Necursに関するBlack Lotus Labsのリポートはウェブサイト: https://www.netformation.com/our-pov/casting-light-on-the-necurs-shadow/ を参照。

Black Lotus Labsのリーダーであるマイク・ベンジャミン氏は「Necursはボットネットのマルチツールであり、バンキング型トロイの木馬やランサムウエアを分散させるスパムボットとしても機能するほか、プロキシサービスをはじめ暗号化およびDDoS機能も備えている。特に興味深いのは、検知を回避するためにいったん姿を隠し、ホストを感染させる新しいコマンドを送るために再出現して、また消えるというNecursの定まったリズムである。このテクニックは、Necursが世界で50万以上のボットに拡大することができた多数の要因の1つである」と語った。

▽要点
^*Black Lotus Labsは2018年5月から、Necursから成る3つの最もアクティブなグループで、約3週間オン、2週間オフという定期的かつ持続的なダウンタイムを観測した。

^*Necursの約57万のボットは世界中にばらまかれ、その半数は感染順にインド、インドネシア、ベトナム、トルコ、イランに分散した。

^*Necursはドメイン・ジェネレーション・アルゴリズム（DGA）を使って、そのオペレーションを分かりにくくするとともにテイクダウンを回避する。しかし、DGAはもろ刃の剣でもある。なぜならば、Necursが使用するDGAドメインは事前に知られており、セキュリティー研究者はDGAドメインのシンクホール、DNSおよびネットワークトラフィックの分析などの方法を使って、ボットおよびコマンド・コントロール（C2）インフラストラクチャーを列挙することができる。

^*CenturyLinkは顧客に対するNecursのリスクを軽減する措置を講じるとともに、他のネットワーク所有者に潜在的に感染したデバイスを告知してインターネット保護を支援した。

追加資料
^*TheMoonがどのようにしてサービスのプロキシーに進化したかを理解する: http://news.centurylink.com/2019-01-31-TheMoon-Illustrates-Evolving-Threat-of-IoT-Botnets

^*Mylobotの第2段階攻撃に関する詳細: http://news.centurylink.com/2018-11-14-Mylobot-botnet-delivers-one-two-punch-with-Khalesi-malware

^*Satoriボットネットがどのようにして復活し、新しいターゲットを攻撃するかを理解する: http://news.centurylink.com/2018-10-29-Satori-botnet-resurfaces-with-new-targets

▽CenturyLinkについて

CenturyLink（NYSE: CTL）は、グローバルエンタープライズ顧客に対する米国第2位の通信プロバイダーである。CenturyLinkは60カ国以上に顧客を擁し、顧客体験に重点を置きながら、信頼性の高いセキュアな接続に対する顧客の増大する要求を解決することによって、世界最高のネットワーキング企業になることを目指している。同社はまた、顧客の信頼できるパートナーとして、ますます複雑化するネットワークおよびITの管理をサポートし、顧客のビジネスを守るマネジドネットワークおよびサイバーセキュリティー・ソリューションを提供している。

Logo

ソース：CenturyLink, Inc.

▽問い合わせ先
Stephanie Walkenshaw
+1 720-888-3084
[email protected]