温度監視アプリの開発中に、Claude Codeが隠れた暗号資産マイナーを発見したとの報告がMacユーザーから寄せられました。センサーの数値が想定外に高かったため、コーディングアシスタントがCPUの動作状況を調べたことがきっかけです。
Redditの投稿によると、アシスタントはXMRigがCPUを約1,175%消費していることを突き止めました。これはプロセッサコア約12個分に相当します。このユーザーが訴えていた動作の重さも、これで説明がつく可能性があります。
投稿された画像では、Claudeが112°CというCPU温度のピークを報告しています。ただし、これらの数値はあくまでユーザー自身の報告に基づく観察結果であり、第三者が検証したフォレンジック上の知見ではありません。
調査は、アプリの精度を確認するためにClaude Codeが温度センサーの生データを出力したことから始まったとされています。Claude Codeは、異常に高い値をソフトウェアの問題とだけ決めつけませんでした。どのプロセスがプロセッサ資源を使っているかを確認したのです。
この確認で、マイナーとみられるプロセスが見つかりました。スクリーンショットでは、Claudeは自身がこのソフトウェアをインストールしていないと明言しています。また、不審な自動起動の設定は、アプリの開発作業を始める前から存在していたと説明しました。
ただし、Macがいつ、どのように感染したのかは、入手できる資料からは確認できません。
アシスタントは、マイナーの実行パスを/tmp/rigupdaterと特定し、pool.hashvault.shに接続していたと報告しました。プロセスはその日の15:05に起動したとも述べていますが、スクリーンショットからは具体的な日付は確認できません。
Claudeは、ユーザーの~/Library/LaunchAgents/ディレクトリ配下にある自動起動項目も指摘しました。画面上の分析によると、この項目はファイル名がランダム化されており、日付は8月29日で、現在も実行中でした。
アシスタントによると、この項目ではbash経由で大きなエンコード済みスクリプトが実行され、あわせてKeepAliveも設定されていました。Claudeはこの組み合わせを典型的なマルウェアのパターンだと評価し、自動起動項目がマイニング活動と関連していると結論づけています。もっとも、スクリーンショットだけではスクリプト全体は確認できず、両者の関連性も独自に裏付けられません。
報告されたプロセス、一時ディレクトリにある実行ファイル、自動起動の設定を併せて見ると、単発のリソース急増にとどまらない事態がうかがえます。実行を維持する仕組みを備えたクリプトジャッキング事案とみられます。
ただし、この解釈はアシスタントによる調査結果の説明に依存しています。スクリーンショットには、GitHubへのプッシュが失敗し、GitHub CLIの認証を使って再試行しようとした様子も写っています。
Claudeは、ユーザー権限で動作する悪意あるソフトウェアは、そのアカウントが利用できる資源にアクセスできる可能性があると警告しました。GitHubの認証情報もその対象に含まれます。ただし、認証情報の窃取やリポジトリの侵害は確認されていません。
Claudeによると、プロセスの停止も削除もまだ行っていません。自動起動項目とマイナーを停止したうえで、関連ファイルを隔離する案を示しました。
駆除が完了したかどうか、マルウェアのハッシュ値、最初の感染経路、攻撃者の特定につながる情報は、いずれも資料に記載がありません。日常的なアプリ開発の最中に見つかった印象的な事例ですが、被害の範囲は明らかになっていません。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。チーム向けに詳細を見る
翻訳元: https://cyberpress.org/claude-code-detects-hidden-cryptocurrency-miner/
