クリプトマイナーに関する分析：クリプトマイナーの正体

これは、『クリプトマイナーに関する分析』という 3 部構成のブログシリーズの第 2 部です。第 1 部では、一般的な暗号資産（仮想通貨）とそのさまざまな特性を示し、脅威アクターにとってその一部が他よりも魅力的である理由について説明しました。

今回は、クリプトマイナーのさまざまなサンプルについて詳しく分析し、内部の構成と仕組みへの理解を深めます。悪性のアクティビティにとって都合が良いことが確認された 2 つのコイン、Monero と Zephyr をマイニングしているクリプトマイナーに焦点を当てます。このブログ記事では、以下について説明します。

• ブロックチェーンネットワークを使用して、潜在的なクリプトマイナーマルウェアから疑わしいマイニング通信を特定する

• 長期的にアクティブで永続的な状態を保持するために、さまざまなトポロジーを使用する 4 つのケーススタディの例

• 数千人もの被害者を出し、1 時間あたり 5.50 米ドルをもたらした、長期的かつ永続的なキャンペーンの興味深い事例

• 1 つのキャンペーンで複数のコインを使用する攻撃者

• ネットワークアクティビティによる検知とブロックチェーンネットワークとの相互参照

• コンセンサスアルゴリズムのフィンガープリンティングと並行して、プロセスのメモリー分析を活用した検知

また、セキュリティチームが資産を保護できるように支援するために、このブログ記事のケーススタディからのセキュリティ侵害インジケーター（IOC）のリストも掲載されています。

この記事の締めくくりでは、ASIC 耐性アルゴリズムの概念に基づく検知技術と、クリプトマイニング操作の検知技術について考察します。この検知は、マイニングの基礎に焦点を当てており、ネットワークレベルまたはオペレーティングシステムレベルに適用できます。悪意のある暗号マイニングキャンペーンを停止した方法については、このシリーズの第 3 部をご覧ください。

Monero ネットワークは、個人貢献者による分散型 P2P ネットワークであり、私たち自身も容易に接続することができます。Monero ネットワークをマッピングすることで、信頼性の高い IOC（ノード IP アドレスなど）を取得し、他よりも接続性が高いノードハブの潜在的なアクティビティを特定することができます。

この情報を使用して、マイニング操作を検知および調査することができます。また、ネットワークに脆弱性がないか、ブロックチェーン攻撃にさらされていないかを評価することもできます。図 1 は、Monero のマイニングネットワークを視覚的に表現したもので、ヒートマップには地理的領域ごとのノードの密度が示されています。世界中どこでもアクセス可能なノードには、赤色のドットを付けました。

Monero ネットワークをマッピングすることで得られたさまざまな指標を使用して、ブロックチェーンネットワークとやり取りするサンプルを特定することができます。たとえば、VirusTotal Livehunt を使用すると、既知のノードアドレスを含むファイルを識別できます。これにより、アクティブなクリプトマイナーキャンペーンを検知できます（図 2）。

他のセキュリティ同様、万能なハンティング手法というわけではありません。このアプローチのみを使用すると、サーバーが専用のブロックチェーンノードでない場合にフォールス・ポジティブ（誤検知）を引き起こす可能性があります。また、マップが検知していないノードもあるため、可視性の欠如が発生する可能性もあります。ただし、この手法を他の指標と組み合わせると、真陽性検知率が向上します。

このマップには、パブリックアクセスが可能なノードと最近アクセス可能になったノードが含まれています。一部のノードは、Monero ノード以外の用途でも使用され、たとえば、Python の PyPi リポジトリーのミラーやその他のサービスとして機能しています。図 3 は、複数のサービスを提供するサーバーの例であり、ハンティングプロセスで混乱を引き起こすことがあります。これらのサーバーを分析から排除し、潜在的なフォールス・ポジティブ（誤検知）の可能性を低減しました。

この研究の一環として、さまざまなクリプトマイナーサンプルを分析しましたが、そのうちの 1 つは 6 年間にわたるキャンペーンでした。長期的な活動によく見られるように、組織的な運用またはサードパーティのクリプトマイナーを展開するマルウェア配信サービスのようです。

このサンプルの分析によって、複数のプロキシがあって、その累積ハッシュレートが 5.6 Mh／s であることが分かりました。これは侵害されたマシン数千台に相当します（図 4）。大規模で永続的な攻撃であり、ハッシュレートが安定しているため、おそらくほとんどの被害者がマルウェアを検知できておらず、マルウェアは妨げられることなく継続的に実行されます。このような攻撃は、攻撃者にとって非常に有利なキャンペーンです。

このキャンペーンは、少なくとも 2018 年 6 月以降活動を続けており、ロシアと中国の脅威アクターによる共同の取り組みである可能性を示す指標（例：サンプルで使用されている言語）が含まれています。この理論は、コマンド & コントロール（C2）サーバーの分析もサポートされていましたが、この記事の公開日時点では完全には確認されていません。

執筆時点では、攻撃者は少なくとも 1,702 XMR を蓄積し、これは現在の為替レートで約 28 万米ドルに相当します。この 1 つのキャンペーンから、6 年間にわたって年間平均で約 47,000 米ドルを得ていることになります。

このキャンペーンにリンクされているほとんどのサンプルでは、初期ローダーおよびダウンローダーとして、被害者のオペレーティングシステムに対応するスクリプト言語を使用します。ルーティングや紛らわしいネットワーク接続に大きく依存しており、悪性ファイルを C2 サーバーから分離しようとした場合に発生する可能性があります。

キャンペーンサンプルを分析した結果、これが PowerShell を使用し、loader と呼ばれる実行可能ファイルを r77 ルートキットを使用してステルス方式でデプロイしていることがわかりました。複雑なドロッパーを分析しなくても、このクリプトマイナーには複数のバージョンがあることが確認できます。

一部のバージョンでは、クリプトマイナー自体にマイニング設定を保持する config.json ファイルが含まれています。他のサンプルでは、OracleLoader スクリプトがクリプトマイナーをドロップし、構成をセットアップします。このマルウェアには、セキュリティ侵害が発生した場合にボットネットを回復できる更新メカニズムもあります（表 1）。

表 1：Oracle Loader の特性

このマルウェアはポート 999 でもリッスンし、XMRig の HTTP API 機能を公開します。これにより、攻撃者は被害者のマイナーにアクセスし、マイニングプロセスを監視できます。被害者のマシンがインターネットに直接接続されていて、ネットワークアドレス変換（NAT）ルーターや外部ファイアウォールの背後にない場合、理論的には Shodan のようなネットワーク監視サービスを使用して被害者を見つけることができます。図 5 は、潜在的な被害者を検知するために使用される Shodan クエリーの結果を示しています。

XMRig ワーカーモニター Web アプリを使用して、被害者のマイナーを監視し、CPU モデルやハッシュレートなどの情報の開示が可能です。このインターフェースでは情報のクエリーのみが可能であり、アクティビティは確認できますが、マイナーの操作や停止は行うことができません（図 6）。

ケーススタディ #1 のように、長期的なキャンペーンを展開して多額の利益を得ている意欲的で巧妙な攻撃者もいますが、こうした攻撃者が脅威の大部分を占めているわけではありません。最も一般的なのは、パブリックプールを使用するクリプトマイナーです。これらのクリプトマイナーには、難読化や分析回避技術などの高度な機能は含まれていません。プレーンテキストのウォレットアドレスを使用して直接プールに接触するのが典型的な手口です。また、一般的には影響力や利益が小さい傾向にあります。

暗号通貨市場では、マイニング収益性やコイン価値などさまざまな要因に基づいて、攻撃者は複数の選択肢を持つことになります。暗号マイニングには本質的に金銭的な側面があるにもかかわらず、通貨のマイニングの収益性は、多くの攻撃者にとって最も重要な考慮事項ではないようです。Zephyr コインは Monero よりも収益性が低く、脅威アクターの間でよく使われます。暗号市場の価格変動は、攻撃者と合法的な暗号資産購入者が同様に考慮すべき重要な要因です。それは、ある暗号通貨が別の暗号通貨よりも攻撃者を引き付ける長期的価値をもつ可能性があると考えられます。

当社が確認した最大の Zephyr キャンペーンでは、アクティブな被害者が 1,400 以上、総ハッシュレートが 800 Kh／s、総利益が 906.3 ZEPH（現在の 2,528 米ドルに相当）でした。

ボットネットのハッシュレートを時間軸で分析すると、攻撃者が特定の地域を標的としたタイミングを把握できます。その例の 1 つを、直接接続型のマルウェアと組み合わせたプロキシを使用することが確認された、別のキャンペーンに見ることができます。これは、ロシア語話者のユーザーをターゲットにしていると思われます（図 7）。

定期的に変化が見られる場合、被害者のほとんどがサーバーではなく人間のユーザーであることを示している可能性があります。これは、個人用マシンは定期的にオフになる可能性が高いためです。ハッシュレートの頻度を分析すると、周期が 24 時間であることがわかります。また、低い部分が夜間であると仮定すると、被害者の大部分が住んでいるタイムゾーンを特定できます（図 8）。

Monero ネットワークマップを使用して 25,000 ノードを超える情報を収集しましたが、直接到達できるのはわずか 10% でした。逆に、ネットワークに接続されていない既知のクリプトマイナーの除外にも、このマップを使用しました。2022 年 4 月からアクティブであったキャンペーンは、この方法で発見したものです。

図 9 は、マルウェアの攻撃ベクトルを示しています。XMRig-proxy のようなマイニングプロキシを使用し、クラックされた Internet Download Manager（IDM）などの海賊版ソフトウェアを通じてクリプトマイナーを配布します。

キャンペーン・マルウェア・サンプル間で、攻撃フローは類似しています。通常、crackingcity.com からのドライブバイダウンロードで開始し、これがペイロードチェーンを設定します。次に、最後の段階で、custompool.xyz でホストされているプロキシに接続する dllhost.exe というクリプトマイナーを導入します。攻撃者は、回避手法として、環境変数を使用して文字列を引数とし、子プロセス（主にバッチファイル）に渡します。これは、埋め込みアーカイブを復号化し、Defender 除外リストを操作した後でスクリプトまたはファイルを実行することによって機能します。

攻撃者は、VirusTotal で最初に検知されてからわずか 3 日後の 2022 年 4 月 29 日に、custompool.xyz という名前でプロキシドメインを登録しています。最初のサンプルは Vscan.exe という名前で、2 つのバッチファイルを使用する自己解凍型アーカイブです。まず main.bat が、環境変数に隠されたパスワードを使用して、2 段階目のバッチファイル Vs.bat を解凍します。デバッガを使用して非表示の情報を抽出するには次の 2 つの方法があります。「l3」という名前の環境変数にアクセスしてブレークする方法（図 10）か、環境変数を変更するたびにブレークする方法です。

パスワード un#912345678@rar を使用して、別の C2 ドメイン crackingcity.com に接続する第 2 段階目のローダーを解凍できます。最終段階では、マルウェアは dllhost.exe（基本的には、custompool.xyz プールに設定が組み込まれた修正済み XMRig クライアント）を実行しますが、それはこの時点では直接 IP です（図 11）。

ここで、サーバーのタイプについて質問があります。プライベートプールですか？マイニングプロキシでしょうか？それともプライベートプールと同じと見なされる何らかの種類のカスタムノードでしょうか。これらの質問に回答するには、サーバーからいくつかの識別子を抽出する方法が必要です。専用ノードを介した単独マイニングでは、マイナーがデーモンモード（RPC 要求が HTTP 経由で送信される）で動作する必要がありますが、この構成には存在しないため、明らかに当てはまりません。

JSON 構造はシリアライゼーション間で保持されるため、XMRig-proxy がサポートするさまざまなストラタムメソッドを送信して、サーバーから応答を取得することができます。サーバーからの応答がキーと値の順序と一致する場合は、サーバーが XMRig-proxy を使用しているか、これに基づいていることを強く示している可能性があります。

XMRig は、3 つの Stratum プロトコルメソッドをサポートしています。

1. Login：マイニングワーカーが最初に起動するリクエスト。通常はログインとしてウォレットが含まれています
2. Keepalived：単に接続を維持します
3. Submit：有効な共有が見つかったときに結果を送信します

無効なメソッドが要求されると、XMRig-proxy はエラーで応答します（図 12）。プールなどの他のサービスでは不正リクエスト時にエラーを出力せず無視するため、これがサーバータイプを示している可能性があります。これらの要素を組み合わせると、XMRig-Proxy に関する結論に至ります。

Stratum プロトコルプロキシは、ウォレットアドレスを変更せずに別のサーバーに直接 Stratum プロトコル要求を転送することで、ネットワークレベルで動作します。これにより、各マイナーの作業がそれぞれのウォレットに記録されます。Stratum プロキシの実装は、基本的なトランスポート層ネットワークプロキシまたはプロトコルを理解して処理する特殊なアプリケーションプロキシを使用して実現できます。

このトポロジーを使用して、Stratum プロキシを介してパブリックプールに接続するアクティブなキャンペーンを発見しました。ネットワークレベルのリバースプロキシであるかどうか、または Stratum プロトコル自体を傍受してアプリケーションプロキシとして動作するかどうかは特定できませんでした。いずれの場合も、Stratum メッセージをリダイレクトしてバックエンドプールまたはノードを非表示にします。指定されたウォレットに対応する公開プールをスキャンした結果、MoneroOcean 公開プールと接続していることが分かりました。

キャンペーンは少なくとも 4 か月間はアクティブで、その総利益は 1.158 XMR（約 180 米ドル）です。これ自体では、キャンペーンは大成功とは言えませんが、脅威アクターによる取り組みが行われていることは明らかであり、キャンペーン全体の開発を含む、より大規模な計画の可能性（インフラ、クリプトマイナー、さまざまな悪性ファイルのドロップ）を示しています。攻撃者は、サードパーティに頼ることなくキャンペーンを配布し、暗号化や難読化などを含むリバースエンジニアリング防止メカニズムを実装しています（図 13）。