Dark Frost の謎：予想外の広がりを見せるボットネット作者のプロファイル

Dark Frost ボットネットの興味深いストーリーを追っていくと、成功率と独創性が一致しないという理解しがたい攻撃者の姿が浮き彫りになります。いわゆる有り合わせのボットネットは、複数の一般的なマルウェア（Mirai、Gafgyt、Qbot など）からコードを流用して作成されており、攻撃者は ゲーム業界 業界に対してかなりの成果を上げています。 

全体を通じて、攻撃者はソーシャルメディアで自らの犯罪行為を誇らしげに拡散し、ボットネットを利用してささいなオンライン抗争に加担し、バイナリにデジタル署名まで残しています（図 1）。 

この脅威プロファイルは、想像以上の広がりを見せています。確固たる決意と基本的なコーディング知識があれば、ほぼ誰でも実際に脅威になる可能性があります。特に、こうした行為がもたらす結果に考えが至らない若年層が攻撃者になる可能性は十分にあります。法律をかいくぐるという自信は、法律に従う生き方より魅力的に映るため、こうした攻撃者は予想より危険な存在になります。

最初の Dark Frost バイナリサンプルが収集されたのは、2023 年 2 月 28 日です。収集場所はいくつかの Akamai SIRT（Security Intelligence Response Team）の HTTP ハニーポットでした。攻撃者は、Hadoop YARN サーバー（CVE が未割り当て）の設定ミスをリモートコード実行（RCE）に利用しました。このサンプルの名称は "Darkness ボットネット"となる予定でしたが、これは DDoS-for-hire キャンペーンで使用済みでした（ 2010 年）。その結果、オリジナルの名前を使用し、他のバイナリリファレンスも考慮して、「Dark Frost ボットネット」と呼ぶことにしました。

この YARN の設定ミスを悪用する攻撃の使用事例が 最近になって増加しています。 これは、CVE が未割り当てであり、攻撃者がサーバーを欺いて悪性バイナリをダウンロードさせ、実行させることができるからです。しかし、この脆弱性は 2014 年から存在していたため、新たな攻撃手法とは言えません。しかし、その成功率を見ると、登場から数年経過しているにもかかわらず、今後のボットネットの 1 要素になると考えられます。 

攻撃者は、まずプローブを送信し、アプリがこの種の攻撃に対して脆弱かどうかを確認しました（図 2）。

私たちが用意した既知の脆弱性インスタンスからの応答を受信した攻撃者は、標的にふさわしいと判断し、悪性のペイロードを送信する段階に移行しました（図 3）。

私たちは、別の HTTP リクエストが送信されていることも確認しましたが、その時点では、それが何の目的で使用されているかわかりませんでした（図 4）。

当初のファイルで見ると、バイナリは「roof」という名称でした。ハッシュはさまざまなサードパーティツール経由でレピュテーションなしの状態でしたが、社内オートメーションは、Gafgyt との類似性を認めました（図 5）。これは、ここ数か月間、Gafgyt 固有のバリアントから Dark Frost バイナリへと発展する配信に攻撃者 IP が登場したという事実がまず 1 点、さらに最近の多くのマルウェアに見られる文字列との共通点があったという点が理由です。 

IP アドレスにアクセスして追加のバイナリを探したところ、「roof」という名前がさらに見つかり、いずれも 2022 年 10 月から同じ作者が使用していたことがわかりました。調査対象の新たな IP を得て、ペイロード配信のさらなる試みの証拠を掴むことができました（図 6、人種的観点から検閲済み）。

この攻撃者は、さまざまなレベルの証拠から、多くの攻撃を実行したと主張しています。ソーシャルメディアに単純に投稿したり、さまざまな問題の原因だと主張していますが、こうした事実はそれほど重視していません。しかし、攻撃の結果をまとめたスクリーンショットで補足することもあります。 

たとえば、これは Plutonium サーバーへの攻撃に関するツイートです（図 7）。Plutonium は専用サーバーと Mod サポートを提供するオープンソースゲーム運営プラットフォームです。

こうしたツイートは始まりにすぎませんでした。攻撃者は、AmongUs サーバーへの攻撃など、攻撃の完全な動画も投稿しています（図 8）。

スクリーンショットからも、この攻撃者が一定期間はアクティブに活動していることがわかり、記録から彼らが Rogue Company サーバーを攻撃した 2022 年 5 月までさかのぼることができました（図 9）。

さらに、攻撃者が一部の被害者を嘲り、購入者に関する情報を開示していることも確認しました（図 12）。

マルウェアを分析する際に、誰がその攻撃を仕掛けているのか、何を標的にしているのか、ボットネットはどの程度の規模なのかという質問には答えづらいものです。このサイバー犯罪者については、最初の 2 つの質問の答えを得ることができました。そこで、3 つ目の質問に彼らがどのように答えるのか調査を進め、その答えを得ました。

図 13 は、2023 年 2 月にマルウェア作者が撮影したスクリーンショットです。ボットネットのデバイス数は 414 台、その多くは ARMv4 アーキテクチャであり、MIPSEL と x86 が続いているのがわかります。かなり古いアーキテクチャの ARMv4 の存在は、特に興味深い事実と言えます。この手法は ARMv4 と ARMv7 向けにコンパイルされていますが、ARMv4 は ARMv5 および ARMv6 と互換性があるため、これが通常です。ARMv4 と ARMv7 向けにコンパイルすることで、マルウェアは ARMv7 アーキテクチャで稼働するより新しい世代のデバイスも標的にすることができます。 

このデュアル標的アプローチにより、マルウェアは広範囲に攻撃を仕掛けることができ、デバイス感染の可能性を高めることができます。

自動化されたバイナリ収集システムに対応していない場合、バイナリを直接取得するのは困難です（図 14）。調査の段階では、配信 IP はすでに廃止されているからです。 

サンプルを取得すると、x86-64 バージョンを処理していることがわかりました（図 15）。これは断片化してしてリバースするときに多少不便です。

しかし、エラーハンドリングや使用メッセージなど、他の多くのインジケータは私たちをコード内に導いています（図 16）。

合計 8 回の攻撃があり、そのうち UDP や TCP などの攻撃が非常に一般的でしたが、 zgoflood を除いて、Bitdefender によって発見されたものと大きく異なるようには見えません（図 17）。

サンプルをリバースする中で、断片化したいくつかの関数の名前を、その用途を推測できる名前に変更できました（図 18）。

次に、IP がコマンド & コントロール（C2）サーバーになるように、バイナリにパッチを適用しました（図 19）。文字列変数の名前が実際の値とは異なる名前になっていることがわかります。興味深いことに、C2 はこの変更前にマルウェア配信 IP でもありました。

別の端末を使用して指定された C2 ポート（TCP/420）をリスンすることで、C2 接続チェックを渡すことができましたが、プログラムはエラーで終了したようです（図 21）。

マルウェアは、デバイスを感染させたマルウェアサンプルの OS タイプとアーキテクチャを返そうと試みています（図 22）。ここで、私たちは Arch Linux を使用して x86 サンプルを破壊し、切断します。

接続および登録ステップを正常に渡し、全力を尽くしたにもかかわらず、プログラムは終了し続けました。ヒントとなるいくつかのエラーメッセージでは、私たちのマルウェアラボに Watchdog ドライバがインストールされていないことが原因となっていました。このチェックを回避または満たすように何度も試しましたが、そこで気付いたことは、プロセスはコマンドラインで実行を停止したように見えますが、実はバックグラウンドで子プロセスが起動し、コマンド待ちの状態になっていました。 

確認のために、C2 通信用のインターネットリレーチャットを使用して、一般的な BASHLITE バリアントのハートビートを送信しました（図 23）。

socketflood や junkflood 攻撃も同様です。いずれも 16 進数でエンコードされた少量のコンテンツを TCP 経由で送信します（図 25）。もう 1 つ注意すべき点として、 socketflood 攻撃は、実際には HOLD flood と表記されることです。 

C2 コマンドをテストすると、@c2 としてリストに表示され、使用エラーが表示されました。これは !c2 を意味すると判断して実際に試し（図 26）、パケットを 1 つだけ送信しました。

onepacket、 std、 randflood、 zgoflood 攻撃も正常に起動できましたが、何のデータも送信できませんでした（図 27）。つまり、これらの機能はまだ開発中か、単に破損しているだけの可能性があります。

私たちは攻撃のベンチマーク作業を開始し、UDP flood が最も安定性が高く、最大の出力を発揮することを突き止めました。パケットサイズが合計データ送信量にどのように影響するかを確認するために、1024 からさまざまなパケットサイズを試しました。

図 28 のように、このテストを特定のポートで 10 秒間実行し、このデータを tcpdump で収集して結果を分析しました（図 29）。

1,024 のパッケージサイズで 10 秒間送信すると、140 万パッケージが取得され、合計 1.5GB のデータが出力されました。つまり、1.2 Gbps となります。このサンプル実験を通じて、さまざまなパケットサイズで以下のような結果が得られました（表 1）。

このテストを実行したことで、攻撃者がこの攻撃を仕掛けるときに最も一般的に使用するパケットサイズが約 1,024 であることがわかりました。サイズが 2 倍になると、パケット出力は減少します。これはパケットのフラグメントが原因です。つまり、フラグメントではなく、指定したポートを通過するパケットしか観測していないということです。ベンチマークを正しく続行するために、こうした攻撃をループバックで実行してフラグメントを防ぎ、ループバックインターフェースをリスンして再測定する必要がありました（表 2）。 

Dark Frost ボットネットは、多くのオンラインサービスを機能停止に追い込むほど強力ですが、Akamai で保護された組織は安全です。SIRT は、そうした脅威を継続的に監視し、自らの観測結果をコミュニティーに警告します。Akamai のリアルタイム調査の詳細については、 Twitter で Akamai をフォローしてください。