新たなShadowRay攻撃がRayクラスターを暗号通貨マイナーに変換

ShadowRay 2.0と名付けられた世界的なキャンペーンは、古いコード実行の欠陥を悪用して公開されたRayクラスターを乗っ取り、自己増殖型の暗号通貨マイニングボットネットへと変貌させます。

Anyscaleが開発したオープンソースフレームワーク Rayは、クラスターまたはヘッドノードと呼ばれる分散コンピューティング環境で、AIおよびPythonアプリケーションを構築・スケーリングすることを可能にします。

ランタイムセキュリティ企業Oligoの研究者によると、IronErn440として追跡している脅威アクターが、インターネット経由でアクセス可能な脆弱なRayインフラを侵害するために、AI生成のペイロードを使用しているとのことです。

彼らは、この悪意ある活動は暗号通貨マイニングにとどまらず、場合によってはデータや認証情報の窃取、さらには分散型サービス拒否（DDoS）攻撃の実行も含まれると述べています。

新たなキャンペーンだが、同じ（未修正の）欠陥

ShadowRay 2.0は、Oligoが明らかにした 別のShadowRayキャンペーンの継続であり、その活動期間は2023年9月から2024年3月まででした。

Oligoの研究者は、CVE-2023-48022として追跡されている古い重大な脆弱性が、両方のキャンペーンで悪用されていたことを突き止めました。このセキュリティ問題は、Rayが「厳格に制御されたネットワーク環境」と表現される信頼された環境で動作することを前提として設計されていたため、修正が提供されていません。

しかし研究者らによると、インターネット上には23万台以上のRayサーバーが存在しており、これは「最初のShadowRayを発見した際に観測した数千台」から大幅に増加しているとのことです。

本日のレポートでOligoは、11月5日に終了したGitLabを悪用したペイロード配信の攻撃と、11月17日から継続しているGitHubを悪用した攻撃という、2つの攻撃波を観測したと述べています。

ペイロードの機能

Oligoによると、攻撃に使用されているペイロードは大規模言語モデルの助けを借りて生成されたものだといいます。この結論は、コード構造、コメント、エラーハンドリングパターンの分析に基づいています。

例えば、あるペイロードを難読化解除したところ、「docstringや無意味なechoが含まれており、コードがLLMによって生成されたことを強く示唆している」と研究者らは気付きました。

これらの攻撃はCVE-2023-48022を悪用し、認証されていないRayのJobs APIにジョブを送信して多段階のBashおよびPythonペイロードを実行し、プラットフォームのオーケストレーション機能を利用してマルウェアをすべてのノードに展開し、自律的なクラスター間感染を可能にします。

暗号通貨マイニングモジュールもAI生成とみられ、利用可能なCPUおよびGPUリソースやアクセス権限の種類を確認します。ペイロードコード内で、攻撃者は少なくとも8コアとroot権限を持つシステムを「a very good boy（とても良い子）」と表現して好んでいることが分かりました。

このモジュールはXMRigを使用してMoneroをマイニングし、即座の検知を回避するために処理能力の60%のみを使用するようにしています。

Oligoは、マイナーが紛らわしいファイルパスに配置され、「dns-filter」のような偽のプロセス名を使って活動を目立たなくしていることを確認しました。永続化はcronジョブとsystemdの改変によって実現されています。

もう一つ興味深い点として、攻撃者は侵害したRayクラスターをマイニング目的で独占利用できるようにし、競合する他のマイニングスクリプトをすべて停止させます。さらに、/etc/hostsやiptablesを通じて他のマイニングプールへの接続をブロックします。

暗号通貨マイニング以外にも、このマルウェアは攻撃者のインフラに対して複数のPythonリバースシェルを開き、対話的な制御を可能にすることで、ワークロード環境データ、MySQL認証情報、専有AIモデル、クラスター上に保存されたソースコードへのアクセスおよび流出の可能性を生み出します。

また、Sockstressツールを用いてDDoS攻撃を実行することも可能であり、生のソケットを通じて大量のTCP接続を開くことで、非対称なリソース消費を悪用します。

攻撃者が作成したcronジョブを調査したところ、Oligoは、GitHubリポジトリに更新されたペイロードがないかを15分ごとに確認するスクリプトが実行されていると述べています。

ShadowRay 2.0への防御

CVE-2023-48022には利用可能な修正が存在しないため、Rayユーザーはクラスターをデプロイする際に、ベンダー推奨の「ベストプラクティス」に従うことが推奨されています。

Anyscaleは、最初のShadowRayキャンペーンが発見された後、この問題に関するアップデートを公開しており、その中でRayを安全で信頼された環境にデプロイすることなど、いくつかの推奨事項を挙げています。

クラスターは、ファイアウォールルールやセキュリティグループポリシーを使用して、不正アクセスから保護する必要があります。

Oligoはまた、Rayダッシュボードポート（デフォルトでは8265）に認可機構を追加し、AIクラスター上で継続的なモニタリングを実装して異常な活動を検知することも提案しています。