LinuxのXMRigボットネット、PAMを悪用しファイルレス型のMoneroマイニングと永続アクセスを実現

2026年5月に発見されたMonero(XMR)の隠密クリプトマイニングキャンペーンは、Linuxのプラガブル認証モジュール(PAM)を悪用することで検知を回避し、ファイルレス実行を維持しながら、侵害されたホスト上の複数のユーザーアカウントにまたがって永続化を図っています。

V25(第26世代)キャンペーンファミリーの一部として追跡されているこの活動は、サプライチェーン悪用とPAMの武器化、そしてMITRE ATT&CKのT1564.013「アーティファクトの隠蔽」に相当する成熟した手口を組み合わせている点が特徴です。

攻撃者は初期侵入に成功すると権限をroot権限まで昇格させ、その直後に隠密行動へと移行します。

rootとして堂々と活動すればSOC(セキュリティオペレーションセンター)のアラートを誘発しかねません。そこで攻撃者はPAMを武器化し、pam_rootokポリシーをsuユーティリティと組み合わせて悪用します。

これにより、rootから複数の低権限アカウントへパスワードなしで切り替えることが可能になります。その結果、悪意ある活動が一般ユーザーのアカウント間に分散されて法医学的な捜査の目をくらませる煙幕となり、監視の目が届かないアイデンティティの下でcronベースの冗長な永続化がひそかに仕込まれます。

対応チームがroot権限の侵害への対処のみに集中してしまうと、ボットネットはこうした影に隠れたアカウントから再び姿を現します。これはまさに「ヒドラ」のような永続化モデルと言えるでしょう。

可視性をさらに低下させるため、攻撃者はホストのテレメトリにも積極的に干渉します。主要なロギングサービスは停止され、認証ログは削除または改ざんされます。これにより、ファイルベースの監視に依存する防御手段は目隠しされ、初期の権限昇格の連鎖を再構築することも困難になります。

これはATT&CKの「アーティファクトの隠蔽」ファミリー(T1564)、とりわけLinuxに特化したサブテクニックT1564.013と密接に一致します。この手法は、OSのネイティブ機能を悪用して標準的なツールからプロセスやファイルシステムのアーティファクトを隠蔽する手口を示すものです。

今回のキャンペーンでは、ファイルシステムレベルだけでなく、プロセスおよびネットワークの層においても隠蔽が行われています。これにより、通常の管理者向けビュー(ps、top、/proc)や境界のテレメトリからは、進行中のクリプトマイニング活動についてほとんど何も明らかにならないようになっています。

この攻撃活動の中核をなすのは、大幅にカスタマイズされたXMRig 6.25.0のビルドです。musl libcでクロスコンパイルされており、内部的には「PRIVATE VERSION FOR BOTNET」と名付けられています。

このバイナリは、/tmp/.lockにミューテックスを作成することで実行時のガードレールを実装しており、単一インスタンスでの動作を強制し、侵害の存在を管理者に露呈しかねないリソース競合を防いでいます。

このロックの作成直後、インプラントは自身をアンリンクします。つまり、ディスク上の自身の実行ファイルを削除しながら、メモリ上では動作を継続するのです。

このファイルレス実行の手法により、デジタルフォレンジックは大幅に困難になります。従来型のエンドポイントスキャナーがフラグを立てるための静的なバイナリがディスク上に残らないため、調査チームはメモリ取得とメモリカービングへと軸足を移し、実行時のアーティファクトや設定データを回収する必要に迫られます。

データ復旧サービス

いったんメモリ上に常駐すると、マイナーはハードウェアの利用を積極的に最適化していきます。CPUトポロジーをプロファイリングし、Huge Pagesを割り当て、モデル固有レジスタ(MSR)を操作してハッシュレートを最大化する一方、付属のbashスクリプトが競合するプロセスを終了させ、システムリソースを独占します。

その独自のコマンドラインインターフェースは標準的なXMRigの使用法から逸脱しており、DNSシンクホールを回避するハードコードされたIPを使ってLANプールマイニングを行う「-lan」フラグや、プロセス一覧を偽装する「-h」フラグ(例えば「ssh」に見せかける)、自動インストールを無効化する「-c」フラグなど、独自のオプションが導入されています。

Group-IBの研究者によれば、この侵入は信頼された第三者との関係の悪用から始まります。これにより攻撃者は、パートナー企業の環境から正規のユーザーアカウントを使って被害者のネットワークへと足場を移し、境界防御を事実上迂回することが可能になります。

LinuxのXMRigボットネット

このインプラントはRandomX、CryptoNight系の各種バリアント、Argon2プロファイルなど複数のマイニングアルゴリズムファミリーに対応しており、新たなペイロードを再展開することなく、攻撃者が暗号通貨の種類やハードウェアプロファイルを柔軟に切り替えられるようになっています。

Group-IBの研究者によるバイナリ解析では、設定文字列や運用テレメトリを隠蔽するために多層的なXORベースの難読化が使われていることが明らかになりました。「I3F0」から「xmrig」への鍵の連鎖が引数の文字列を復号する一方、二次的な「CLIENT」鍵がマイニングプールの識別子とデフォルト設定を復号します。

復号されたデフォルト設定からは、プールのホストが「unable.download」であることが判明したほか、ハードコードされた認証情報を通じてキャンペーンの追跡マーカーが埋め込まれていることも確認されました。ユーザー名の値は「My-V25-GEN-26」、パスワードは「V25-GEN-26」となっています。

こうした識別子により、ボットマスターは数千に及ぶ感染エンドポイント全体にわたって世代ごとのパフォーマンス指標を集計し、活動をより大規模なV25ボットネットの系譜へと結び付けることができます。

ネットワーク層では、マイナーは無害に見える「Java/Agent」というユーザーエージェント文字列の背後にJSON-RPC Stratumのトラフィックを偽装しています。これにより通常のWebアプリケーショントラフィックに紛れ込み、単純なシグネチャベースの検知を困難にしています。

このキャンペーンにおけるMITRE ATT&CKのテクニックT1564.013を用いたアーティファクトの隠蔽は、サプライチェーンを起点とした初期アクセス、PAMを介したアイデンティティの煙幕、積極的なログ抑制、そしてファイルレスな自己アンリンクと組み合わさることで、Linuxを標的としたクリプトマイニングボットネットの現在の高度化ぶりを物語っています。

防御側にとって、静的ファイルスキャンや単純なDNSベースのブロックだけではもはや十分ではありません。検知戦略には、PAMおよびロギング基盤の継続的な完全性監視を組み込む必要があります。

root権限から一般ユーザーへの急速な移行を高精度で監査すること、/tmp/.lockのような一時的なミューテックスのアーティファクトを積極的に探索すること、そしてメモリ上の設定情報、プロセスの引数、JSON-RPCのペイロードを回収するための定常的なメモリフォレンジックも欠かせません。

セキュリティチーム、とりわけサイバーセキュリティアナリスト、脅威インテリジェンスの専門家、インシデント対応担当者、SOCオペレーターは、このキャンペーンを今後のLinux向けクリプトマイナー活動の設計図として捉えるべきでしょう。

セキュリティ監査サービス

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング(無害化)処理(例: [.])が施されています。再度有効化する際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

100万ドルのデータ侵害保証は本物の保護と言えるのか?: 無料のAI SOC侵害保証ガイド(10のポイント)をダウンロード