Sliver マルウェア: 違法な暗号通貨マイニングの新時代を牽引する仕組み

シルバーマルウェアの台頭を理解する

オープンソースのコマンド アンド コントロール (C2) フレームワークである Sliver マルウェアは、特にクリプトマイニングの分野で、サイバー攻撃者の間で強力なツールとして登場しています。TeamTNT として知られる悪名高いクリプトジャッキング集団は、特に Docker ベースのクラウド環境をターゲットにした攻撃を強化するために、この適応性の高いフレームワークを活用し始めています。

TeamTNT はサイバーセキュリティ分野で長年活躍しており、Sliver マルウェアの採用は、戦術を進化させ、拡大しようとする彼らの継続的な意欲を浮き彫りにしています。古いツールから Sliver への移行により、彼らは侵害されたサーバーをより正確に制御できるようになり、最終的には暗号通貨マイニングとリソースの収益化という彼らの目標につながりつつあります。

Sliver マルウェアの目的: 暗号通貨マイニングの強化

TeamTNT のキャンペーンにおける Sliver マルウェアの主な目的は、クラウド サーバーを制御して、不正な暗号通貨マイニング活動 (クリプトジャッキングとも呼ばれる) を行うことです。Sliver がサーバーに導入されると、攻撃者はデバイスをリモートで制御し、暗号通貨マイニング スクリプトを管理し、サーバーの処理能力を利用して所有者に知られずに暗号通貨をマイニングできるようになります。

Sliver の主な機能の 1 つは、この秘密の暗号通貨マイニング操作をサポートするさまざまなコマンドを実行できることです。これにより、攻撃者は必要に応じてマイニング プロセスを開始、監視、終了できます。さらに、Sliver は追加のネットワーク通信を容易にし、TeamTNT が侵害されたデバイスを Docker Swarm と呼ばれるより大規模な分散ネットワークに組み込むことを可能にします。これにより、TeamTNT は大規模なマイニング作業を調整したり、レンタル収入を受け入れるプラットフォームを通じてサーバー パワーを第三者に貸し出したりして、運用のための持続可能な収益モデルを作成できます。

Docker を Launchpad として利用: TeamTNT が Sliver を導入する方法

TeamTNT の Sliver を利用した攻撃は主に、スケーラビリティと効率性からクラウド ネイティブ環境で人気の Docker コンテナをターゲットにしています。Docker のオープン API は、適切に保護されていない場合でもアクセス可能であることが多く、TeamTNT がインフラストラクチャに Sliver マルウェアを注入するためのエントリ ポイントとなります。最新のキャンペーンでは、TeamTNT は公開されている Docker API エンドポイントをスキャンして脆弱なサーバーを特定し、自動的に暗号通貨マイニング ソフトウェアをインストールします。

この作戦の重要な部分は、Docker Hub を配布プラットフォームとして使用することです。TeamTNT は、Sliver マルウェアが埋め込まれた侵害された Docker イメージをホストすることで、キャンペーンを迅速に拡大し、多数の環境にマルウェアを拡散することができます。Sliver マルウェアに感染したコンテナが展開されると、デバイスを TeamTNT のコマンド インフラストラクチャにリンクする一連のスクリプトが実行されます。このインフラストラクチャは、マイニング活動を調整するだけでなく、管理者がリソースの不正使用を検出することを困難にします。

企業への影響: リソースの枯渇とセキュリティリスク

Sliver マルウェアをクリプトジャッキングに使用すると、特にクラウド インフラストラクチャに大きく依存している企業にさまざまな影響が及びます。まず第一に、クリプトマイニングは膨大な処理能力を消費するため、クリプトジャッキングは計算リソースを大幅に浪費する可能性があります。企業にとっては、アプリケーション パフォーマンスの低下、エネルギー コストの増加、予期しないサーバー ダウンタイムにつながる可能性があり、これらはすべてサービス提供と顧客満足度に影響する可能性があります。

Sliver の導入は、リソースの消費以外にも、一連の複雑なセキュリティ上の課題をもたらします。マルウェアはコマンド アンド コントロール フレームワークを通じて動作するため、攻撃者はこれを悪用してネットワーク内での足場を拡大することができます。アクセスが拡大すると、データの盗難、横方向の移動、その他の有害なソフトウェアの導入など、悪意のあるアクティビティがさらに発生する可能性が高まります。さらに、感染したサーバーをリモートで制御できるため、攻撃者は侵害されたネットワーク内外でさらなる攻撃を開始するためのプラットフォームを得ることになり、ビジネスの完全性と評判に対するリスクが増大します。

TeamTNT の戦術が脅威の状況の変化を示唆

Sliver マルウェアの採用は、サイバー犯罪のより適応性と洗練性が高まるという幅広い傾向を反映しています。従来のマルウェアとは異なり、Sliver はオープン ソースであるため、脅威アクターはステルス性の向上、リモート コントロール機能の強化、他のマルウェアとの統合など、ニーズに合わせてカスタマイズできます。この適応性により、Sliver は脅威アクターの特定の戦術と目的に応じて複数の目的に使用できます。

特に TeamTNT は、高いレベルの運用柔軟性を示しています。アプローチを変え、Sliver などの新しいツールを採用することで、彼らは回復力を維持し、妨害されにくくなっています。かつてはクリプトジャッキングのみに焦点を当てていた彼らの活動は、現在では、侵害されたサーバーへのアクセスの販売や、他の攻撃者へのサービスとしてのクリプトマイニングの提供など、追加の収益源を取り入れています。この多面的なアプローチは、防御努力を複雑にするだけでなく、違法なクリプトマイニング グループのビジネス モデルの成熟を示しています。

Sliverマルウェアや類似の脅威から身を守る

Sliver のような脅威から保護するには、企業はクラウド インフラストラクチャのセキュリティ保護に積極的な姿勢を維持する必要があります。これには次のものが含まれます。

• Docker API アクセスのロックダウン: セキュリティ保護されていない Docker エンドポイントは、TeamTNT の主要なエントリ ポイントです。Docker の API が強力な認証要件で安全に構成されていることを確認することで、不正アクセスを防ぐことができます。
• 異常なアクティビティの監視: 異常なサーバー パフォーマンスや高い CPU 使用率は、クリプトジャッキングの兆候である可能性があります。リソース使用率を積極的に監視することで、企業は潜在的なクリプトジャッキング アクティビティを検出し、さらに調査することができます。
• 定期的な脆弱性スキャン: 定期的なスキャンは、クラウド環境の露出しているポイントや弱点を特定するのに役立ち、攻撃者が脆弱性を悪用する前に企業が脆弱性に対処できるようにします。

したがって、Sliver マルウェアの台頭は、暗号通貨マイニング キャンペーンの実施方法に大きな変化があることを示しています。クラウド環境で事業を展開する企業にとって、TeamTNT のようなグループの戦術と目的を理解することは、進化するサイバー脅威に対する耐性を維持する上で非常に重要です。クラウド セキュリティと警戒により、企業は自社のシステムを不正な暗号通貨マイニング キャンペーンの被害やそれに伴う複雑な影響からより適切に保護できます。