Linux SSH サーバーを対象に拡散している SuperShell マルウェア

AhnLab Security Emergency response Center (ASEC)では最近、管理が適切に行われていない Linux SSH サーバーを対象にバックドアマルウェアである SuperShell をインストールする攻撃事例を確認した。SuperShell は中国語を使用する開発者により製作されたもので、Go 言語で開発され Windows や Linux、Android を含む様々なプラットフォームに対応している。実質的な機能はリバースシェルであり、攻撃者はこれを利用して感染システムを遠隔操作できる。

攻撃者は、複数のシステムを感染させたあと、スキャナーをインストールしたものと推定され、以下のような攻撃元から辞書攻撃によってログインを試みた。

攻撃に成功したあとは、以下のようなコマンドを実行して直接 SuperShell をインストールするか、ダウンローダー機能を担うシェルスクリプトをインストールした。SuperShell は Web サーバーだけでなく、FTP サーバーを通じてもダウンロードされた。

最終的にインストールされたマルウェアは難読化されているが、少数の内部文字列と動作方式、そして実行プロセスで確認できる文字列を通じて、SuperShell バックドアであることが確認できる。

一般的に、管理が適切に行われていない Linux システムを対象とする攻撃では XMRig のようなコインマイナーや ShellBot、Tsunami のような DDoS Bot がインストールされる傾向がある。今回確認された攻撃で、攻撃者は操作権限の奪取目的で、まず SuperShell をインストールした。もちろん SuperShell と同時に XMRig モネロコインマイナーをインストールする事例が確認されていることからも、最終目的は仮想通貨の採掘であると見られる。

最近、管理が適切に行われていない Linux SSH サーバーを対象に、SuperShell バックドアがインストールされている。SuperShell がインストールされると、Linux サーバーは攻撃者のコマンドを受け取り操作権限を奪われることがある。

そのため、管理者はアカウントのパスワードを推測が困難な形式で設定し、定期的にパスワードを変更することで、総当たり攻撃や辞書攻撃から Linux サーバーを保護する必要があり、セキュリティパッチを最新にして脆弱性攻撃を防止するべきである。また、外部に公開されていてアクセスが可能なサーバーに関してはファイアウォールのようなセキュリティ製品を利用し、外部の攻撃者からのアクセスを統制しなければならない。最後に、V3 を最新バージョンにアップデートしてマルウェアへの感染を事前に遮断できるように注意を払う必要がある。

検知名
Backdoor/Linux.CobaltStrike.3753120 (2024.09.11.00)
Downloader/Shell.Agent.SC203780 (2024.09.11.00)
Downloader/Shell.ElfMiner.S1705 (2021.11.29.02)

IOC 関連情報

MD5

4ee4f1e7456bb2b3d13e93797b9efbd3

5ab6e938028e6e9766aa7574928eb062

e06a1ba2f45ba46b892bef017113af09

URL

http[:]//45[.]15[.]143[.]197/sensi[.]sh

http[:]//45[.]15[.]143[.]197/ssh1

http[:]//45[.]15[.]143[.]197/x64[.]bin

http[:]//45[.]15[.]143[.]197[:]10086/supershell/compile/download/ssh

http[:]//45[.]15[.]143[.]197[:]44581/ssh1

追加 IoC は ATIP で提供しています。

IP

107[.]189[.]8[.]15

179[.]61[.]253[.]67

2[.]58[.]84[.]90

209[.]141[.]60[.]249

45[.]15[.]143[.]197

追加 IoC は ATIP で提供しています。