新種のLinux向けクリプトジャッキングマルウェア「Skidmap」、CPU使用率とネットワーク通信を偽装して検知を回避

クリプトジャッキング(不正な仮想通貨マイニング)は、マルウェア開発者にとって非常に利益の高いビジネスですが、大きな弱点を抱えています。マイニングはプロセッサーのリソースを大量に消費するため、被害者に攻撃の存在が気づかれやすいのです。しかし、ある種のクリプトジャッカーは、ユーザーに分かりやすい兆候を偽装することで検知を回避する手法を編み出しました。

「Skidmap」の出現

Skidmapは、所有者の許可なくコンピューターやサーバー上で仮想通貨のマイニングを行うLinuxベースのマルウェアです。Skidmapが特に危険とされるのは、発見や駆除を困難にする高度な機能を数多く備えている点にあります。

CPUの実際の使用率を隠蔽

まず、SkidmapはCPU使用率を偽装できます。これはルートキットを使用してプロセッサーの実際の使用状況を隠すことで実現されています。パフォーマンスを大幅に低下させる攻撃のため、ユーザーは自然とシステムリソースを確認しますが、偽装されたCPU使用率を目にすれば、動作の遅さはマルウェア以外の原因によるものだと判断してしまうでしょう。こうして、マルウェアへの疑いを巧みに逸らすことができるのです。

ネットワーク活動の隠蔽

クリプトジャッカーは、マイニングで得た報酬を受け取るためにデータを外部へ送信する必要があります。この通信もまた、クリプトジャッカーの居場所を突き止める「指紋」となり得ます。そのため、Skidmapはルートキットを使ってネットワークトラフィックを偽装し、マルウェアとの送受信通信をユーザーが発見できないようにしています。

駆除後も再感染

さらにSkidmapは、OSのカーネル自体に感染することができます。つまり、完全な駆除が非常に難しいということです。たとえユーザーが駆除に成功したとしても、Skidmapにはネットワーク内を移動する複数の経路があり、クリーン化されたデバイスへ再感染することが可能です。

なぜLinuxを狙うのか?

通常、開発者に収益をもたらすタイプのマルウェアはWindowsを標的とします。これはWindowsの普及率が高いためです。Windowsが動作するコンピューターが多ければ多いほど、マルウェアは広く拡散し、開発者はより多くの利益を得られます。では、なぜこのマルウェアは「マルウェアが最も拡散しにくいOS」とされるLinuxを標的にしたのでしょうか?

正規のクリプトマイナーたちは、主流OSの脆弱性を熟知しており、マイニング用途にはLinuxを採用することでセキュリティを強化してきました。その結果、Windowsマシンに比べてマルウェア攻撃を受ける可能性は低くなっています。

このため、本格的なマイニングリグ(採掘装置)の多くはLinuxで稼働しています。リグの高い処理能力に便乗して利益を得ようとするクリプトジャッカー開発者にとって、これらの環境はまさに格好の標的なのです。

Skidmapへの対策

Skidmapは極めて巧妙な潜伏能力を持つため、システムへの侵入を許さないことが何よりも重要です。そのために、悪質な感染を防ぐための基本的な対策を徹底しましょう。

まず、サーバーやシステムを常に最新の状態に保つことが脅威への有効な防御となります。また、マイニング用コンピューター、さらには同じネットワーク上のコンピューターにおいては、ファイルのダウンロードや実行を極力避けてください。加えて、不明なファイルにroot権限を付与しないことも大切です。使用しているのがLinuxだからといって、今やマルウェアに対する無条件の免罪符にはならないのです!

Skidmapの戦略を読み解く

Skidmapは、高度なクリプトジャッキングの悪質な事例といえます。Linuxカーネルに深く潜り込み、何度もの駆除を生き延び、偽のCPU使用率情報と偽のネットワークトラフィックによって自らの足跡を消すことができます。一度Skidmapに感染すると駆除は非常に困難ですので、初期感染を防ぐことに全力を尽くしましょう。

このニュースを聞いて、クリプトジャッカー感染に対してより警戒心を持つようになりましたか?ぜひコメント欄でお聞かせください。