China

かつてVolt Typhoonなどの中国の脅威アクターと関連付けられていたマルウェアネットワーク「JDYボットネット」は、標的の範囲と偵察活動を大幅に拡大している。

その活動を監視してきたLumen傘下のBlack Lotus Labsの研究者によると、JDYは米国に依然として強い関心を寄せており、同国には感染したデバイスの多くが存在するほか、軍や関連ネットワークを重点的に標的としている。

同セキュリティ企業によると、JDYは2024年1月の約650台のアクティブボットから、現在では1,500台以上の侵害されたSOHO（小規模オフィス・ホームオフィス）およびIoTデバイスへと拡大している。

image

この数字は少ないように見えるが、JDYは火力を蓄積するために大規模な群れを必要とするエクスプロイト・フレームワークやDDoSボットネットではなく、新たに公開された脆弱性に対して脆弱な標的をオペレーターが特定するのを支援する、分散型のスキャンおよびフィンガープリンティング・ネットワークである点に留意する必要がある。

「この活動の分析からは、脆弱性が公開された直後に脆弱なインフラを特定することに明確な焦点が当てられていることが示されており、中国と関連する高度持続的脅威（APT）アクターによって、偵察結果が迅速に実戦運用化されていることを示唆している」と、Black Lotus Labsのレポートには記されている。

「この標的を絞った活動は幅広い分野で観測されており、中でも米軍および関連組織が最も顕著である。」

Most impacted countries by the JDY botnet
JDYボットネットによる影響が最も大きい国々
出典：Black Lotus Labs

CISAは以前、Volt Typhoonの工作員が保護されていないSOHOルーターに及ぼすリスクについて警告し、ネットワーク機器ベンダーに対し、設計および開発段階でSOHOルーターのWeb管理インターフェース（WMI）の脆弱性を排除するよう強く求めていた。

JDYボットネットは、サービス検出、サービスバナーの取得、TLS証明書の収集、プロトコルのフィンガープリンティング、および脆弱性を標的とした偵察を行うように設計されている。

侵害されたデバイスには、Cisco、Araknis、Mimosa Networks、Ubiquiti、DrayTek、Hikvision、Linksys製のものがあり、MIPS、MIPS64、MIPSEL、MIPSEL64アーキテクチャに対応しています。

攻撃者は新たに公開された脆弱性を即座に標的にしており、FortinetがFortiClient EMSの脆弱性を公表した直後、Lumenの研究者はCVE-2026-35616を標的としたJDYのスキャンを確認しています。

JDY targeting volume on a specific date
特定の日付におけるJDYの標的型攻撃の件数
出典：Black Lotus Labs

オペレーターは、コマンド＆コントロール（C2）インフラとしても機能する隠蔽されたTorサービスを通じてボットネットを制御している。また、オープンソースのリバースシェルおよびホスト管理フレームワークであるPlatypusも、一部のケースで使用されている。

JDY network overview
JDYネットワークの概要
出典：Black Lotus Labs

このマルウェアは中央の「Dispatch Service」に登録し、スキャン任務を受け取ると、それを実行して結果を圧縮し、C2に送信する。

スキャンモジュールは以下をサポートしている：

  • TCPスキャン
  • SSL/TLSスキャン
  • UDPスキャン
  • ICMPプロービング
  • バナー収集
  • TLS証明書の収集
  • ダウンロード可能なルールセットを使用したサービスのフィンガープリント

ボットネットのクライアントは、オペレーターから停止するよう具体的な指示があるまで、同じサイクルを繰り返します。

TCP スキャン機能は技術的に最も興味深いものの 1 つであると研究者らは述べ、JDY が十分な権限を持っている場合、はるかに高速かつステルス性の高い生の SYN スキャンを実行すると説明している。

「マルウェアが raw ソケットを開くことができれば（これには通常、root または管理者権限が必要）、特注の TCP パケットを使用して高速 SYN スキャンを開始します」と、報告書は説明しています。

「これらのカスタムパケットは、送信元ポートを19000に固定し、宛先ポートを1つずつ増やしながら、数千ものスキャン対象をバッチ処理する。」

Code snippet handling the raw SYN scanning
RAW SYNスキャンを処理するコードスニペット
出典：Black Lotus Labs

JDYボットネットの活動が活発化する中、組織はルーター、ファイアウォール、IoTデバイスが最新のセキュリティ更新プログラムやパッチを適用していることを確認し、これらのデバイスが偵察ネットワークに組み込まれるのを防ぐ必要があります。

また、防御側は、インターネットに公開されている不要な管理インターフェースを無効化し、リモート管理へのアクセスを制限し、デフォルトの認証情報を変更し、エッジデバイスから発信される異常なアウトバウンドスキャン活動を監視することで、外部からの攻撃対象領域を縮小する必要があります。