それは、ジョニー・プラットが期待していたようなクリスマスプレゼントではありませんでした。
去る12月、英国のサイト分析ソフトウェア企業「SEO Scout」の創業者は、通常は月額約300 ドルのAmazon Web Services（AWS）のクラウドコンピューティング利用明細に、45,000 ドルの請求が記載されているのを見て「愕然とした」と述べています。 ある「詐欺師」が、単純なハッキング手法を用いて自社のクラウドホスティングアカウントに不正アクセスし、いわゆる「コインマイニング」を通じて仮想通貨を生成することだけを目的として、サーバーの処理能力を盗んだようです。
ハッカーが手に入れたものは？ 推定で6 のモネロ（）で、当時の価値はわずか1,100 ドルに過ぎませんでした。
「なんてもったいないことでしょう」と、プラット氏はツイッターの投稿に記しました。 「この罠に引っかかってしまう［中小企業］の大半は、突然45,000 ドルの請求書が突きつけられただけで、倒産してしまうでしょう。」 「正直言って、本当に怖いです。」
最終的にAWSにその請求額を帳消しにするよう説得することに成功したプラット氏は、仮想通貨のマイニングのためにシステムを乗っ取られた事業主の数が急増している中の一人です。 Indeed, Malwarebytes reports
a 300% increase in cryptomining malware in 2021. SonicWall saw
51 million attacks during the first half of the year. また、Googleによると、
50 件のGoogle Cloudへの不正アクセス のうち86％が、仮想通貨のマイニングに利用されていました。
「クリプトジャッキング」とも呼ばれるコインマイニングによるハッキングは、多くのITセキュリティ部門の監視の目をすり抜けてしまうことがよくあります。 その理由の一つは、 ランサムウェア や、 分散型サービス拒否攻撃 (DDoS) といった、よりよく知られた脅威ほど壊滅的な被害をもたらす可能性が高くないためです。 しかし、それはまた、こうしたハッカーたちがネットワークに侵入し、できるだけ長く、かつ気づかれないように潜伏しようとするからです。
銀行が見落としているわずかな小銭を横取りする方法を編み出し、その過程で数百万ドルを盗み出す泥棒たちのように、クリプトジャッカーたちは、数万台ものサーバーを操って違法な行為を行わせることで、その目的を達成しているのです。
コインマイナーは、クリプトジャッキングでどのように収益を得ているのでしょうか
大規模なハッキングこそが、犯罪者がコインマイニングで実際に利益を得る唯一の手段です。
正当な起業家にとって、コインのマイニングとは、高性能なコンピューターを用いて極めて複雑な数学的問題を検証・解決するという骨の折れるプロセスであり、その結果はデジタル台帳、すなわちブロックチェーン上に記録・追跡されます。 マイナーが
の問題を解くたびに、デジタルコインが報酬として与えられます。 適切な機材と忍耐力があれば、起業家の方々は
を通じて、この方法で
ほどの手堅い収入を得ることができます。
「この罠に引っかかった人の［ほとんど］は、突然の45,000 ドルの請求書によって破滅してしまうでしょう。 正直言って、本当に恐ろしいですよ。”ジョニー・プラット、SEO Scout創業者
しかし、サイバー犯罪者は一般的に、数百万ドル規模の巨額の利益を好む傾向があります。 彼らにとって、成功への道は、膨大な処理能力を蓄積し、膨大な数の問題を迅速かつ定期的に解決することにあります。
「コインマイニングにかかる電気代を自腹で支払わなければならないなら、それだけではあまり儲かりません」と、サイバーセキュリティおよびシステム管理企業Taniumのエンドポイントセキュリティ担当ディレクター、ダンカン・ミラー氏は述べています。 「でも、もし誰かに代わりに支払ってもらえるなら、それはずいぶん魅力的になりますね。」
クリプトジャッカーは、より一般的なマルウェアでも利用されているのと同じ脆弱性を悪用して、この手口を実行しています。 例えば、 といったフィッシング攻撃では、ユーザーをだましてリンクをクリックさせ、企業ネットワークに暗号通貨マイニングスクリプトを仕込む手口が使われています。 もう一つの方法は、ウェブサイトやデジタル広告にスクリプトを埋め込むことです。 このスクリプトは、ユーザーのコンピュータに何もインストールすることなく実行されます。 コンピュータサーバーは、暗号通貨マイニングのネットワークの一部となり、バックグラウンドでアルゴリズムを実行します。 ほとんどのユーザーは、そのことに気づいていません。
クリプトジャッカーは高性能なグラフィックカードを狙っています
一部の暗号資産関連の犯罪者は、ゲーマーや多くのノートパソコンユーザーが一般的に使用しているグラフィックカードも標的にし、それによってコインのマイニングに必要な処理能力を確保しています。 しかし、彼らは、IT部門が、現在リモート勤務で、時折ゲームに興じている従業員たちからは予想もしないような方法で、それを行っているのです。
例えば、NvidiaのGPU（グラフィックス・プロセッシング・ユニット）は、発電量を最大化したいと考える仮想通貨マイナーの間で、人気のプラットフォームとなりました。 しかし、これは想定された用途ではなかったため、ベンダーはこうした行為を防ぐために、「Lite Hash Rate（LHR）」と呼ばれるソフトウェアを導入しました。 それがきっかけとなり、Lapsus$という活発な活動を行うハッカー集団との、ある種の「戦争」が勃発しました。 2月、南米のハッカー集団「 」が、Nvidiaから約1テラバイトのデータ（ ）を盗み出し、NvidiaがLHRを廃止しなければそのデータを流出させると脅したと報じられています。
一般的な組織がこうした活動によって直接的な被害を受ける可能性は低いですが、影響を受けた組織は通常、多くの潜在的な問題に直面することになります。 例えば、ネットワークのパフォーマンスに関する問題が発生する可能性があります。 あるいは、システムの過熱により、さらなる冷却が必要になる場合もあります。 その結果、彼らの光熱費が急増する可能性があります。 ITサポートにかかる時間やコストも増加する可能性があり、すでに 人員不足で過重労働に苦しんでいるIT部門への負担がさらに増すことになります。 そしてもちろん、SEO Scoutの場合のように、クラウドサービスの請求額が大幅に膨らんでしまう可能性もあります。
サイバーセキュリティの専門家であるトラヴィス・テイラー氏によると、クリプトジャッキングが個々のネットワークに与える影響は必ずしも大きいとは限りませんが、もし誰かがネットワークにマルウェアを侵入させて仮想通貨のマイニングを行わせることができた場合、その企業は他の種類のマルウェアに対しても脆弱であるということになります。同氏は、アダム・レビン氏と共にポッドキャスト『 What the Hack』の共同ホストを務めています。
「彼らは、ある時点で、より脅威性の高い種類のマルウェアを拡散させる段階へと移行する可能性もあります」と、テイラー氏は Endpoint（）に語りました。 「あるいは、
彼らは、 ダークウェブ上で、 自分のアクセス権を他者に販売することも可能です。」 いずれにせよ、
あなたは危険にさらされています。」
サイバー衛生管理の実践によるクリプトジャッキング対策
SANS Instituteの新興セキュリティ動向担当ディレクターであるジョン・ペスカトーレ氏は、コインマイニングを目的としたハッキングの多くが「ペイロードや目的は異なるものの、標準的な攻撃手法」を利用していることから、組織はリスクを最小限に抑え、被害を軽減するために、 の基本的なサイバー衛生管理 の対策を実施すべきだと述べています。
「ハッカーを寄せ付けないためには、常に状況に応じて対応を調整し続けなければなりません。」サイバーセキュリティの専門家であり、ポッドキャスターのトラヴィス・テイラー氏
まず始めに、Taniumのテクニカルアカウントマネジメント担当ディレクターであるローランド・ディアス氏は、 資産管理ツール（ ）を導入し、企業の資産（）に関する完全かつ最新の状況を把握することを推奨しています。 その目的は、どのコンピュータ、サーバー、または仮想マシン（VM）がネットワークにアクセスしているかだけでなく、それら上でどのアプリケーションやプロセスが実行されているかについても把握することにあります。 一般のコンピュータユーザーが、PCの動作が遅くなっている原因を突き止めるためにシステムのパフォーマンスを確認するように（
）、IT部門にとっても、企業全体における異常な活動を監視し、特定し、対処することが重要だとディアス氏は述べています。
「資産管理機能を使えば、システムにアクセスして、自分が所有しているアプリケーションの一覧を確認し、『よし、この8つのアプリケーションをターゲットにしよう。これらには悪意のあるものが含まれていると分かっているから』と言うことができます。」
Tanium社のミラー氏は、ITセキュリティチームは、既知の活動を検知するために、エンドポイント検出・対応（EDR）ツールも活用すべきだと述べています。 組織は、ファイル
名やコマンドラインを含め、それぞれビットコインやモネロに関連するBTCやXMRといったIDを探すべきだと、同氏は述べています。 EDRは、ネットワークに襲いかかるあらゆる脅威に対する万能薬 というわけではありませんが、このような状況では、
有効に活用することができます。
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
また、ITセキュリティ担当者は、平均以上のCPUやメモリ処理能力を使用していると思われるマシンを監視すべきだと、同氏は述べています。 DEAの捜査官が違法な薬物製造所を見つけるために、家庭での異常な電力使用状況を監視するように、ITチームもコンピューターのパフォーマンスの問題を精査することで、クリプトジャッキングの活動を検知することができます。
ミラー氏によると、組織はEDRを活用して、クリプトジャッキングに関連する既知の「悪質なハッシュ」を検知することもできるとのことです。 これには以下が含まれます。
- c717c47941c150f867ce6a62ed0d2d35
- 0c0195c48b6b8582fa6f6373032118da
- 1f776e609dcf28e1170a3167c30b0c6b
「これらの既知の不正なハッシュを検索することで、ご自身の環境内での不正な活動を特定することが可能です」と彼は述べています。 「それが済めば」と彼は言います。「ほとんどの場合、
のコインマイナーを削除するのはかなり簡単です。」
脅威ハンティングを活用したクリプトジャッキングの検知
ミラー氏は、仮想通貨マイニングによる潜在的な脅威が排除された後は、ハッカーがどのようにシステムを侵害したかを解明するために、フォレンジック調査を行うことが重要であると警告しています。 当面の問題は解決されましたが、この脆弱性は依然として存在しています。
同氏は、場合によっては、攻撃が外部から行われたものではない可能性もあると指摘しています。 これは、内部関係者による「」といった形で、企業のリソースを流用して、こっそり小遣い稼ぎをしようとした可能性もあります。 テイラー氏のような専門家は、 や といったサイトを通じて、従業員に対し、会社のITリソースが悪用された場合に自身の職にどのようなリスクや脅威が生じるかについて教育することを推奨しています。
[関連記事：なぜ従業員はサイバーセキュリティポリシーに違反するのか]
ミラー氏は、フォレンジック調査員に対し、 の脅威ハンター のように活動し、以下のような幅広い要因を考慮するよう助言しています。
- ID。 このハッキングは、認証情報の漏洩が原因だったのでしょうか？
- 戦略。 ハッカーは、フィッシングやソーシャルエンジニアリング、あるいは従業員の不注意や悪意によって、認証情報を入手したのでしょうか？
- タイミング。 そのイベントはいつ始まったのですか？
- 頻度。 それは単発の出来事だったのでしょうか、それとも繰り返しハッキングが行われたのでしょうか？
- 将来的なリスク。 この出来事は、財政面や運営面においてさらに深刻な被害をもたらす可能性のある他の脅威への道を開いてしまったのでしょうか？
専門家によると、クリプトジャッキングは当分なくならないとのことです。 実際、彼らはその発生頻度と深刻度が増加すると予想しています。
「攻撃を阻止するためにどのような防御策を講じても、クリプトジャッカーは結局のところ、それを回避する方法を見つけてしまうようです」とテイラー氏は述べています。 「セキュリティプロトコルを回避するための、斬新で独創的な方法は、いつだって出てくるものです。」 「ハッカーを寄せ付けないためには、常に状況に応じて対応を調整し続けなければなりません。」
