Barracuda Threat Spotlight（バラクーダが注目する脅威）: クリプトマイナーマルウェアの新しい亜種

トピック: マルウェア、ネットワークおよびアプリケーションセキュリティ

2020年6月25日、Erez Turjeman

クリプトマイナーマルウェアGolangの新しい亜種がMicrosoft WindowsとLinuxの両方のマシンを攻撃しています。この亜種は非常に新しいため、攻撃の規模は小さいですが、バラクーダの調査担当者は、これまで、このマルウェアに関連付けられた中国を拠点とする7個の送信元IPアドレスを確認しています。この新しいマルウェアは、エンドユーザではなく、サーバを攻撃しています。

この進化する攻撃を検出および防止し、攻撃から回復できるように、攻撃とソリューションについて詳細に説明します。

主要な脅威

クリプトマイナーマルウェアGolangの新しい亜種: このマルウェアの新しい亜種はWebアプリケーションフレームワーク、アプリケーションサーバ、およびRedis、Microsoft SQL Serverなどの非HTTPサービスを攻撃しています。このマルウェアの主な目的は、既知のクリプトマイナーXMRigを悪用して、暗号通貨Moneroを盗み出すことです。このマルウェアは、ワームとして拡散し、他の脆弱なマシンを検索し、感染します。

このマルウェアの初期の亜種はLinuxマシンのみを攻撃していましたが、この新しい亜種は、Windowsマシンも攻撃しており、新しいエクスプロイトを悪用しています。たとえば、このマルウェアが実装するエクスプロイトの一部は中国でよく使用されているWebアプリケーションフレームワークThinkPHPを攻撃しています。他のマルウェア亜種と同様、このマルウェアが、進化し続け、ますます多くのエクスプロイトを悪用すると考えて間違いありません。

詳細

このマルウェアは、マシンに感染すると、攻撃を受けるプラットフォームに基づいてカスタマイズされた下記のファイルをダウンロードします。ただし、攻撃は初期ペイロード、更新スクリプト、クリプトマイナー、ウォッチドッグ、スキャナ、およびクリプトマイナーの設定ファイルを含む同じ戦略に従います。Windowsマシンの場合、このマルウェアはバックドアユーザを追加するスクリプトも含みます。

initスクリプト/更新スクリプト

initスクリプトと更新スクリプトはプラットフォームごとに同じコンテンツを共有します。また、このマルウェアのインストールとそのコンポーネントの更新の両方に使用されます。initスクリプトは初期ペイロードの一部として実行され、更新スクリプトはスケジュールされたタスク（Linux内のcrontab）として実行されます。

Linux向けのinitスクリプトは、攻撃的であり、競合するクリプトマイナーとマルウェアを削除し、ポートをブロックし、バックドアキーを追加し、Security-Enhanced Linuxを無効にします。Windows向けのinitスクリプトは、Linux向けのinitスクリプトほど高度ではなく、基本的な手順を実行します。このスクリプトは初期の亜種には見つからなかったため、調査担当者はWindowsに対する攻撃がこのマルウェアに新規に追加されたと考えています。

クリプトマイナー: sysupdate/sysupadte.exe

このクリプトマイナーはオープンソースのツールである既知のクリプトマイナーXMRigに基づいています。また、設定ファイルはconfig.jsonです。

ウォッチドッグ: sysguard/sysgurad.exe

このウォッチドッグは、スキャナとクリプトマイナーを実行し、すべてのコンポーネントを更新します。また、C&C（コマンドアンドコントロール）サーバに接続できない場合、特定のイーサリアムアカウント上のトランザクションを解析して、新しいサーバのアドレスを取得しようとします。

このウォッチドッグはUPX（Ultimate Packer for eXecutables）でストリップおよび圧縮されたGo言語で記述されています。

バックドアユーザ: clean.bat

このスクリプトは、Windowsマシンのみで使用され、バックドアユーザをシステムに追加します。Linuxシステムのinit/更新スクリプトは、承認済みのSSH（Secure Shell）キーをシステムに追加して、同様の手順を実行します。

スキャナ: networkservice/networkservice.exe

このスキャナは、UPXでストリップおよび圧縮されたGo言語で記述されており、インターネット上の脆弱なマシンをスキャンし、このマルウェアに感染させて、このマルウェアを拡散します。また、ランダムなIPアドレス（127.x.x.x、10.x.x.x、および172.x.x.x以外）を作成し、このようなIPアドレスのマシンを攻撃しようとします。

このスキャナは、乗っ取りに成功すると、次のC&Cサーバにレポートします。hxxp://185.181.10.234/E5DB0E07C3D7BE80V520/ReportSuccess/<IPアドレス>/<エクスプロイトタイプ>

また、下記のC&Cサーバに進行状況をレポートします。

hxxp://185.181.10.234/E5DB0E07C3D7BE80V520/Iamscan/<スキャン数>

クリプトマイナーマルウェアの新しい亜種が悪用する脆弱性

上記の攻撃を防止する方法

このマルウェア亜種を防止するための重要な手順は下記のとおりです。

WAF（Webアプリケーションファイアウォール）を導入する: 正しく設定されたWAFを導入します。このマルウェア亜種は、インターネット上の脆弱なマシンをスキャンして、拡散します。多くの企業はアプリケーションセキュリティを見落としていますが、アプリケーションセキュリティは攻撃者が悪用しようとする主要な脅威ベクタです。

常に最新のパッチを適用する: 攻撃者は、このマルウェアを悪用して、常に脆弱性をスキャンしています。常に最新のセキュリティパッチと更新を適用することは、このような脅威に対処するために役立ちます。

システム上の疑わしい動作を監視する: このマルウェア亜種の動作を知ることは自社のWindowsおよびLinuxサーバ上のこのような動作を監視するために役立ちます。このため、すべての攻撃から可能なかぎり早く回復できます。このような動作を監視し、警告についてセキュリティ部門を教育するために役立つソリューションを導入します。

この脅威に関するウェビナーをチェック

原文はこちら：

Threat Spotlight: New cryptominer malware variant

June 25, 2020 Erez Turjeman

https://blog.barracuda.com/2020/06/25/threat-spotlight-new-cryptominer-malware-variant/