暗号通貨マイニングマルウェア「Adylkuzz」がEternalBlue/DoublePulsarを介して拡散中

概要

5月12日金曜日、攻撃者達は世界中の企業LAN及びワイヤレスネットワークにマルウェアを迅速に拡散させるために、EternalBlueエクスプロイトを使った大規模なランサムウェア攻撃を行いました。EternalBlueは元々、Shadow Brokersが4月14日に暴露したNSAハッキングツールに含まれていたものです。このエクスプロイトは、TCPの445番ポート上のMicrosoft Server Message Block (SMB) を使ってネットワーク上の脆弱なコンピュータを検索し、他のマシンに悪意を持った任意のペイロードを拡散させることができる脆弱性 (MS17-010) を利用しています。さらにこの攻撃は、DoublePulsarと呼ばれるNSAバックドアを使ってWannaCryランサムウェアをインストールすることも確認されました。

しかしProofpointは、それに続く週末に、同じくEternalBlueとDoublePulsarを使ってAdylkuzzという暗号通貨マイナー (Miner: 採掘者) をインストールしようとする非常に大規模な攻撃を観測しました。初期のデータを見る限り、この攻撃はWannaCryを使った攻撃よりも規模において勝っていたと考えられます。それは、この攻撃が多くのSMBネットワークをシャットダウンしたことで、同じ脆弱性を狙う他のマルウェア (WannaCryワームなど) の感染を妨害し、先週のWannaCryの拡散を抑止したと考えられるからです。

この攻撃に遭った場合、Windowsの共有リソースへのアクセスができなくなったり、PCまたはサーバーのパフォーマンスが低下したりするなどの症状が現れます。5月15日朝、いくつかの組織からWannaCryが原因と考えられるネットワークの不具合についてレポートがありましたが、ランサムウェアに特有の警告文が出ていないことから、Proofpointではこれらの問題はAdylkuzzによるものであると考えています。Adylkuzz攻撃はWannaCry攻撃よりも早い時期に始まっており、少なくとも5月2日、恐らくは4月24日に始まっています。そしてこの攻撃は今でも継続しており、WannaCryよりも地味ではありますが、大規模で潜在的には極めて危険です。

発見

ProofpointはWannaCry攻撃を研究する過程で、研究用のマシンの中にEternalBlueの攻撃に対して脆弱なものがあることに気づきました。当初WannaCryに感染していると考えていたのですが、このマシンは予想もしなかった、目立たないマルウェアに感染していたのです。それが、暗号通貨マイナーの「Adylkuzz」でした。何度かテストして同じ結果を得た後、そのマシンを公開Web上に20分ほど放置したところ、Adylkuzzマイニング (Mining:ここでは仮想通貨の採掘) ボットネットに登録されました。

図1: 特定された何台かのホストのうちのひとつからのEternalBlue/DoublePulsar攻撃の様子、その後、他のホストからAdylkuzzをダウンロード: このキャプチャ画像のpcapのハッシュはIOCテーブルにあります

攻撃は、TCPの445番ポートを大規模にスキャンして標的を探している数台の仮想プライベートサーバーから行われていました。

EternalBlueによる侵害が成功した後、マシンはDoublePulsarに感染します。そしてDoublePulsarバックドアが、他のホストからAdylkuzzをダウンロードして実行します。Adylkuzzが動作を開始すると、既に動いている自分のインスタンスがあればそれを停止し、SMB通信を遮断してそれ以上感染が起こらないようにします。その後、感染マシンの公開IPアドレスを検出し、C&C (Command and Control) サーバーからマイニング指示やCryptominer、クリーンアップツールなどをダウンロードします。

Cryptominerとマイニング指示を配信するAdylkuzzのC&Cサーバーは、常時複数台設置されていたことが確認されています。図2はこの攻撃においてAdylkuzzによって生成された感染後のトラフィックです。

図2: 攻撃による感染後のトラフィック

この攻撃では、AdylkuzzはMonero暗号通貨のマイニングを行います。Moneroはビットコインに似ていますが、より匿名性が高められており、AlphaBay闇市場で使われるようになってから急速に使われるようになりました。AlphaBayは司法当局によると「ドラッグや盗まれたクレジットカード、模造品などを扱うことで有名な非合法Webサイト」ということです。他の暗号通貨と同様、Moneroもまた、マイニングによって通貨量を拡大します。マイニングプロセスには多量の計算リソースが必要で、その代わりにマイナーは報酬を得ます。その額は 7.58Moneroで、現在の交換レートでおよそ$205になります。

図3はAdylkuzzがMonero暗号通貨をマイニングしている様子です。ここに見られるように、プロセスはボットネットで配信でき、今では専門の高速なマシンを必要とするようになってしまったビットコインよりも簡単です。

図3: Adylkuzzに感染した仮想マシンの振る舞い解析の一部: SMBを遮断し、Moneroのマイニングを開始している

この攻撃に関連づけられたいくつかのMoneroアドレスのうちのひとつを図4に示します。Hash RateはMoneroをマイニングしているボットネットの相対的速度で、Total Paidはマイニング活動に対してこのアドレスに対して支払われた額です。この場合、このアドレスが活動を終えるまでに$22,000以上が支払われたことになります。

図4: Adylkuzzのマイニングに関連づけられたいくつかのMoneroアドレスのひとつ

あるAdylkuzzアドレスのマイニング報酬を見てみると、この攻撃が始まった4月24日以降に支払いが増えていることがわかります。5月11日に急減したのは、攻撃者がマイニングアドレスを新しいものに切り替えたからでは無いかと考えています。(図5) 常にアドレスを変えることで、ひとつのアドレスに多額のMoneroが支払われないようにしていると考えられます。

図5: あるAdylkuzzマイニングアドレスの日次支払い額

もうひとつのアドレスのデータと支払いの履歴を図6に示します。このアドレスにはこれまでに$7,000以上が支払われています。

図6: Adylkuzzマイニングに関連づけられたもうひとつのMoneroアドレス

三つ目のアドレスは高いHash Rateを持ち、これまでの支払総額は$14,000以上です。(図7)

図7: Adylkuzzマイニングに関連づけられた三つ目のMoneroアドレス

私達は現在、スキャンと攻撃のためのホストを20以上特定しており、1ダース以上のAdylkuzz C&Cサーバーが稼働していると考えています。さらに、この攻撃に関連したMoneroマイニングアドレスとAdylkuzz C&Cサーバーはもっと多数に上ると考えられます。

結論

先週のWannaCry攻撃同様、今回の攻撃も漏洩したNSAハッキングツールを使い、Microsoft Windowsのネットワーク機能の脆弱性を利用しています。実際にはAdylkuzzはWannaCryに遙かに先行して始まっています。古いバージョンのWindowsを使っている、またはMicrosoftが先月リリースしたSMBパッチを適用していない組織は、この種の攻撃に対してPCやサーバーが未だに脆弱な状態にあります。攻撃がランサムウェアを含んでいるのか、暗号通貨マイナーを含んでいるのか、あるいは他のタイプのマルウェアを含んでいるかに関係なく、これらの攻撃は極めて危険で大きな被害をもたらす恐れがあります。二つの大規模な攻撃が、同じ攻撃ツールと脆弱性を利用しました。その他の攻撃がこれに続くことが予想されますので、組織や個人はこれらのパッチをできる限り速やかに適用する事をお薦めします。

謝辞

ご協力頂いた以下の方々に謝意を表します。

            連絡に対して迅速に行動してくれたCloudflareとChoopaの皆様

            いくつかのアドバイスをくれた@benkow_

Indicators of Compromise

MISP JSON format フォーマットでも入手できます。

Select Dropped Samples

Executed commands:

taskkill /f /im hdmanager.exe
C:\Windows\system32\wbem\wmiprvse.exe -secured -Embedding
taskkill /f /im mmc.exe
sc stop WELM
sc delete WELM
netsh ipsec static add policy name=netbc
netsh ipsec static add filterlist name=block
netsh ipsec static add filteraction name=block action=block
netsh ipsec static add filter filterlist=block any srcmask=32 srcport=0 dstaddr=me dstport=445 protocol=tcp description=445
netsh ipsec static add rule name=block policy=netbc filterlist=block filteraction=block
netsh ipsec static set policy name=netbc assign=y
C:\Windows\Fonts\wuauser.exe --server
C:\Windows\Fonts\msiexev.exe -a cryptonight -o stratum+tcp://xmr.crypto-pool.fr:443 -u 49v1V2suGMS8JyPEU5FTtJRTHQ9YmraW7Mf2btVCTxZuEB8EjjqQz3i8vECu7XCgvUfiW6NtSRewnHF5MNA3LbQTBQV3v9i -p x -t 1
C:\Windows\TEMP\\s2bk.1_.exe /stab C:\Windows\TEMP\\s2bk.2_.log
taskkill /f /im msiexev.exe
netsh advfirewall firewall delete rule name="Chrome"
netsh advfirewall firewall delete rule name="Windriver"
netsh advfirewall firewall add rule name="Chrome" dir=in program="C:\Program Files\Google\Chrome\Application\chrome.txt" action=allow
netsh advfirewall firewall add rule name="Windriver" dir=in program="C:\Program Files\Hardware Driver Management\windriver.exe" action=allow
C:\Windows\445.bat
C:\Windows\system32\PING.EXE ping 127.0.0.1
net stop Windows32_Update
attrib +s +a +r +h wuauser.exe
C:\Windows\system32\SecEdit.exe secedit /configure /db C:\Windows\netbios.sdb
C:\Windows\system32\net1 stop Windows32_Update

Select ET signatures

2024217 || ET EXPLOIT Possible ETERNALBLUE MS17-010 Heap Spray
2024218 || ET EXPLOIT Possible ETERNALBLUE MS17-010 Echo Response
2024216 || ET EXPLOIT Possible DOUBLEPULSAR Beacon Response
2000419 || ET POLICY PE EXE or DLL Windows file download
2826160 || ETPRO TROJAN CoinMiner Known Malicious Stratum Authline (2017-04-28 1)
2017398 || ET POLICY Internal Host Retrieving External IP via icanhazip.com - Possible Infection
2022886 || ET POLICY Crypto Coin Miner Login