dhpcd：4 年間潜んでいたクリプトマイナー

dhpcd とは

Akamai のインフラ上では数多くのインターネットサービスが稼働しているため、何が起きているかを広く把握することができ、こうした視野の広さによって新しい（またはそう思われる）マルウェアを発見することができます。2018 年 4 月、オープンソースの XMRigをベースとする、私たちが「dhpcd」と名付けたクリプトマイナーが、Akamai の脅威センサーで初めて確認され、その後も活動を続けています。検出された後もこれほど長い間、一貫して活動を続けるようなマルウェアはそれほど無いものです。これが可能であるのは、このクリプトマイナーがブルートフォースで侵入し、自らを隠し、検知するおそれのあるものの偵察を止めるためです。

この名前は、正規の Linux デーモンである dhcpdを目立たないようにもじって付けられたものです。 dhcpd は、起動中にマシン上で実行される DHCP サーバーを設定するプロセスです。こうした文字置換は、さまざまな攻撃ベクトルで検出を回避するために使用されています。これも、このマルウェアが 4 年以上も活動を続けていられる理由の 1 つでした。Tor 出口ノードを使用して姿を隠すため、攻撃元を追跡するのは不可能とは言わずとも困難です。その後、プライバシーコイン Monero を採掘します。クリプトマイナーのバイナリーファイルから Monero のウォレットも入手できました。

これまでにいくつかの変種も出ていますが、変種があることにより、感染したマシン上でのローカルな検出だけでなく、セキュリティベンダーやさまざまな脅威インテリジェンスフィードに対しても検出を回避できているようです。このブログ投稿では、攻撃フロー、緩和対応、さまざまな展開の影響について説明します。

攻撃キャンペーンの範囲

最初に dhpcd を検出して以来、2,215 回の攻撃を検出しましたが、攻撃者 IP は 843 個にわたり、平均で 1 攻撃者 IP あたり 2.6 サイトの攻撃が確認されました。送信元 IP ごとに、1～27 件の攻撃が観測されました。

840 の攻撃者 IP のうち、 Tor 出口ノードが約 80%であったため、攻撃の背後にある攻撃者を追跡することはほぼ不可能です。Tor の使用は OPSEC のベストプラクティスですが、攻撃者の立場側から見ると、Tor を使用する組織は、dhpcd （やその他のキャンペーンの）伝播とマルウェア配信に役立つことになります。Akamai のセンサーを攻撃した組織の中には、米国の大学やヨーロッパの非営利団体などに属するマシンがありました。

これらの国の Tor 出口ノードの数から考えると、攻撃者の IP のほとんどは米国とヨーロッパに存在します。ヨーロッパからの攻撃のほとんどは、ドイツとオランダからのものでした。

金の流れ

攻撃者は複数のウォレットを使用して、暗号資産採掘の利益を収集します。クリプトマイナーのバイナリーファイルには 13 個の Monero ウォレットがハードコードされていました。これらのウォレットを監視してみると、それぞれに 150～160 ドル相当の残高が含まれていることがわかりました。この程度の金額を取得すると、攻撃者は別のウォレットに「転換」すると考えられます。各ウォレットにある残高が比較的少ないことを考慮すると、実際のウォレットの数はかなり多いと考えられます。この金額の低さも、このマルウェアの OPSEC の一例です。額面を低く抑えることにより、気付かれてしまう可能性を減らしているのです。

私たちが評価したこれまでの利益の合計は約 85 mBTC で、これは約 2,000 ドルに相当します。しかし、入手したもの以外のマルウェアファイルにはさらに多くのウォレットがあると想定しています。そのため、実際の利益はもっと大きな額になるでしょう。

攻撃者は、minexmr[.]com のマイニングプールドメインを使用して Monero コイン（XMR）を採掘しました。例えば、sg97[.]minexmr[.]com、fr13[.]minexmr[.]com、us40[.]minexmr[.]com などです。リスト全体は IOC リポジトリに示しています。

8 月 19 日、これらのマイニングプールは閉鎖され、攻撃者は使用できる別のプールを見つける必要がありました。現在のマイニングプールは pool[.]supportxmr[.]com:80です。