイルの収集、コマンドの実行、データの持ち出し(データ流出)、デバイス管理などが可能です。さらに破壊的な効果として、攻撃者からのコマンドを受け取るとデバイスを「ブリック」(使用不能状態)にすることができます。これはデバイスのファームウェアの一部を上書きし、その後再起動することで実行され、デバイスは二度と使えなくなります。

ステージ3

いくつかの既知モジュールが存在し、ステージ2のプラグインとして機能します。これには、デバイスを経由するトラフィックを監視するパケットスニッファーが含まれ、Webサイトの認証情報窃取やModbus SCADAプロトコルの追跡が可能になります。別のモジュールにより、ステージ2はTor経由で安全に通信できるようになります。Cisco Talosの調査によると、あるモジュールはデバイスを通過するトラフィックに悪意のあるコンテンツを注入し、接続された他のデバイスへもさらなる影響を与えることができます。

6月6日には、さらに2つのステージ3モジュールが明らかになりました。1つ目は「ssler」と呼ばれ、ポート80を通過するすべてのトラフィックを傍受できます。これにより攻撃者はWebトラフィックを閲覧・傍受し、中間者(MitM)攻撃を実行できます。たとえばHTTPSリクエストをHTTPに変更し、本来暗号化されるべきデータを平文で送信させることも可能です。2つ目は「dstr」と呼ばれ、キルコマンドを持たないステージ2モジュールにキル機能を追加します。実行されると、デバイスをブリック化する前にマルウェアの痕跡をすべて消去します。

9月26日に新たに明らかになったステージ3モジュール

• htpx – sslerと同様に動作し、感染デバイスを通過するすべてのHTTPトラフィックをリダイレクト・検査して、Windowsの実行可能ファイルを特定・記録します。感染したルーターを経由する実行ファイルをトロイの木馬化できるため、攻撃者は同じネットワークに接続されたさまざまなマシンにマルウェアを仕込むことができます。
• ndbr – 多機能SSHツールとみなされています。
• nm – ローカルサブネットをスキャンするネットワークマッピング用のモジュールです。
• netfilter – 一部の暗号化アプリへのアクセスを遮断できるDoS(サービス拒否)ユーティリティです。
• portforwarding – 攻撃者が指定したインフラへネットワークトラフィックを転送します。
• socks5proxy – 脆弱なデバイス上にSOCKS5プロキシを確立できます。

VPNFilterの発生源が判明

このマルウェアは、国家支援型のハッカー集団によるものと見られています。当初の感染はウクライナで顕著だったため、ハッキンググループ「Fancy Bear」やロシア支援組織の関与が指摘されました。

しかし、発生源を特定できないことこそがVPNFilterの高度さを物語っています。明確な起源や特定のハッキンググループと結び付けることができず、犯行声明を出した者もまだいません。SCADAをはじめとする産業システム向けプロトコルに対する包括的なマルウェアルールや標的設定が存在することから、国家レベルの関与が強く推測されています。

FBIに聞けば、VPNFilterはFancy Bearの仕業だということになります。2018年5月、FBIはToKnowAll.comドメインを差し押さえました。このドメインは、VPNFilterのステージ2およびステージ3の設置と指令に利用されていたと考えられています。この差し押さえによりマルウェアの拡散は食い止められましたが、根本的な発生源には対処できませんでした。

FBIは5月25日の発表で、海外発の大規模マルウェア攻撃を阻止するため、家庭のWi-Fiルーターを再起動するようユーザーに緊急要請しました。当時同局は、海外のサイバー犯罪者がSOHO向けWi-Fiルーターやその他のネットワーク機器を数十万台規模で侵害したと特定しています。

一般ユーザーにとってVPNFilter攻撃は何を意味するのか

朗報です。上記のVPNFilter対象ルーターリストにお使いのルーターが含まれていなければ、この厄介なマルウェアに感染している可能性は低いといえます。ただし、念には念を入れるのが賢明です。たとえばSymantecは「VPNFilter Check」を提供しており、わずか数秒で感染の有無を確認できます。

もし実際に感染していたら?以下の手順を試してみましょう。

• ルーターを再起動し、再度VPNFilter Checkを実行する。
• ルーターを工場出荷時の設定にリセットする。
• デバイスのリモート管理設定を無効にすることを検討する。
• 最新のファームウェアをダウンロードし、クリーンインストールを行う。作業中はルーターをインターネットに接続しないのが理想的。
• 感染したルーターに接続されていたパソコンやデバイスのフルシステムスキャンを実施する。信頼できるマルウェアスキャナーと併せて、評判の良いPC最適化ツールを使うのも忘れずに。
• 通信を保護する。優れたオンラインプライバシーとセキュリティの実績を持つ高品質な有料VPNで身を守りましょう。
• ルーターやその他のIoT・NASデバイスの初期ログイン情報を定期的に変更する習慣をつける。
• ファイアウォールを導入し、適切に設定してネットワーク外からの侵入を防ぐ。
• 強力で固有のパスワードで各デバイスを保護する。
• 暗号化を有効にする。

お使いのルーターが影響を受けている可能性がある場合は、メーカーの公式サイトで最新情報や保護手順を確認するとよいでしょう。すべての情報がルーターを経由するため、これは即座に実行すべき対応です。ルーターが侵害されれば、接続されたすべてのデバイスのプライバシーとセキュリティが危険にさらされます。

まとめ

VPNFilterマルウェアは、近年の歴史においてエンタープライズ向けおよびSOHO向けルーターを襲った最も強力で頑丈な脅威の一つと言えるでしょう。当初はLinksys、NETGEAR、MikroTik、TP-Link製ネットワーク機器およびQNAP製NASデバイスで検出されました。影響を受けたルーターの詳細なリストは上記をご覧ください。

54カ国で約50万台の感染を引き起こしたVPNFilterは、決して無視できる存在ではありません。3つのステージで動作し、ルーターを使用不能にしたり、ルーターを通過する情報を収集したり、さらにはネットワークトラフィックを遮断したりします。そのネットワーク活動の検出と分析は、今なお困難な課題となっています。

この記事では、マルウェアから身を守る方法と、ルーターが侵害された場合の対処手順を紹介しました。被害は甚大になり得るため、デバイスの確認という重要なタスクを後回しにしてはいけません。今すぐお使いのルーターのセキュリティを見直しましょう。