Micro0仮想通貨人気が続く中、サイバー犯罪者はさまざまな仮想通貨発掘マルウェアを開発し、継続的に微調整を加えながら攻撃に利用しています。事実、トレンドマイクロは、広範なプラットフォームおよびデバイスで一貫して仮想通貨発掘マルウェアを検出しています。感染する仮想通貨発掘マルウェア(「Coinminer.Linux.KORKERDS.AB」として検出)が確認されました。このマルウェアには、不正な仮想通貨発掘プロセスを監視ツールから隠ぺいするルートキットコンポーネント(「Rootkit.Linux.KORKERDS.AA」として検出)が付属しています。パフォーマンス低下のみとなります。このマルウェアは、自身とその設定を更新する機能も備えています。系オペレーティングシステム(OS)は、権限管理モデルを備えており、上位の権限を必要とするファイルの実行は容易ではありません。インストールされたアプリケーションであれば、インストール時に付与された権限によってプラグインをインストールすることが可能です。そのため、トレンドマイクロは、今回確認された仮想通貨発掘マルウェアの侵入経路は、メディアストリーミングソフトウェアのようなサードパーティ製または非公式のプラグイン、あるいは侵害されたプラグインだと推測しています。狙う仮想通貨発掘マルウェアがこの手法を利用しています。Webサービス「Pastebin」に接続し、シェルスクリプトをダウンロードして「/bin/httpdns」として保存します。次に、1時間毎にこのスクリプトを実行するタスクをスケジュールに登録し、「/bin/httpdns」を実行します。形式でエンコードされた別のテキストファイルをダウンロードします。このファイルをデコードした結果もまたシェルスクリプトです。アクセスし、利用可能な更新プログラムの有無を確認します。更新プログラムが存在する場合、「echocron」関数を実行し、更新プログラムをダウンロードして実行するタスクをスケジュールに登録します。日)では、更新プログラムの確認結果に「noupdate」という文字列が含まれていることから、利用可能な更新プログラムは存在しないと考えられます。利用可能な更新プログラムが存在しない場合、「downloadrun」関数を実行することでメインの処理に進み、仮想通貨発掘マルウェアをダウンロードします。拡張子が「.jpg」になっていますが、実際は「ELF」形式の実行ファイルです。このマルウェアは「/tmp/kworkerds」として保存されます。次に、シェルスクリプトは「init」関数を実行します。この関数は、あるバージョンの初期ファイルをダウンロードして「/usr/sbin/netdns」として保存し、サービスとしてインストールします。続いて、「echocron」関数が呼び出されます。番ポートの接続を確認し、接続が確認できなかった場合「downloadrunxm」関数を実行します。「downloadrunxm」関数は、「downloadrun」関数によってダウンロードおよび実行した仮想通貨発掘マルウェアが適切に動作しなかった場合に備え、別の仮想通貨発掘マルウェア(「Coinminer.Linux.KORKERDS.AA」)をダウンロードする関数です。■ルートキットコンポーネントのインストール「downloadrunxm」関数がダウンロードする仮想通貨発掘マルウェアは、ルートキットをダウンロードおよびインストールする「top」関数を備えています。この関数は、まずルートキットがすでにインストールされていないか確認します。通常、プロセス監視ツールによって仮想通貨発掘プロセスを検知することが可能です。プロセス監視ツール「htop」の画面です。リソースを消費し尽くしていることが確認できます。8:プロセス監視ツール「htop」により、仮想通貨発掘プロセス「/tmp/kworkerds」を検知可能しかし、問題のルートキットは、このような監視ツールから仮想通貨発掘プロセスを隠ぺいします。なっているにも関わらず、リソースを大量に消費しているプロセスを確認することができません。9:ルートキットが仮想通貨発掘プロセス「/tmp/kworkerds」を隠ぺいこのルートキットコンポーネントは、上述した目的のために、公開されているコードにわずかな変更を加えて作成されたものです。このコンポーネントのインストール後、「kworkerds」という名称のプロセスはすべて監視ツールから確認することができなくなります。通常、プロセス監視ツールは、ディレクトリ「/proc/{PID}」のファイルにアクセスすることで動作します。このディレクトリへのアクセスがブロックされると、通常の手段で不正なプロセスを検知することは困難です。API「readdir」および「readdir64」をフックします。コードで上書きします。これにより、プロセス監視ツールから「kworkerds」という名称のプロセスを隠ぺいします。高使用率や仮想通貨発掘マルウェアによる接続を隠ぺいすることはできません。既存ツールのコードをわずかに修正することで、プロセス監視ツールから仮想通貨発掘プロセスを隠ぺいすることに成功しています。ダウンローダの役割を持つシェルスクリプトには、仮想通貨発掘マルウェアを更新する機能が含まれているため、今後、収益性を向上するためにより多くの機能が追加されることも予想に難くありません。狙う仮想通貨発掘マルウェアの影響は重大なものとなり得ます。IT管理者およびシステム管理者は、このような脅威に対処するために以下のようなベストプラクティスに従ってください。技術をはじめとする先進技術と実績の高いスレットインテリジェンスを融合した防御アプローチにより、データを保管するサーバ、データを交換するネットワーク、データを利用するユーザの各レイヤーで最適化されたセキュリティを提供します。Web/URLフィルタリング、挙動解析、カスタムサンドボックスのような機能を備えたクロスジェネレーション(XGen)セキュリティアプローチは、既知または未知/未公開の脆弱性を狙い、個人情報の窃取や暗号化、不正な仮想通貨発掘活動を行う脅威をブロックします。Defense」へのソリューションを提供するトレンドマイクロ製品に組み込まれています。Compromise、IoC)関連するSHA256値は以下の通りです。「Trojan.Linux.DLOADER.THAOOAAK」:cdd921a5de5d5fffc51f8c9140afa9d23f3736e591fce3f2a1b959d02ab4275e「Coinminer.Linux.KORKERDS.AB」:baf93d22c9d1ae6954942704928aeeacbf55f22c800501abcdbacfbb3b2ddedf「Coinminer.Linux.KORKERDS.AA」:0179fd8449095ac2968d50c23d37f11498cc7b5b66b94c03b7671109f78e5772「Rootkit.Linux.KORKERDS.AA」:023c1094fb0e46d13e4b1f81f1b80354daa0762640cb73b5fdf5d35fcc697960関連する不正なURLは以下の通りです。