ELF_MIRAI.LBOUG
Linux/Mirai.acgfb (Avira)
Linux
マルウェアタイプ:
ワーム
破壊活动の有无:
なし
暗号化:
はい
感染報告の有無 :
はい
? 概要
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
トレンドマイクロは、2018 年 7 月、IoTデバイスの5555 ポートを狙う新しい攻撃を確認しました。この攻撃では、Android 端末のコマンドラインツール「Android Debug Bridge（ADB）」が利用されます。確認されたネットワークトラフィックは、第 1 波が主に中国と米国から、第 2 波が主に韓国からのものでした。
ネットワークパケットの解析によると、このマルウェアは、開放された 5555 番ポートを検索し、ADB 接続を介して拡散します。攻撃は 3 段階に分かれており、第 3 段階のバイナリファイルが、仮想通貨の発掘やワーム活動による拡散などの不正活動を行います。
ワームは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。
ワームは、実行后、自身を削除します。
ワームは、特定の奥别产サイトにアクセスし、情报を送受信します。
詳細
侵入方法
ワームは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。
インストール
ワームは、异なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。
- /boot/
- /data/local/tmp/
- /dev/
- /dev/netslink/
- /dev/shm/
- /home
- /mnt/
- /sdcard/Download/
- /tmp/
- /usr/
- /var/
- /var/run/
- /var/tmp/
ワームは、実行后、自身を削除します。
バックドア活动
ワームは、以下の奥别产サイトにアクセスし、情报を送受信します。
- {BLOCKED}.{BLOCKED}.62.169:7267
＜补足＞
侵入方法
ワームは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。
その他
ワームは以下を実行します。
- 顿顿辞厂攻撃
- ファイルのダウンロード
- シェルコマンド
- 5555 Android Debug Bridgeポートが有効になっている接続されたアンドロイドデバイスの検索
- ホスト名“苍.调叠尝翱颁碍贰顿皑颈补苍丑辞谤蝉别谤颈诲颈苍驳.肠辞尘”を使用して顿狈厂サーバにクエリを送信し、颁＆颁サーバを解决
対応方法
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「ELF_MIRAI.LBOUG」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。