マルウェアMiraiの動作｜情報処理安全確保支援士 平成30年 秋期午前Ⅱ試験 問11
出典：平成30年秋期 午前Ⅱ 問11
分野：セキュリティ ／ 情報セキュリティ
マルウェアMiraiの動作はどれか。
- ア：IoT機器などで動作するWebサーバの脆弱性を悪用して感染を広げ，WebサーバのWebページを改ざんし，決められた日時に特定のIPアドレスに対してDDoS攻撃を行う。
- イ：Webサーバの脆弱性を悪用して企業のWebページに不正なJavaScriptを挿入し，当該Webページを閲覧した利用者を不正なWebサイトへと誘導する。
- ウ：ファイル共有ソフトを使っているPC内でマルウェアの実行ファイルを利用者が誤って実行すると，PC内の情報をインターネット上のWebサイトにアップロードして不特定多数の人に公開する。
- エ：ランダムなIPアドレスを生成してtelnetポートにログインを試行し，工場出荷時の弱いパスワードを使っているIoT機器などに感染を広げるとともに，C&Cサーバからの指令に従って標的に対してDDoS攻撃を行う。
TSUNAGARU-ADVICE
まず押さえたいこと
Miraiは、IoT機器を標的にした代表的なマルウェアです。ランダムなIPアドレスに対してtelnetポートへのログインを試み、工場出荷時の弱いID・パスワードを使っている機器に感染を広げます。感染後は、C&Cサーバからの指令に従ってDDoS攻撃を行う点が特徴です。
迷ったときの判断軸
Webページの改ざんや不正JavaScriptの挿入は、Webサイト改ざんやドライブバイダウンロードなどに近い説明です。ファイル共有ソフトを通じて情報を公開する説明もMiraiの特徴ではありません。Miraiは、IoT機器・telnet・初期パスワード・ボットネット・DDoSをキーワードに判断しましょう。
科目Bにつなげるために
科目Bでは、IoT機器の初期設定・不要サービスの停止・telnetの無効化・強固なパスワード設定・外部公開範囲の制限・C&C通信の検知などが問われることがあります。Mirai対策では、単にマルウェア対策ソフトを入れるだけでなく、IoT機器をインターネットから不用意に到達可能にしない視点を持ちましょう。
Miraiは、インターネットに接続されたIoT機器を探索し、telnetなどの管理用ポートに対してログインを試みるマルウェアです。
工場出荷時のままの利用者名・パスワードや、容易に推測できる認証情報を使っている機器へ感染を広げ、ボットネットを形成します。感染した機器はC&Cサーバからの指令を受け、標的に対して大量の通信を送り付けるDDoS攻撃に利用されます。
したがって、エが適切です。
❌他選択肢が誤りの理由ア：IoT機器などで動作するWebサーバの脆弱性を悪用して感染を広げ，WebサーバのWebページを改ざんし，決められた日時に特定のIPアドレスに対してDDoS攻撃を行う。
⇒Miraiは、主に弱い認証情報を用いてIoT機器へ不正ログインし、感染を拡大します。Webページの改ざんを主目的とするマルウェアではありません。
イ：Webサーバの脆弱性を悪用して企業のWebページに不正なJavaScriptを挿入し，当該Webページを閲覧した利用者を不正なWebサイトへと誘導する。
⇒Webサイト改ざんや水飲み場型攻撃に関する説明です。Miraiは、WebページにJavaScriptを挿入して利用者を誘導するのではなく、IoT機器をボット化してDDoS攻撃に利用します。
ウ：ファイル共有ソフトを使っているPC内でマルウェアの実行ファイルを利用者が誤って実行すると，PC内の情報をインターネット上のWebサイトにアップロードして不特定多数の人に公開する。
⇒ファイル共有ソフトを介して感染し、PC内の情報を漏えいさせるマルウェアの説明です。Miraiの主な感染対象はIoT機器であり、弱い認証情報を悪用して感染を拡大します。