JDYボットネットの成長がIoTおよびSOHOの脆弱性の迅速なエクスプロイトを可能にする

概要

Black Lotus Labsは、中国に関連付けられたJDYボットネットの新たな活動を特定しました。これは、1,500以上の侵害されたSOHOおよびIoTデバイスからなるネットワークで、大規模なスキャンとフィンガープリンティングに使用されています。このボットネットは中央集権的な指令制御システムから指示を受け、ターゲットを絞ったマルチプロトコルスキャンを実行し、運用者が最近開示された脆弱性を迅速に利用できるような構造化されたテレメトリを返送します。インフラストラクチャはTorを通じて隠され、感染したデバイスを管理するためにPlatypusというオープンソースプラットフォームが使用されています。活動はアメリカの軍事および重要インフラのターゲットに焦点を当てられています。

調査

調査では、JDYトラフィックが 149.248.3.38のペイロードサーバに追跡され、 13339ポートでPlatypusサービスをホストしていることが判明しました。そして、 busybox, curlまたは wgetを介してアーキテクチャ固有のバイナリを取得するbashベースのドロッパーが見つかりました。マルウェアサンプルの調査では、コマンドラインオプション、ビーコンの振る舞い、暗号化されたHTTPSエンドポイントを通じたタスクの取得、および生パケットSYNプロービングといった適応スキャン手法が特定されました。また、この報告はJDYを以前のKVボットネットと関連付け、中国のAPTグループVolt Typhoonと関連付けています。

対策

推奨される防御策としては、中国関連の隠密インフラに対抗するためのU.K. NCSCおよびCISAのガイダンスに従うこと、ルータとIoTファームウェアを強化すること、デバイスを定期的に再起動およびパッチを適用すること、またSASEや同様のコントロールを使用して外部への露出を減らすことです。セキュリティチームはまた、見慣れないIPアドレスへの異常なTLSセッションや内部エッジデバイスからの予想外のスキャン活動を監視すべきです。

対応

JDYの活動が検出された場合は、直ちに影響を受けたデバイスを隔離し、特定された指令制御IPとポートへの外部トラフィックをブロックし、悪質なバイナリを削除してください。検出内容には auditdy プロセス名とPlatypusサービスが含まれるべきで、その後、同じビーコンパターンを示す他のIoTデバイスを大規模にネットワーク検索します。その後、ファームウェアを更新し、レポートで言及されたFortinetデバイスを含む露出された脆弱な製品にパッチを適用します。

シミュレーション実行

前提条件: テレメトリ＆ベースラインの事前チェックに合格している必要があります。

理由: このセクションでは、検出ルールを引き起こすために設計された攻撃者技術（TTP）の具体的な実行を詳細に解説しています。コマンドとナarrarrdティブは、特定されたTTPを直接反映し、検出ロジックで期待される正確なテレメトリを生成することを目的としています。

• 攻撃の解説とコマンド:
  JDYの操作員は、ハードコーディングされたサーバー（149.248.3.38）から次のステージのペイロードを取得したいと考えています。C2チャネルを隠すために、操作員はTor経由での接続も試み、「tor」正規表現がフラグを立てることを期待しています。侵害されたWindowsホストで、攻撃者はペイロードサーバーにTCPソケットを開くPowerShellのワンライナーを実行し、隠しサービスを解決して接続するためにTorの実行ファイル（tor.exe）を使用します。両方のアクションは、Sigmaルールを満たすべきアウトバウンドファイアウォールイベントを生成します。

• リグレッションテストスクリプト:

  # JDYボットネット活動のシミュレーション - Sigmaルールをトリガー
  # -------------------------------------------------------
  # 1. 既知のペイロードサーバーへの直接接続
  $payloadIp = "149.248.3.38"
  $payloadPort = 80
  try {
      $sock = New-Object System.Net.Sockets.TcpClient($payloadIp, $payloadPort)
      Write-Output "JDYペイロードサーバーに接続しました ($payloadIp:$payloadPort)"
      $sock.Close()
  } catch {
      Write-Error "ペイロードサーバーへの接続に失敗しました: $_"
  }
  
  # 2. Torを用いた接続（ホスト名に「tor」を含むものによるシミュレーション）
  #    Tor.exeがPATHにあり、127.0.0.1:9050でTOR SOCKSプロキシがリスニングしていると仮定
  $torDest = "exampletorhiddenservice.onion"
  $torPort = 443
  $torProxy = "127.0.0.1:9050"
  try {
      $script = @"
      $client = New-Object System.Net.Sockets.TcpClient
      $client.Connect("$torDest", $torPort)
      "@
      # 実際には、これはTor対応のリゾルバーを必要とします；ここではログ可能なイベントを発生させるだけ
      Write-Output "Tor接続を試みています $torDest:$torPort を経由して $torProxy"
  } catch {
      Write-Error "Tor接続に失敗しました: $_"
  }
  
  # シミュレーションの終了 - ファイアウォールは2つのアウトバウンド試行を記録したはずです

• クリーンアップコマンド:

  # 残った接続や一時ファイルを削除
  Get-NetTCPConnection -RemotePort 80,443 | Where-Object { $_.RemoteAddress -eq "149.248.3.38" } | Remove-NetTCPConnection -Force
  # (tor.exeが開始されていた場合は、停止)
  Stop-Process -Name "tor" -ErrorAction SilentlyContinue