ランサムウェアの流行はここしばらく増加傾向にありますが、この傾向に突然変化が見られます。特にビットコインをはじめとする仮想通貨の価値が上昇していることから、攻撃者は標的を絞っているようです。 cryptocurrency マイニング。仮想通貨マイニングマルウェアは、サイバー犯罪者にとって格好の攻撃ベクトルとなっています。マイニングの複雑さを考えると、仮想通貨を効果的にマイニングするには、コンピュータのマイニングプールが必要です。これを実現するために、サイバー犯罪者はマイニングプールを作成することを目的として、エンドユーザーのマシンをマイナーマルウェアで攻撃しています。このタイプのマイニング攻撃は、 分散マイニング.
このブログ記事では、現在進行中の暗号通貨のマイニングを目的とした分散型マイニングキャンペーンについてお話します。 MoneroMonero（XMR）は、2014年XNUMX月にローンチされたオープンソースの暗号通貨です。暗号通貨のマイニングには膨大な計算能力が必要です。サイバー犯罪者は、エンドユーザーのデバイスの処理能力を悪用して、標的の暗号通貨をマイニングしています。この目的のため、ハッカーは主にWordPressでホストされている複数のウェブサイトに侵入し、Moneroマイナーを配信しています。
Quick Heal Security Labs で受信したテレメトリによると、侵害された Web サイトには政府、製薬、教育機関の Web サイトが含まれています。
攻撃チェーン
このインフォグラフィックは、このキャンペーンの攻撃チェーンを示しています。
このキャンペーンでは、既知の脆弱性を持つウェブサイトが標的となっています。脆弱性が悪用されると、悪意のある難読化されたJavaScriptがウェブページに挿入されます。ユーザーが侵害されたウェブサイトにアクセスすると、挿入されたJavaScriptによって偽のフォントアップデートをダウンロードするように誘導されます。偽のフォントアップデートが実行されると、Moneroマイナーがダウンロードされ、ユーザーのシステム上で実行されます。この攻撃は現在、Google ChromeとFirefoxブラウザのユーザーのみを標的としています。
この攻撃の様々なフェーズを詳しく見ていきましょう。以下のFiddlerセッションキャプチャは、攻撃シーケンスを示しています。 攻撃シーケンスは製薬会社の侵害されたウェブサイトのシーケンスです.
挿入されたJavaScriptは実行時にフォント更新のためのポップアップウィンドウを表示します。分析はGoogle Chromeブラウザで実施され、「Chrome Font Pack」の更新を促すポップアップウィンドウが表示されました。図3にポップアップウィンドウを示します。
更新ボタンをクリックすると、画面上に説明ページがポップアップ表示されます。また、悪意のあるZIPファイルがGoogle Chromeのデフォルトのダウンロードディレクトリにダウンロードされます。ポップアップウィンドウに表示される指示は、ユーザーにファイルの実行を促します。
ダウンロードされたZIPファイル（例：「ttf.zip」）には、悪意のある「ttf.js」ファイルが含まれています。ユーザーが「ttf.js」をクリックすると、「cscript.exe」によって実行され、悪意のある実行ファイル（例：「Moneroマイナー」）がダウンロードされます。
JavaScript分析
挿入されたJavaScriptは難読化されており、難読化解除ルーチンとBase64でエンコードされた長い文字列で構成されています。
上記に挿入された JavaScript の難読化を解除すると、以下のコードが明らかになります。
上記の図 6 に示されているように、ユーザーを以下の悪意のある URL にリダイレクトします。
「hxxp://bmooc[.]net/wp-content/service/cat[.]php?m=f」。
上記の URL は、以下のような別の悪意のある JavaScript コードを取得します。
上記の悪意のあるJavaScriptは、Google ChromeとFirefoxブラウザでのみポップアップウィンドウを読み込み、ユーザーに偽のフォントアップデート（「ttf.zip」ファイル）のダウンロードを促し、インストール手順を案内します。
モネロマイナーの感染後の活動
実行が成功すると、Monero マイナーは以下の感染後トラフィックを生成します。
分析時点では、CnC サーバーは期待どおりに応答しませんでした。
既知の脆弱性を持つウェブサイトを侵害するという古くからある手法は、大量感染に効果的な方法であることが判明しました。今回のキャンペーンでは、侵害されたウェブサイトを利用して、大量のユーザーにMoneroマイナーを感染させています。これにより、Moneroマイナーの分散ネットワークが形成されます。デジタル通貨のマイニングという複雑な作業を解決するには、このようなマイナープールの分散ネットワークが効果的なツールであることが判明しています。ユーザーの皆様には、セキュリティ対策を講じることで、常に安全を確保することをお勧めします。 アンチウイルス 最新のセキュリティアップデートを適用します。
妥協の指標
bmooc[.]net
buyorganicvisitors[.]com
47D3C7B7510F7AA962B184CBF41EF630
主題の専門家
プラディープ・クルカルニ | プラシャント・ティレカー、クイックヒール・セキュリティ・ラボ
