クリプトジャッキングとは？種類と実例

近年、クリプトジャッキングは深刻なサイバーセキュリティ上の脅威となっています。クリプトジャッキングは、コンピューティングリソースを盗用し、無断で暗号資産をマイニングするサイバー攻撃です。無断のマイニングは金融機関に多大な損失をもたらす可能性があります。組織にとっても、ハードウェアの損傷や電力消費の増加が運用コストを押し上げます。

このブログでは、クリプトジャッキングの仕組み、攻撃手法、検知方法、防御策を解説します。また、攻撃者がさまざまな攻撃経路を使ってマイニング用マルウェアを拡散する方法や、主な侵害の兆候、こうした脅威から身を守るための方法も紹介します。

クリプトジャッキングとは？

クリプトジャッキングとは？

クリプトジャッキングとは、コンピューティングデバイスが乗っ取られ、暗号通貨のマイニングに利用されることです。このプロセスでは、攻撃者がマルウェアを挿入し、標的となったデバイスに仮想通貨マイニングに必要な複雑な数学的計算を解かせます。マイニングとは、仮想通貨取引が検証され、ブロックチェーン上に記録されるプロセスを指します。

クリプトジャッキングとは、コンピューティングデバイスを乗っ取り、暗号資産のマイニングに利用することです。攻撃者はマルウェアを侵入させ、標的デバイスにマイニングに必要な複雑な計算を実行させます。マイニングとは、暗号資産の取引を検証し、ブロックチェーンに記録するプロセスです。

マイニングには膨大な計算能力が必要です。クリプトジャッカーはシステムを乗っ取り、そのCPUやGPUをマイニングに利用します。彼らは通常、通常のコンピュータハードウェアを使用しても収益性のあるリターンが得られる暗号通貨（例：Monero。そのマイニングアルゴリズムはCPUに優しい）に焦点を当てます。

マイニングには大量の計算能力が必要です。攻撃者はシステムを乗っ取り、そのCPUやGPUをマイニングに利用します。通常は、一般的なコンピューターハードウェアでも採算が取れる暗号資産を狙います。たとえばMoneroは、CPUでのマイニングに適したアルゴリズムを採用しています。

なぜクリプトジャッキングは危険なのか？

クリプトジャッキングが危険な理由

この脅威は単一デバイスへの影響に留まりません。クリプトジャッキングマルウェアは通常、ワームのような特性を持っており、ネットワーク全体に拡散します。マルウェアはネットワーク内の他の脆弱なシステムを探し出し、マイニングノードのネットワークを構築します。このような動作は攻撃対象領域を拡大し、除去プロセスを複雑化させます。

クリプトジャッキングは大規模に、長期間検知されずに続く可能性があり、組織に深刻な被害をもたらします。マイニングにCPUリソースを使うため、システムの性能に直接影響します。特に24/7で稼働し、処理能力の限界に近いシステムでは、ハードウェアの劣化につながります。

この脅威の影響は、単一のデバイスにとどまりません。クリプトジャッキングのマルウェアは、ネットワーク全体に拡散するワームのような特性を備えていることが一般的です。ネットワーク内のほかの脆弱なシステムを探し、マイニングノードのネットワークを構築します。この動きによって攻撃対象領域が広がり、駆除も難しくなります。

クリプトジャッキングの影響

規制コンプライアンス違反（不正なコード実行による）

不正なマイニング活動による法的責任リスク

クリプトジャッキングによる経済的影響は、被害の規模に比例するとは限りません。複数のシステムが最大能力で稼働すると、組織の電気料金が急増します。継続的な消耗は、ハードウェアの交換費用にもつながります。性能の低下に加え、サービスの再展開に時間を要し、停止のリスクも高まります。事業への影響には、次のものもあります。

クリプトジャッキングの一般的な兆候
• 規制要件への違反（無許可のコード実行によるもの）
• 無許可のマイニング活動による法的責任のリスク

環境への影響も無視できません。攻撃者がデータセンターやクラウドインフラを狙うと、クリプトジャッキングは大規模に実行され、エネルギー消費と炭素排出量が大幅に増加します。

クリプトジャッキングの主な兆候コマンド＆コントロールサーバー (C2) への継続的なアウトバウンド接続を持っています。これらのリンクは通常、セキュリティチームが特定する必要のあるマイニングプロトコルに関連する標的型手法を使用しています。

システム管理者は、いくつかの典型的な兆候からクリプトジャッキングを発見できます。ユーザーアプリが動作していないアイドル状態でも、CPU使用率が高いままになります。タスクマネージャーやシステム監視ツールには、大量のリソースを消費する不明なプロセスが表示されます。

こうしたパターンは、ネットワーク監視でも明らかになります。感染したシステムは、マイニングプールやコマンド＆コントロールサーバー (C2)への外向きの接続を維持します。通常、これらの接続にはマイニングプロトコルに関連する特定の通信手法が使われるため、セキュリティチームはそれを特定する必要があります。

クリプトジャッキング攻撃の種類

影響を受けたハードウェアには、物理的な兆候も現れます。システムが高温になり、冷却ファンが全速力で回転します。バッテリー駆動のデバイスでは、稼働時間が大幅に短くなります。深刻な場合は、システムがクラッシュしたり、熱保護機能によって停止したりします。

1. ブラウザベースのクリプトジャッキング

ブラウザーを介したクリプトジャッキングにも、特有の兆候があります。タブを数個開いただけでも、WebブラウザーがCPUリソースを使い切ります。該当するブラウザータブを閉じるまで、性能の低下が続きます。ハッカーウェブサイトを乗っ取った結果である可能性があります。JavaScriptマイナーは、ユーザーが感染したサイトを訪問すると自動的に起動し、システムにファイルをダウンロードしないため、ユーザーは警告を受けません。

クリプトジャッキング攻撃の種類

近年、クリプトジャッキングは注目を集めていますが、その手口は一様ではありません。攻撃者はさまざまな方法でシステムに侵入し、暗号資産をマイニングします。攻撃の種類によって、展開方法、持続方法、影響の程度が異なります。

1. ブラウザーベースのクリプトジャッキング

クリプトジャッキングは、正規のソフトウェア配布チャネルを乗っ取り、代わりにマイニングマルウェアを配信します。攻撃者はソフトウェアパッケージ、更新プログラム、依存関係にマイニングコードを追加します。マイニングコンポーネントは、ユーザーが影響を受けるソフトウェアをインストールまたは更新するたびに、デジタル署名と共に自動的に展開されます。

ブラウザーベースのクリプトジャッキングでは、Webブラウザー内でマイニング用コードが実行されます。これは、ハッカーがWebサイトを乗っ取った結果として起こる場合があります。ユーザーが感染したサイトにアクセスすると、JavaScriptのマイナーが自動的に起動します。システムにファイルをダウンロードしないため、ユーザーは気付きにくくなります。

4. ファイルレス型クリプトジャッキング

2. バイナリベースのクリプトジャッキング

ファイルレス型クリプトジャッキングは、ディスクへの書き込みではなく、システムメモリ内のプロセス全体を利用します。これらの攻撃では、PowerShellスクリプトやその他のネイティブWindowsツールが使用され、マイニングコードのダウンロードと実行が行われます。ディスク上の痕跡がないため、検出がより困難になります。

バイナリベースの攻撃では、攻撃者が標的システムに悪意のある実行ファイルを送り込みます。マイナーは通常、正規のシステムサービスを装い、独立したプロセスとして動作します。システムの再起動後も残り、ハードウェアに直接アクセスできるため、ブラウザーベースのものより効率的な場合が多くあります。

5. クラウドインフラストラクチャのクリプトジャッキング

3. サプライチェーンを介したクリプトジャッキング

攻撃は、設定ミスのあるクラウドリソースやコンテナを標的としたクラウドインフラストラクチャに対して行われます。クラウドインスタンスでは、公開された管理インターフェースによる攻撃面、または不適切に設定された脆弱な認証情報を通じて、マイナーの展開が行われます。このような攻撃は、侵害された正当なアカウント認証情報を使用して追加のクラウドリソースをプロビジョニングすることで、規模が急速に拡大する可能性があります。

を介したクリプトジャッキングでは、正規のソフトウェア配布経路を乗っ取り、マイニング用マルウェアを配布します。攻撃者はソフトウェアパッケージ、更新プログラム、依存関係にマイニング用コードを追加します。ユーザーが影響を受けたソフトウェアをインストールまたは更新すると、デジタル署名とともにマイニング用コンポーネントも自動的に展開されます。

クリプトジャッキング攻撃はどのように機能するのか？

4. ファイルレスのクリプトジャッキング

クリプトジャッキングでは、攻撃者はマイニングコードを展開し、永続性を維持するためのアクションを実行するために、様々な技術的ステップを使用します。各手法には異なる攻撃ベクトルと悪用方法がありますが、本質的にはすべて、マイニングのパフォーマンスを最大化することで検出を回避するという、同じようなアプローチを取っています。

ファイルレスのクリプトジャッキングでは、ディスクに書き込まず、すべての処理をシステムメモリ内で行います。PowerShellスクリプトやWindows標準のツールを使い、マイニング用コードをダウンロードして実行します。ディスク上に痕跡が残らないため、検知が難しくなります。

ブラウザベースのインジェクション手法

5. クラウドインフラを狙うクリプトジャッキング

ブラウザベースのクリプトジャッキングの最初のステップは、正当なウェブサイトを侵害することです。ドメインクローラー攻撃では、ハッカーは脆弱なプラグイン、古いコンテンツ管理システム、または侵害されたサードパーティライブラリを介して、マイニング用JavaScriptコードをウェブページに埋め込みます。このコードが訪問者のブラウザ内で実行されると、WebSocket接続でマイニングプールに接続し、マイニングを開始します。これらのスクリプトは、検出を回避するためにスロットリング層で構築され、コードの重複を避けるためにドメイン検証を採用していることがよくあります。

この攻撃は、設定に不備のあるクラウドリソースやコンテナを狙います。クラウドインスタンスでは、公開された管理インターフェースや、適切に設定されていない脆弱な認証情報を悪用してマイナーを展開します。侵害した正規のアカウント認証情報でクラウドリソースを追加すれば、攻撃の規模は急速に拡大します。

バイナリ攻撃は、フィッシング、エクスプロイト、悪意のあるダウンロードによってシステムへの初期侵入が行われます。マイニング実行ファイルとサポートファイルが複数のシステムフォルダに配置されます。これらはマイニングプールの設定、ウォレットアドレス、CPU使用率に関する情報を含みます。レジストリキーの追加、タスクのスケジュール設定、サービスのインストールによって永続化が達成されます。

クリプトジャッキング攻撃の仕組み

クリプトジャッキングでは、攻撃者がさまざまな技術的手順を踏み、マイニング用コードを展開して活動を継続します。攻撃経路や悪用方法は手口によって異なりますが、いずれも検知を避けながらマイニング性能を最大化するという基本的な方針は共通しています。

ファイルレスマルウェアの手法

ブラウザーベースのコード挿入手法

ブラウザを利用したクリプトジャッキングは、正規のWebサイトを侵害することから始まります。ドメインクローラー攻撃では、攻撃者が脆弱なプラグイン、更新されていないコンテンツ管理システム、または侵害されたサードパーティーのライブラリを経由して、Webページにマイニング用のJavaScriptコードを埋め込みます。訪問者のブラウザ内でこのコードが実行されると、WebSocket接続を使ってマイニングプールに接続し、マイニングを開始します。これらのスクリプトには、検知されにくくするための処理速度の制御機構が組み込まれていることが多く、コードの重複を避けるためにドメイン検証も使用されます。

クリプトジャッキング攻撃を検知するには、様々なシステムコンポーネントの監視と多様な技術的指標の分析が必要です。組織が自社のインフラにおけるマイニング活動を確実に特定するには、多層的なアプローチが求められます。

バイナリベースの攻撃

1. システムパフォーマンス指標

バイナリベースの攻撃は、フィッシング、脆弱性の悪用、悪意のあるダウンロードによるシステムへの初期侵入から始まります。その後、マイニング用の実行ファイルと関連ファイルを複数のシステムフォルダーに配置します。これらには、マイニングプールの設定、ウォレットアドレス、CPU使用率に関する情報が含まれます。レジストリキーの追加、タスクのスケジュール設定、サービスのインストールによって活動を持続させます。

クリプトジャッキングの存在を調査するには、まずCPUとGPUの使用率を監視することから始まります。プロセッサの活動レベルを監視するツールなどを使い、通常の活動範囲を超えた持続的な高使用率が検出された場合にアラートを発動するのが一般的です。温度センサーは異常な温度挙動に関する情報を提供します。アプリケーション監視では、不適切な場所から実行されているリソースを大量に消費するアプリケーションを検出できます。

サプライチェーン侵害の手法

2. ネットワークトラフィック分析

この攻撃は、ソフトウェアのビルドシステム、更新サーバー、パッケージリポジトリを標的とします。攻撃者はソースコードやビルドスクリプトにマイニング用コンポーネントを追加します。パッケージは本来の機能を維持しながら、バックグラウンドでマイニングを実行します。攻撃者は検知やセキュリティ制御を回避するため、信頼できるベンダーから正規に取得されたコード署名証明書を繰り返し悪用してきました。マイニング用コードは通常のインストール手順が終わった後に実行されます。

3. メモリフォレンジック手法

ファイルレスマルウェアの手法

ファイルレスのクリプトジャッキングは、PowerShellやWindows Management Instrumentation（WMI）などのシステムツールを使い、マイニングコードをメモリ内で直接実行します。侵害は通常、悪意のあるスクリプトやマクロを介して発生します。これらのスクリプトは、コマンドサーバーで暗号化されたマイニング設定をダウンロードし、メモリ内で復号します。攻撃者はWMIイベントサブスクリプションやレジストリのRunキーを使って永続化し、デバイスの再起動後にマイニングコードを再読み込みさせます。

クリプトジャッキングの一般的な検出手法

クリプトジャッキング攻撃を検出するには、さまざまなシステムコンポーネントを監視し、複数の技術的指標を分析する必要があります。組織のインフラ内でマイニング活動を確実に特定するには、多層的なアプローチが欠かせません。

1. システムパフォーマンスの指標

クリプトジャッキングの調査は、CPUとGPUの使用状況の監視から始まります。プロセッサーの稼働状況を監視するツールは、通常の範囲を超える高い使用率が続くと、アラートを発します。温度センサーは異常な温度変化を把握する手がかりになります。アプリケーション監視では、不適切な場所から実行されている、リソース消費の大きいアプリケーションを確認できます。

2. ネットワークトラフィック分析

2つ目のネットワークベースの検出では、マイニングプールとの通信に注目します。ディープパケットインスペクションによって、既知のマイニングプールのドメインや海外のIPアドレスへの接続を特定できます。トラフィック分析ツールがマイニングプロトコルに一致する継続的なデータパターンを検出した場合、異常の兆候です。マイニングサービスへのSSL/TLS暗号化接続も検出します。

3. メモリフォレンジックの手法

メモリ分析ツールはメモリのスナップショットを取得し、シグネチャを用いてコードの動作を分析します。これにより、マイナーによるプロセスインジェクションの手法を検出します。メモリスキャナーは、プロセスメモリ内の暗号資産ウォレットのアドレスやマイニングプールのURLを特定します。実行時の動作を分析することで、既知のマイニングアルゴリズムに一致するコードパターンも発見できます。

4. PowerShellアクティビティの監視侵入検知システム はマイニングプールのトラフィックを認識します。横方向に移動するマイニングマルウェアは、ネットワークセグメンテーションによってブロックされます。DNS フィルタリングは、ターゲットからマイニングプールとして識別されたドメインへの接続を防止します。乗っ取られたシステムからの異常なトラフィックパターンは、帯域幅の監視によって検出されます。

PowerShellの監視は、ファイルレスマイニングの検出につながります。セキュリティツールはPowerShellコマンドの実行を記録・分析します。スクリプトブロックのログには、暗号資産マイニングのコマンドや設定が記録されます。モジュールログには、マイニングに使われたPowerShellモジュールの使用状況が残ります。トランスクリプションログは、PowerShellセッションのフォレンジック分析に必要な詳細を記録します。

5. ブラウザの動作分析 は、マイニングマルウェアからの保護を確保するのに役立ちます。アプリケーションのホワイトリスト化により、不正なマイナーの実行をブロックします。マイニングプロセスが検出された場合、そのプロセスは終了または遮断され、悪意のある乗っ取りを単独で実行できなくなります。リソース使用率アラートは、不審と思われるシステム活動を特定します。ファイル整合性監視により、システムへの不正な変更を追跡します。メモリ保護は、マイナーが使用するコード注入手法を妨げます。

ブラウザ監視ツールは、ブラウザがJavaScriptを使ってマイニングしていないか自動的に確認します。拡張機能の分析ツールは、ブラウザ拡張機能内のマイニングコードを検出します。Webページの監視では、暗号資産をマイニングするJavaScriptの実行を確認します。ネットワークリクエストの分析ツールは、マイニングサービスへのWebSocket接続を検出します。

クリプトジャッキングから守るためのベストプラクティス

クリプトジャッキングを防ぐには、セキュリティ対策と運用手順を組み合わせる必要があります。これらを重ねることで、最初の侵害やマイニングの試みを防ぐ多層防御を構築できます。

1. ブラウザのセキュリティ設定戦略は、既知の脆弱性が悪用されるのを防ぎます。セキュリティチームは、すべてのシステムに対して定期的な更新プログラムを用意すべきです。これにより、自動化されたパッチ展開を使用して、組織がタイムリーに保護を確保できます。パッチが適用されていないシステムの特定と、インフラ全体にわたる脆弱性スキャンによるパッチ状況の追跡は、構成管理によって行われます。

AIを活用したサイバーセキュリティ

リアルタイムの検知、マシンスピードのレスポンス、デジタル環境全体の可視化により、セキュリティ態勢を強化します。

デモを見る

結論

まず、ブラウザのセキュリティ設定を調整し、JavaScriptによる特定の機能の実行を防ぎます。セキュリティチームは、マイニングコードの実行を阻止するスクリプトブロック拡張機能を使用します。コンテンツセキュリティポリシーでマイニング関連のドメインをブロックします。ブラウザポリシーを使えば、信頼できない環境でのWebAssemblyの実行を無効にできます。ブラウザを定期的に更新することで、マイニングコードの挿入を許す脆弱性を修正できます。サイバーセキュリティ脅威です。コンピューティングリソースを枯渇させるだけでなく、運用コストの増加、ハードウェアの損傷、そして発生する可能性が高い規制違反に対する罰金により、こうした攻撃は多大な金銭的損失も引き起こします。マイナーは日々高度化する回避技術を採用しているため、組織がマイナーを検知・阻止することは困難です。企業は、クラウドセキュリティ体制において迅速な検知と対応を実現するソリューションとコストを両立させ、クリプトジャッキングに対する防御策を講じています。これらの攻撃ベクトル、ブラウザベースのインジェクション、ファイルレスマルウェアなどを把握することで、組織は適切な防御策を展開できます。クリプトジャッキングに対する堅牢な防御戦略は、システム監視、ネットワーク分析、従業員の意識向上で構成されます。

2. ネットワーク監視の導入

ネットワークを守るには、組織のインフラ内の適切な場所に監視ツールを導入する必要があります。マイニングプールのトラフィックを識別するため、侵入検知システム はシグネチャを使用します。ネットワークのセグメント化は、横方向に移動するマイニングマルウェアを阻止します。DNSフィルタリングは、対象システムからマイニングプールと特定されたドメインへの接続を防ぎます。帯域幅の監視は、乗っ取られたシステムからの異常なトラフィックパターンを検出します。

3. エンドポイント保護の設定

エンドポイントセキュリティツール は、マイニングマルウェアからの保護を強化します。アプリケーションの許可リストは、未承認のマイナーの実行を阻止します。マイニングプロセスが検出されると、そのプロセスは終了または破棄され、システムのリソースを悪用できなくなります。リソース使用状況のアラートは、不審なシステム活動を特定します。ファイル整合性監視は、システムへの未承認の変更を追跡します。メモリ保護は、マイナーが使用するコードインジェクションを妨げます。

4. セキュリティ意識向上の要件

ユーザーへの教育に向けて、セキュリティ意識向上プログラムにクリプトジャッキングの脅威を含める必要があります。研修では、システムの異常な動作の見分け方を扱います。従業員には、インターネットからソフトウェアを安全にダウンロードして実行する方法を教えます。インシデント報告の手順を整えることで、感染の疑いに迅速に対応できます。

5. パッチ管理の戦略

パッチ管理 の戦略は、既知の脆弱性の悪用からシステムを守ります。セキュリティチームは、すべてのシステムに対する更新を計画的に実施する必要があります。パッチの自動展開により、組織は適切なタイミングで対策を適用できます。構成管理では、パッチ未適用のシステムを特定し、インフラ全体の脆弱性スキャンとパッチ適用状況を追跡します。

まとめ

クリプトジャッキングは、複雑さと規模を増し続けるサイバーセキュリティ上の脅威 です。コンピューティングリソースを消費するだけでなく、運用コストの増加、ハードウェアの損傷、規制違反に伴う罰金によって、多額の経済的損失をもたらします。マイナーの回避手法は日々巧妙化しており、組織にとって検出と阻止は課題となっています。

企業はクラウドのセキュリティ態勢に合わせて、迅速な検出と対応に必要な対策とコストを検討し、クリプトジャッキングへの備えを進めます。ブラウザベースのコード挿入やファイルレスマルウェア などの攻撃手法を理解することで、適切な防御策を導入できます。クリプトジャッキングに対する確かな防御戦略には、システム監視、ネットワーク分析、従業員の意識向上が欠かせません。