「WatchDog」クリプトジャッキングマルウェア、2年以上にわたり数百のWindowsシステムに潜伏

Windowsユーザーを標的とする大規模なクリプトジャッキング攻撃キャンペーンが、2年以上もの間検知されずに活動を続け、数万ドル規模の不正利益を得ていたことが明らかになりました。このクリプトジャッキングマルウェアは「WatchDog」と呼ばれ、すでに数百の被害者が確認されており、現在も活動が続いているとみられています。

このキャンペーンを発見した調査チームは、高度な技術を持つ攻撃グループによるものであり、他にも収益性の高い攻撃活動を実施している可能性があると指摘しています。

WatchDogクリプトジャッキングマルウェア、数百の被害者を確認

WatchDogクリプトジャッキングマルウェアの詳細については、セキュリティ企業Palo Alto Networksの公式ブログで報告されました。

Unit 42として知られるPalo Alto Networksの調査チームによると、WatchDogは主にWindowsおよびUNIX系クラウドインスタンスで構成される「少なくとも476台」のシステムに侵入しており、このキャンペーンは2019年1月27日から稼働し続けていると考えられています。

この2年間で、同キャンペーンは「少なくとも209XMR(モネロ)」を不正にマイニングしており、その現在価値は約32,000ドルに相当します。

このマルウェアは、Goプログラミング言語で構築された3つのバイナリセットを使用しています。各バイナリは、マイニング処理が勝手に停止しないよう監視したり、マイニングプログラムを起動したりするなど、被害者のマシン上でそれぞれ特定の役割を担います。さらに、このキャンペーンは複数のエンドポイントとドメインを活用することで潜伏能力を高めており、たとえ発見された場合でもマルウェアがオンライン状態を維持できる仕組みになっています。

「WatchDogの運営者が熟練したコーダーであることは明らかであり、そのマイニング活動は比較的注目を集めることなく進められてきました。現時点では、追加のクラウド侵害活動(クラウドプラットフォームのIAM認証情報、アクセスIDやキーの窃取など)の兆候は確認されていませんが、さらなるクラウドアカウント侵害に発展する潜在的可能性は十分にあります。」

Palo Alto Networksは、脅威アクターがすでに移行していないとしても、今後さらにクラウドアカウント侵害活動へと拡大する可能性があると警告しています。

暗号資産マイニングマルウェアは犯罪者にとって有利益

近年の暗号資産市場の好況は、クリプトジャッキングキャンペーンが急成長するには絶好の環境となっています。

2019年1月にWatchDogマルウェアが活動を開始した当時、モネロの価格は1コインあたり約50ドルで低迷していました。もし価格がその水準のまま推移していた場合、このキャンペーンの利益は約10,000ドルにとどまっていたでしょう。当メディアでも、マルウェアが犯罪組織にとってどれほど大きな利益をもたらしうるかについて報じてきましたが、クリプトジャッキングキャンペーンに関しても同様の傾向が確認されています。

クリプトジャッキングマルウェアは、プライバシー重視の設計が特徴のモネロをよく利用します。モネロは(擬似匿名性にすぎないビットコインとは異なり)取引の完全なトレースが困難なためです。価格変動という観点から見ればクリプトジャッキングは一種の賭けですが、被害者のハードウェアを無断で使ってマイニングを行うため、一度得られた利益はほぼ純利益となる点が魅力です。

それでもなお、クリプトジャッキングは最も収益性の高いマルウェアの形態からは程遠い存在です。ランサムウェアは依然として被害者から金銭を巻き上げる最も効果的な手法の一つであり、法執行機関が犯罪ネットワークの壊滅に多大な努力を注いでいるにもかかわらず、その勢いが衰える気配はまったく見られません。