研究者が不正シェアとXMRogueを使用して暗号マイナーキャンペーンを停止する方法を発見

サイバーセキュリティ研究者は、暗号通貨のマイニングボットネットを妨害するために使用できる2つの新しい方法を詳述しました。

この方法は、さまざまな一般的なマイニングトポロジーの設計を利用してマイニングプロセスを停止するものであると、Akamaiは今日発表した新しいレポートで述べています。

“私たちは、マイニングトポロジーとプールポリシーを活用して、暗号マイナーボットネットの効果を完全に停止させるまでに減少させる2つの技術を開発しました。これにより、攻撃者はインフラストラクチャを大幅に変更するか、キャンペーン全体を放棄することを余儀なくされます,” とセキュリティ研究者のMaor Dahanは述べました。

ウェブインフラストラクチャ会社によると、この技術は、攻撃者のマイニングプロキシまたはウォレットが禁止されるように、Stratumマイニングプロトコルを利用することに基づいています。これにより、操作が効果的に妨害されます。

2つのアプローチのうちの1つ目は、不正シェアと呼ばれ、ネットワークからマイニングプロキシを禁止することを伴い、結果として操作全体が停止し、被害者のCPU使用率が100%から0%に急落します。

マイニングプロキシは、攻撃者のマイニングプールとその延長としてウォレットアドレスを保護する仲介者として機能しますが、その通常の機能を妨害することで単一障害点にもなります。

“アイデアは簡単です：マイナーとして悪意のあるプロキシに接続することで、プロキシの検証をバイパスし、プールに提出される無効なマイニングジョブの結果 – 不正シェア – を提出できます,” とDahanは説明しました。”連続した不正シェアは最終的にプロキシを禁止し、暗号マイニングボットネット全体のマイニング操作を効果的に停止させます。”

これに伴い、XMRogueと呼ばれる社内開発ツールを使用してマイナーを偽装し、マイニングプロキシに接続し、連続した不正シェアを提出し、最終的にプールからマイニングプロキシを禁止します。

Akamaiが考案した2つ目の方法は、被害者のマイナーがプロキシなしで直接パブリックプールに接続されているシナリオを利用し、プールが1,000人以上のワーカーを持つウォレットのアドレスを1時間禁止できるという事実を活用します。

言い換えれば、攻撃者のウォレットを使用して1,000以上のログイン要求を同時に開始すると、プールは攻撃者のウォレットを禁止せざるを得なくなります。しかし、これは恒久的な解決策ではなく、複数のログイン接続が停止されるとすぐにアカウントは回復を図ることができることに注意が必要です。

Akamaiは、上述の方法がMonero暗号通貨マイナーを対象に使用されてきたが、他の暗号通貨にも拡張できると指摘しました。

“上記の技術は、プールの運用を妨げることなく、プールポリシーを利用して悪意のある暗号マイナーキャンペーンを効果的に停止する方法を示しています,” とDahanは述べました。

“正当なマイナーは、この種の攻撃からすぐに回復できるでしょう。なぜなら、彼らは簡単にIPやウォレットをローカルで変更できるからです。この作業は、ボットネット全体を変更する必要がある悪意のある暗号マイナーにとってははるかに困難です。しかし、あまり洗練されていないマイナーにとっては、この防御策がボットネットを完全に無効にする可能性があります。”