[論文レビュー] Hey, you, keep away from my device: remotely implanting a virus expeller to defeat Mirai on IoT devices

Chen Cao, Le Guan+4 more|arXiv (Cornell University)|Jun 19, 2017

Advanced Malware Detection Techniques参考文献 11被引用数 7

ひとこと要約

本論文では、制御された再起動と「ホワイト」型ミライトラバーサルを模倣したウイルス駆除プログラムを活用することで、製造元が運営するサーバーを介して、脆弱なIoTデバイスからリモートでミラウイルスを排除する協働的かつ人間が関与する防御機構を提案する。このシステムは、ミラウイルスのアクセスポートをブロックし、ハートビートチェックによって恒久的で、再起動後に再感染を防ぐことで、最小限のユーザーの作業でミラウイルスを効果的に排除する。また、アクティブなスキャンや、合意された時間枠を超えた不正なデバイス改ざんを伴わない。

ABSTRACT

Mirai is botnet which targets out-of-date Internet-of-Things (IoT) devices. The disruptive Distributed Denial of Service (DDoS) attack last year has hit major Internet companies, causing intermittent service for millions of Internet users. Since the affected devices typically do not support firmware update, it becomes challenging to expel these vulnerable devices in the wild. Both industry and academia have made great efforts in amending the situation. However, none of these efforts is simple to deploy, and at the same time effective in solving the problem. In this work, we design a collaborative defense strategy to tackle Mirai. Our key idea is to take advantage of human involvement in the least aggressive way. In particular, at a negotiated time slot, a customer is required to reboot the compromised device, then a "white" Mirai operated by the manufacturer breaks into the clean-state IoT devices immediately. The "white" Mirai expels other malicious Mirai variants, blocks vulnerable ports, and keeps a heart-beat connection with the server operated by the manufacturer. Once the heart-beat is lost, the server re-implants the "white" Mirai instantly. We have implemented a full prototype of the designed system, and the results show that our system can evade Mirai attacks effectively.

研究の動機と目的

• ファームウェア更新機能がなく、かつ通常の方法では到達できないミラウイルスに感染したIoTデバイスの修復を課題とする。
• 受動的でユーザーの協力が得にくいリcallやカスタマーサポートのアプローチに起因する低スケーラビリティの問題を克服する。
• 導入が簡単で、ミラウイルスの駆除に効果的であり、かつ過去の「ホワイト」ミラウイルス手法が抱えるリソース枯渇や法的リスクを回避する防御機構を設計する。
• ユーザーの協力による再起動とサーバー側での自動的再インストールを連携させることで、標的デバイスに対する決定的で繰り返し可能な修復を実現する。

提案手法

• 製造元が運営するインプラントサーバーが、合意された再起動ウィンドウ内に、クリーン状態のIoTデバイスをリモートで検出し、『ウイルス駆除プログラム』をインストールする。
• ウイルス駆除プログラムは、ミラウイルスがよく利用するポート（例：Telnet（ポート23））をすべて閉じることで、再感染を防ぐ。
• ハートビートメカニズムにより、ウイルス駆除プログラムが正常に稼働していることを保証する。ハートビートが失われる（例：再起動後に）と、サーバーがスキャンとロードプロセスを介して再インストールをトリガーする。
• システムは、インターネット全体をスキャンするのではなく、ユーザーの協力を得て、インストール可能な予測可能な時間枠を確保することで、スキャン負荷を低減する。
• ウイルス駆除プログラムは、軽量かつ侵襲的でない設計となっており、スキャンや拡散モジュールを含まないため、制限されたデバイス上のリソース消費を最小限に抑える。
• 本ソリューションは、実際のIoTデバイスを用いた完全なプロトタイプにより評価され、正常なインストール、ポートブロッキング、再起動後の再インストールが成功したことが確認された。

実験結果

リサーチクエスチョン

• RQ1 最小限のユーザー行動で、アクティブなスキャンや不正なデバイスアクセスなしに、ミラウイルスを脆弱なIoTデバイスから効果的に排除できる協働的防御機構は実現可能か？
• RQ2 デバイスの再起動後に、ウイルス駆除プログラムをどのように確実に再インストールできるか？
• RQ3 ミラウイルスが露出しているポートを閉じることで、正当なデバイス機能にどのような影響が生じるか。その影響をどのように軽減できるか？
• RQ4 ブルートフォーススキャンや自己拡散を回避するシステムでも、実世界での展開において十分な有効性を発揮できるか？
• RQ5 消費者デバイスにリモートで防御コードをインストールすることの法的・倫理的影響は何か。それらはどのように解決できるか？

主な発見

• プロトタイプは実際のIoTデバイスにウイルス駆除プログラムを正常にインストールでき、本システムが実用的かつ導入可能であることを確認した。
• ウイルス駆除プログラムは、Telnet（ポート23）など脆弱なポートをブロックすることで、ミラウイルスのアクセスを効果的に遮断し、再感染を防いだ。
• デバイスの再起動後、ハートビートメカニズムがウイルス駆除プログラムの喪失を検知し、サーバーがスキャンとロードサービスを介して正常に再インストールした。
• システムは決定的動作を示した：再起動後に確実に再インストールが行われ、継続的な保護が保証された。
• スキャンおよび拡散モジュールを排除することで、過去の「ホワイト」ミラウイルス手法が抱えるリソース消費と法的リスクを回避した。
• 制御された環境下で本ソリューションは効果的であった。ユーザーの協力による再起動と、サーバー側での自動再インストールにより、ミラウイルスに感染したデバイスに対する信頼性の高い非侵襲的修復が可能であることが示された。