2026年5月に発見されたステルス性の高いMonero(XMR)クリプトマイニングキャンペーンが、LinuxのPluggable Authentication Modules(PAM)を悪用し、検出回避や永続化、さらには侵害環境全体にわたるroot権限レベルの活動の隠蔽を図っていることが分かりました。
この攻撃は、サプライチェーン侵害に起因するリスクの高まりと、Linuxインフラを標的とするファイルレスマルウェアの巧妙化を浮き彫りにしています。
侵入は信頼された第三者との関係を足がかりに始まり、攻撃者は正規のユーザーアカウントを使って被害者のネットワークに静かに侵入しました。
初期アクセスを獲得した後、脅威アクターはroot権限への昇格を行いました。通常はセキュリティ警告を発生させるroot権限での直接操作を避け、攻撃者はLinux PAM内のpam_rootokモジュールを悪用しました。
この手法により、suコマンドを使ってrootから複数の低権限ユーザーアカウントへパスワードなしで切り替えることが可能になりました。
攻撃者は悪意ある操作を複数の標準アカウントに分散させることで、フォレンジック調査を攪乱するスモークスクリーンを作り出し、インシデント対応者が単一の発生源まで活動を追跡することを困難にしていました。
さらに、これらのアカウント下にcronジョブを配置することで永続性を強化し、root権限が是正された後でもマルウェアが再生成できるようにしていました。
検出をさらに回避するため、攻撃者はロギング機構を積極的に無効化し、認証ログを改ざんしていました。
これにより、ファイルベースの監視に依存するセキュリティツールの可視性が大幅に低下し、攻撃ライフサイクルの重要な段階で防御側の目を効果的に塞ぐ結果となりました。
このキャンペーンの中核をなすのは、大幅に改変されたXMRigの改造版(バージョン6.25.0)で、musl libcを使ってコンパイルされ、内部的にはプライベートボットネットビルドとして識別されていました。このマルウェアには、ステルス性を維持しマイニング性能を最適化するための高度な技術がいくつも組み込まれています。
実行されると、このバイナリは/tmp/.lockにミューテックスファイルを作成し、実行インスタンスが常に一つだけになるようにします。その後、自己アンリンクと呼ばれる手法により、ディスク上の自身の実行ファイルを削除し、完全にメモリ上で動作するようになります。
このファイルレスの実行方式により、ファイルシステム上に永続的なバイナリが残らないため、フォレンジック解析が大幅に困難になります。
このマルウェアはホストのCPU構成を動的に評価し、マイニング効率を最大化します。
Huge Pagesを活用し、モデル固有レジスタ(MSR)とやり取りすることで性能を最適化する一方、競合するプロセスを終了させてシステムリソースを独占します。
標準的なXMRigの引数に代わってカスタムのコマンドラインインターフェースが用意されており、迅速かつ柔軟な展開を可能にしています。
注目すべきオプションとしては、DNSフィルタリングを回避するためのLANベースのマイニングプール接続、SSHなどの正規サービスを装うプロセスマスカレード、cronによる永続化を無効化したり最大CPU使用率を強制したりするフラグなどが挙げられます。
さらなる分析により、多層のXOR暗号化で保護された難読化構成データが明らかになりました。
「I3F0」や「CLIENT」といったキーが、マイニングプールの詳細を含む内部パラメータのデコードに使用されています。調査担当者は「My-V25-GEN-26」といったキャンペーン固有のマーカーを特定し、この活動をより広範なV25(第26世代)ボットネット活動と関連付けたとGroup-IBは述べています。
このマルウェアはさらに、MITRE ATT&CKのテクニックT1564.013(隠しアーティファクト)を用いており、プロセス名の偽装と難読化されたネットワークトラフィックによってその存在を隠蔽しています。
メモリ解析では、そのマイニング通信が「Java/Agent」というユーザーエージェント文字列を使って正規のトラフィックを模倣し、通常のアプリケーション通信に紛れ込んでいることが判明しました。
SOC調査の死角をなくし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を削減しましょう。
翻訳元: https://cyberpress.org/xmrig-botnet-pam-abuse/