クリプトマイナー.

クリプトマイナーは、計算力で暗号資産を支えるプルーフ・オブ・ワークの問題を解き、ブロック報酬を得るプログラムです。正規のマイナーは所有者がインストールしますが、悪意あるクリプトマイナーはマルウェアによって配備されるか、ウェブページに注入されて密かに動作し、電力と計算資源を盗みます。これは クリプトジャッキング(cryptojacking) と呼ばれる不正利用です。攻撃者の大半はオープンソースのマイナー XMRig を用いて Monero(XMR) を狙います。Monero の RandomX アルゴリズムは CPU 向きで、リング署名により支払いの追跡が困難だからです。

実際のキャンペーンがその規模を示しています。2018 年 2 月、RedLock は侵入者が テスラ(Tesla) の認証のない Kubernetes 管理コンソールに到達し、AWS 認証情報を入手して回避技術(プールを CloudFlare の背後に隠し、CPU を抑制)でマイニング Pod を密かに実行していたことを発見しました。2019 年 10 月、Palo Alto の Unit 42 は、安全でない Docker デーモンを介して拡散する初のクリプトジャッキングワーム Graboid を報告し、約 2,000 台のホストに感染して断続的に Monero を採掘しました。Kinsing や(EternalBlue エクスプロイトを再利用した)WannaMine といった系統は、露出したクラウドサービスや未修正ホストにマイナーが便乗するさまを示しています。

兆候は、CPU/GPU の継続的な高負荷、短命な子プロセス、Stratum マイニングプールへの送信通信などです。多くのエンドポイント製品はコンテナ内部を検査しないため、クラウドや Kubernetes のワークロードには専用の監視が必要です。対策:既定で露出した管理コンソールの排除、マイニングプールのドメインと Stratum ポートの遮断、アプリケーション許可リスト、そして計算資源の想定外の増加を検知するコスト・使用率の異常アラートです。

flowchart TD
  A[露出した Docker/K8s API または未修正ホスト] --> B[攻撃者が XMRig ペイロードを配備]
  B --> C[マイナーが CPU を抑えつつ密かに動作]
  C --> D[Stratum マイニングプールへ接続]
  D --> E[Monero XMR を攻撃者ウォレットへ送金]
  C --> F[ワームが次の標的を探索]
  F --> A