仮想通貨採掘のマルウェアに感染された政府サーバー

今回の分析レポートは仮想通貨の採掘マルウェアに感染された政府システムを報道したニュースの内容とスクリーンショットなどのOSINTやCTIシステムを通じて追跡した内容に基づいて作成されました。

メディアから報道された 仮想通貨採掘のマルウェア 事件のタイムライン

2017.10.05 12:03:48 ~ 2017.10.30 16:13:14

約25日間外部からアクセスしたログが確認され、アクセスの方法はSSHに推定される。（推定の根拠は後で説明します。）

2020.12.30 22:34:06

約３年が経った後、仮想通貨の採掘に疑われるトラフィックが45.9.148.99から発生した痕跡が発見、その前のログは保存されていないため、確認不可能。

ログに基づいて推定してみると、2017年の10月からハッカーがサーバーを掌握したとみられます。すなわち、このサーバーは2017年からハッカーが勝手に使えるようになり、正確にいつから採掘が行われ始めたのかは把握できないが、3年が経った2020年に採掘の痕跡が発見されたことからみると、様々な状況から３年以上採掘が行われてきた可能性が高いです。

悪性IPアドレスと 悪性コード 追跡

メディアから確認されたIPアドレスは45.9.148.99で、タイムラインは2020年でした。従って、このIPアドレスの2020年のデータを追跡する必要があります。また、ニュースを通じて報道された侵害事故分析報告書をみると、マルウェアに疑われるdota3.tar.gzというファイル名が確認されます。それゆえ、この二つを基盤として事件の内容を分析してみました。まず、該当IPアドレスはオランダのホスティングサーバーと推定されます。

2020.06.11,  Outlawのモネロ採掘の悪性コード

仮想通貨採掘に疑われるトラフィックが記された時点と近い時期に、oguzhantopgul.comのブログに面白い投稿がアップロードされました。（https://www.oguzhantopgul.com/2020/06/outlaw-botnet-xmrig-miner-and-shellbot.html）投稿にはOutlawハッキンググループがモネロ採掘の悪性コードを感染させるためにIRCボットやSSH Bruteforce手法を用いたという内容が記載されています。また、この投稿で明示される採掘のためにハッカーと通信したIPアドレス（45.9.148.99）と悪性コードに疑われるパッケージ（dota3.tar.gz）全てが畜産モニタリングシステムのハッキングの状況と完全に一致していることがわかります。従って、2017年のハッカーの畜産モニタリングシステムへの外部アクセスもSSHアクセスだったと予想できます。