クリプトジャッキング：他人のためにマイニングするマシン

クリプトジャッキングとは何ですか？

クリプトジャッキングとは、自分が所有も支払いもしていないハードウェアで、誰かがマイニングソフトを動かすことです。珍しいことではありません。マルウェアがマシンを乗っ取った後に行うことの中で、いちばんよくあるものです。

理由は単純です。報酬を得るのに、後から被害者をだます必要がないからです。被害を受けるのは電気代で、請求は静かに届きます。

ほとんどの場合、掘られるのは Monero です。このコインは普通のプロセッサーでも利益が出るので、数千台の事務用パソコンを手に入れる価値があります。さらに匿名性が高いため、お金の流れを追えません。

使われるプログラムはたいてい XMRig で、ごく普通のオープンソースのマイニングソフトです。変えられているのは名前と設定だけです。

他人のためにマイニングしているマシンは、多くの人が想像するような感染の姿には見えません。何も暗号化されず、ファイルも消えず、身代金の要求も出ません。ただ熱くなり、性能が落ち、ファンが傷み、お金がかかるだけです。

すでにマイニングしている場合は何が違うのですか？

一般的な記事はどれも同じことを言います。プロセッサーの使用率の高さ、発熱、うるさいファンを探しなさい、と。リグではこの 3 つはすべて普通のことです。そのため、よくある助言では何も見つかりません。

マイナーであるあなたは、これを見つけるのにいちばん有利な立場にいます。同時に、いちばんだまされやすい立場でもあります。

あなたの強みは、ハードウェアが生み出したものについて、独立したもう 1 つの記録を持っていることです。プールのダッシュボードは、実際に届いた作業をもとに、他人のサーバーで測定されています。

それをリグの表示と比べてください。まず、間に合わずにカウントされなかったシェアであるステイルシェアの分を差し引きます。それでもダッシュボードがリグより大きく低いなら、何かがその差を食っています。

マイニングソフトはどうやってマシンに入り込むのですか？

侵入経路はあまり変わっていません。どれも高度な攻撃者を必要としません。

• クラック版や海賊版のソフトウェア。今でも単独では最大の感染源です。キージェネレーターや改造されたインストーラーは、自分の権限で実行することに同意したプログラムです。マイニングソフトはそのアーカイブの中に紛れ込んでいます。
• パッチを当てずにインターネットに公開しているもの。サーバーソフトウェアの古くてよく知られた穴は、常にスキャンされています。マイニングソフトは好まれる仕掛けです。盗む価値のあるものが何もないマシンからでも、お金を稼げるからです。
• USB メモリー。最近の攻撃は、取り外し可能なドライブに自分をコピーします。ドライブのアイコンに見えるショートカットの裏に隠れます。インターネットにつながっていないネットワークでも感染するのは、このためです。
• コンテナやビルドのイメージ。公開レジストリから取得したベースイメージに、マイニングソフトが入っていることがあります。すると、そこから作られたすべての環境の中でマイニングが行われます。
• ブラウザーのタブ。ただし以前よりはずっと減りました。ページを開いている間だけマイニングするスクリプトは、最大の提供元が 2019 年に閉鎖されるまで一大産業でした。今も動画配信やダウンロードのサイトに残っていますが、タブを閉じれば止まります。

何もしていないはずのマシンでは、どんな兆候がありますか？

• 本当の意味でアイドル状態になりません。何も開いていないのに、ファンは回り続け、ケースは温かいままです。
• 説明のつかないプロセスがあります。本物のシステムプロセスに似せた名前のことがよくあります。見慣れた名前を 1 文字だけ変えるのは、よくある手口です。
• タスクマネージャーを開いた瞬間に使用率が下がり、閉じると元に戻ります。この動きは意図的なもので、それだけでほぼ証拠になります。
• 誰も作っていないスケジュールタスク、サービス、スタートアップ項目があります。
• 見覚えのないホストへの外向きの接続が、一定の間隔で繰り返されています。

マイニングしているはずのリグでは、どんな兆候がありますか？

ここで問うべきなのは、何かがマイニングしているかどうかではありません。マイニングしているものがすべて自分のものかどうかです。

• ダッシュボードの数値が、ステイルシェアでは説明できないほど、リグの表示より常に低いままです。
• 1 つしか起動していないのに、マイニングのプロセスが 2 つあります。マルチ GPU のリグでは、数えてみる価値があります。
• 起動スクリプトやフライトシートに、自分で入力していないウォレットアドレスやホストが入っています。ちらっと見るのではなく、きちんと読んでください。途中だけ書き換えられたアドレスは、一見するとまったく同じに見えます。
• カードは熱くなっているのに、自分のプールでは何も生み出していません。2 つ目のマイニングソフトが 1 台のデバイスに割り当てられていると、こう見えます。
• 止めた後もマイニングを続けています。自分のマイニングソフトを止めてもマシンが静かにならないなら、別の何かが動いています。

ウォレットのすり替えとは何で、なぜ被害が大きいのですか？

別の種類のマルウェアは、もっと悪質で、もっと単純なことをします。クリップボードを監視しているのです。ウォレットアドレスのような形のものをコピーすると、攻撃者のアドレスにすり替えます。

選ばれるのは、あなたのアドレスと最初と最後の文字が同じアドレスです。そのため、ざっと確認しただけでは気づきません。この方法で、マイニングとは関係なく大金を失った人もいます。2 種類のマルウェアは、一緒にインストールされることがよくあります。

マイナーは、同じ発想のもう 1 つの手口にも直面します。起動スクリプトやフライトシートの中のアドレスが、一度だけ書き換えられるのです。それ以降の支払いはすべて別の場所へ行きます。

何も壊れず、リグは完璧にマイニングを続けます。お金が別のウォレットに届くだけです。たいていは、支払いが来ないのはなぜだろうと思ったときに気づきます。

対策は地味ですが、効果があります。

• 大事な場所にアドレスを貼り付けたら、両端だけでなく全体を確認してください。
• ダッシュボードのアドレスが、意図したものと同じか確認してください。
• ハッシュレートは止まっていないのに支払いが止まったら、何よりも先にアドレスを確認してください。

マシンはどのような手順で調べればよいですか？

次の順番で進めてください。

• 2 つのハッシュレートを比べます。リグの表示とプールのダッシュボードを、1 分ではなく 1 日の単位で比べてください。
• 自分の設定を読みます。すべてのリグで、すべてのウォレットアドレスとすべてのホストを 1 文字ずつ確認してください。
• マイニングソフトを止めて様子を見ます。止めた後も忙しいままのマシンでは、別の何かが動いています。
• 自動で起動するものを一覧にします。Windows ではスケジュールタスクとサービスを確認します。Linux ではタイマーと cron を確認します。ログイン時に実行されるものも確認してください。
• 自分のマイニングソフトを止めている間に、外向きの接続を見ます。一定の間隔で通信を続けているものがあれば、正体を突き止める価値があります。
• 信頼できるツールでスキャンします。ただし、問題なしという結果で終わりにしないでください。マイニングソフトは、スキャナーに見つからなくなるまで改造されていることがよくあります。この手順が最初ではなく最後なのはそのためです。

ファイルを削除するだけでは、なぜ足りないのですか？

こうしたマイニングソフトは、戻ってくるように作られています。起動させる仕組みを残したままプログラムを消しても、数分の時間稼ぎにしかなりません。

次の順番で取り除いてください。

• スケジュールタスク、サービス、スタートアップ項目、cron の行、レジストリキー。
• 次に、ファイルそのもの。
• 最後に再起動して、何も戻ってきていないことを確認します。

大切なマシンなら、作り直すことも考えてください。ウォレットや秘密鍵を保存したことのあるマシンなら、なおさらです。マイニングソフトを仕込めたのと同じアクセス権があれば、ほかに何でも仕込めます。

最近の攻撃は、途中でパスワードも集めています。そのマシンで使ったパスワードを、別の端末から変更してください。

きれいな状態を保つにはどうすればよいですか？

これを防ぐルールは退屈なものです。マイニングでは知らない人から署名のないソフトウェアをダウンロードするのが普通なので、つい省かれてしまいます。

• マイニングソフトはプロジェクト自身のリリースページから入手し、公開されているチェックサムを確認してください。フォーラムのリンク、動画の説明欄、作り直されたアーカイブから入手したものは、リグが感染するいちばんありがちな経路です。警告が出るのは想定内なので、無視してしまうのです。
• マイニングをしたりウォレットを保存したりするマシンで、クラック版のソフトウェアを実行しないでください。絶対にです。この 2 つの習慣は両立しません。
• インターネットに公開しているものにはパッチを当ててください。ほとんどの感染は自動化されていて、バージョン番号でマシンを選びます。
• 支払いを受け取るウォレットは、マイニングするマシンとは分けてください。リグに必要なのはアドレスだけで、鍵は必要ありません。
• リグに何か変更を加えたら、支払いアドレスを確認してください。予想外のことがリグに起きた後にも、もう一度確認してください。