OX Security、PolinRiderマルウェアのサーバー隠蔽先がEthereum(ETH)取引データと判明、IP4件を特定

ETHの取引データに隠されたサーバーアドレス

サイバーセキュリティ企業OX Securityの調査チームは、マルウェア「PolinRider」がコマンド・アンド・コントロール(C2)サーバーのアドレスをイーサリアム (ETH)のブロックチェーン上の取引データに埋め込む手口を確認したと発表した。この構造により、攻撃者は感染したソフトウェア本体に一切手を加えずにサーバー基盤を差し替えられる。報告は11月4日、「The Return of PolinRider: Hijacked npm Packages, Ethereum Blockchain to Conceal Malware Infrastructure」と題するレポートとして公開された。今週、トレーダーの関心がイーサリアムの価格動向に集まるなか、この発表が問題にしているのはイーサリアムネットワークのまったく別の性質だ。取引台帳が公開され、永久に保存され、どんなプログラムからでも読み取れる点であり、これが隠れ場所として好都合になる。

PolinRiderは、開発者がアプリケーションの部品を入手するレジストリであるnpm経由で配布される。既存のパッケージは無数のプロジェクトに取り込まれるため、不正化された一つの部品が単独の標的を超えて広がる。攻撃者は新規の悪性コードを公開するのではなく、正規の流通経路にあったパッケージを乗っ取り、そこへPolinRiderを組み込んだ。影響を受けたパッケージをインストールした開発者の端末でコードが実行され、その端末が攻撃者の足場になる。通常のマルウェアはサーバーアドレスをバイナリ内に直接書き込むため、防御側は固定の標的を探して遮断できる。サーバーを封じれば攻撃者はマルウェアを作り直して再配布する必要があり、時間もコストもかかる。PolinRiderはここが違う。感染したプログラムはイーサリアム上の特定の取引を参照し、そのデータフィールドに隠されたサーバーアドレスを取り出してサーバーに接続、さらなる悪性コードをダウンロードして実行する。スマートコントラクトすら不要で、普通の取引データだけでアドレスを運べる。チェーン上への一度の書き込みが、本来ならマルウェアの改変と再配布に相当する作業を置き換える仕組みだ。

OX Securityの調査では、このキャンペーンで使われたイーサリアムアドレス1件と、配布に関与したサーバーのIPアドレス4件が特定されている。ネットワーク防御側がログを検索するための具体的な手がかりとなる。攻撃者が新規パッケージではなく既存の部品を選んだ意味は大きい。確立されたコンポーネントには信頼と既存のインストール基盤があり、開発者は見覚えのある更新を疑って止まることは少ない。悪性コードが入り込んだ後は、ブロックチェーンの要素がキャンペーンの耐性機構として機能する。チェーン自体はマルウェアを保持せず、指針(ポインタ)だけを載せるため、ブロックチェーンを走査しても除去すべき目立ったものは見つからない。防御側が配布サーバーを一つ遮断しても、攻撃者は新しい取引に次のサーバーアドレスを書き込むだけで、すでに感染した端末は全て新たな記録を読んで再接続する。端末側は何も変わらずに作戦が存続し、攻撃と防御の通常の力関係が逆転する。レポートは端末の所有者へのリスクにも触れている。実際にコードが実行された場合は、当該コンピュータに保存された暗号資産ウォレットの情報やログイン認証情報が露出していないか調査するようOX Securityは勧めている。開発用端末で動くコードは典型的にこれらの情報の近くに位置するためだ。同社は窃盗の確定事実までは報告しておらず、実行が確認された環境での確認すべきリスクとして位置づけている。研究者の要約によれば、開発で使われる普通のソフトウェア部品が攻撃経路になり得ること、そして公開ブロックチェーンの取引データがマルウェア配布に転用され得ることが、この事例が示す要点だ。

攻撃基盤として読まれるブロックチェーン

この手法はテイクダウンの計算を変える。サーバーを一つ断っても防御側が得るのは数時間の猶予にすぎない。攻撃者はわずかなガス代を払って次のアドレスをオンチェーンに書き込めばよく、イーサリアム (ETH)に記録されたデータはバリデーターによって承認され、改ざんも削除もできないからだ。クリプトミキサーが資金の流れを覆い隠すのに対し、PolinRiderはチェーンの透明性を逆方向に利用し、感染コードだけが見に来ると分かっている場所に基盤情報を丸見えのまま置く。それだけに最後の防衛線はエンドポイント側に移る。開発チームは、自分たちの端末でどのパッケージが動き、それらがどの外部アドレスに問い合わせているのかを可視化する必要がある。OX Securityが公開した指標、すなわちアドレス1件とサーバーIP4件が、その捜索の出発点になる。