FBI、Web カメラやその他の IoT デバイスをターゲットにした HiatusRAT マルウェアについて警告

米国連邦捜査局 (FBI) は月曜日、民間産業通知 (PIN) を発行し、中国ブランドの Web カメラや DVR に対する HiatusRAT マルウェア攻撃の新たな波について組織に警告しました。

「HiatusRAT はリモート アクセス トロイの木馬 (RAT) であり、その最新バージョンは 2022 年 7 月から使用されていると考えられます。悪意のあるサイバー攻撃者は一般的に RAT を使用して、標的のデバイスを遠隔から乗っ取って制御します。」FBIは言った。

「Hiatus キャンペーンは当初、旧式のネットワーク エッジ デバイスをターゲットにしていました。サイバーセキュリティ企業はまた、これらの攻撃者がこのマルウェアを使用して台湾を拠点とするさまざまな組織を標的にし、防衛契約提案の提出と取得に使用される米国政府のサーバーに対する偵察を行っていることを観察しています。」

2024 年 3 月に初めて特定されたこのスキャン キャンペーンは、米国、オーストラリア、カナダ、ニュージーランド、英国などの国々で、脆弱なモノのインターネット (IoT) デバイス、特に Web カメラと DVR を標的としていました。

FBI によると、HiatusRAT マルウェアの背後にいる攻撃者は、Web カメラと DVR をスキャンして、CVE-2017-7921、CVE-2018-9995、CVE-2020-25078、CVE-2021-33044、CVE-2021-36260、ベンダーが提供する脆弱なパスワードも同様です。これらの脆弱性の多くはベンダーによって対処されていないままです。

さらに、攻撃者は特に、古いかパッチが適用されていない Telnet アクセスを備えた Hikvision や Xiongmai などの中国ブランド製品をターゲットにしていました。

Web カメラの脆弱性を検出するオープンソース スキャナーである Ingram などのツールがスキャン活動の実行に使用され、一方、オープンソースのブルート フォース認証クラッキング ツールである Medusa は、Telnet アクセスで Hikvision カメラをターゲットにするために使用されました。

このマルウェアのスキャン活動は、インターネット アクセスにさらされている 23、26、554、2323、567、5523、8080、9530、および 56575 の TCP ポートを持つ Web カメラと DVR をターゲットにしました。

侵入されると、侵害されたシステムは SOCKS5 プロキシに変換され、コマンド アンド コントロール サーバーとの秘密通信が容易になり、さらなるマルウェアの展開が可能になります。

HiatusRAT マルウェア攻撃が成功したことを受け、FBI はネットワーク管理者に対し、ネットワーク侵害や横方向の移動を防ぐために脆弱なデバイスを隔離または交換することで、PIN に記載されているデバイスの使用を制限することを強く推奨しています。

同庁はまた、システム管理者やサイバーセキュリティ専門家に対し、侵害の兆候（IOC）を監視し、不審な行為があればFBIのインターネット犯罪苦情センターまたは現地事務所に報告するよう呼び掛けた。