[追記あり][セキュリティ][脆弱性]VPNFilterというマルウェアが猛威を振るっています

昨日のことになりますが、Ciscoのセキュリティ部門であるTalosが、高度なモジュール式マルウェア「VPNFilter」による脆弱性を狙ったものが、世界54カ国で50万台以上のルータなどに感染を広げていると報告しています。

概要

どうやらLinuxベースの機器を狙っているようで、 LinksyやMikroTik、NETGEAR、TP-Link などのSOHO向けのネットワーク機器やQNAPなどのNASがその標的になっているようです。

具体的な内容についてはCisco Talosのblogや、Symantecなどが詳細な解説記事を掲載しています。

Mikrotikの対象機器はSymantecによると、RouterOS搭載機器全てではないようで、Cloud Core Routerがその対象だとしています。Tilera関連のコードがやられたということでしょうか。

このことについては、Mikrotikもステートメント（声明）を公開しています。

ステートメントによると、2017年3月公開のバージョンでこの脆弱性対応は行われているとのことです。具体的には以下のバージョンが最低要件になります。

What’s new in 6.38.5 (2017-Mar-09 11:32):
!) www – fixed http server vulnerability;

What’s new in 6.37.5 (2017-Mar-09 11:54):
!) www – fixed http server vulnerability;

CCRに限らず、このバージョン未満のRouterOSで稼働しているものがあれば、これ以外のセキュリティの懸念もありますので、できる限り最新のものを適用するようにしてください。

現在最新のバージョンは以下になります。

MikroTik Routers and Wireless – Software
https://mikrotik.com/download

ちなみに、

VPNfilterという名前は、見つかったマルウェアのコードネーム（具体的には、偽の実行可能ファイル名）にすぎません。このツールの操作方法は、VPNトンネルとは関係ありません。基本的には、マルウェアは特定の種類のトラフィックを傍受してどこかに送信するか、ルーターを破壊する可能性があります。

とのことです。

どうやら新たな攻撃モジュールが発見されたようです。

前回までであれば、対象端末を再起動することで感染を一時的に止めることができたようですが、今回発見された手口では、特別に作成されたパケットを送信し、自らを再び感染させるよう命令することが可能ということです。

またこれに伴い、対象機器が増えています。MikrotikもCCRだけだったのですが、一部のCRSや大部分のRouterboardシリーズも対象になりました。

今回発見された感染経路や攻撃の手口については、Cisco TalosのWebサイトを確認してください。

今のところ、Mikrotikの公式のステートメントは更新されていません。