侵害されたクラウドインスタンスの多くで暗号資産マイニング--グーグルのレポートで明らかに

　Google Cloud Platform（GCP）で実行されているセキュリティ設定の甘いクラウドインスタンスは、侵害後すぐに暗号資産（仮想通貨）マイニングマルウェアに感染させられていることが分かった。

　悪質なアクターが、侵害されたクラウドインスタンス内で暗号資産マイニングを実行していることが確認されている。侵害されたGoogle Cloudインスタンスの86％は暗号資産マイニングの実行に利用され、CPUやGPUのリソースが消費されていたという。攻撃者は貧弱なセキュリティ体制や脆弱なサードパーティーのソフトウェアを悪用し、Google Cloudインスタンスへのアクセスを獲得している場合が多い。

　また多くの場合、インスタンスを侵害した後の攻撃者の行動は非常に素早く、わずかな時間で暗号資産マイニングマルウェアをインストールしていることも分かった。

　Googleが発表したレポート「Threat Horizons」では、「不正な暗号資産マイニング活動に使用されたシステムを分析したところ、時系列に関する情報が明らかなケースでは、58％でインスタンスが侵害されてから22秒以内に暗号資産マイニングマルウェアがシステムにダウンロードされていたことが明らかになった」と述べている。

　もう1つの驚くべき傾向は、攻撃者が、インターネットに暴露されている安全ではないインスタンスを非常に短時間で発見して侵害していることだ。インスタンスがデプロイされてから侵害されるまでの最短時間はわずか30分だった。また、インスタンスの40％では、侵害されるまでの時間は8時間以内だったという。

　セキュリティ企業のPalo Alto Networksも、攻撃者をおびき寄せるためにクラウド上に同社が設置した320のおとりのインスタンスのうち、80％が24時間以内に侵害されたという調査結果を発表している。

　Googleのレポートで明らかになったように、インスタンスを適切に保護できていないGCPユーザーにとって、暗号資産マイニングマルウェアは大きな問題だ。

　侵害されたGoogle Cloudのインスタンスの一部は、単一のインスタンス内で複数の悪質な行為が行われているという。Googleは、「データの盗難がこれらの侵害の目的ではないようだが、悪意のあるアクターは複数の形態で悪質な行為を実行し始めており、これはクラウド資産の侵害に関連するリスクとなっている。インターネットにさらされたクラウドインスタンスはスキャンや総当たり攻撃の対象となりやすくなっていた」と指摘する。

　インターネットに暴露されているGCPインスタンスは攻撃者の格好の標的になっている。調査では、侵害されたインスタンスの半数弱は、ユーザーアカウントにパスワードが設定されていなかったか、パスワードが脆弱だった、あるいはAPI接続の認証がなかったことが明らかになった。

　「この調査結果は、脆弱なクラウドインスタンスを発見するために、パブリックIPアドレス空間が定期的にスキャンされていることを意味する。クラウドインスタンスに脆弱性がある場合、それが発見されるのは時間の問題だ」とGoogleは述べている。

　さらに、侵害されたインスタンスの26％では、所有者が使用していたサードパーティーソフトウェアの脆弱性が侵害の原因になっていたことも分かった。

　Google Cloudで最高情報セキュリティ責任者（CISO）オフィスのディレクターを務めているBob Mechler氏は、「成功している攻撃の多くは、サイバー衛生が不十分で、基本的なアクセスコントロールが導入されていないことが原因で発生している」と述べている。

　このレポートは、Google脅威分析グループ（TAG）、Google Cloudセキュリティおよびトラストセンター、Google Cloud Threat Intelligence for Chronicle、Trust and Safetyのほか、顧客やユーザーを保護するために取り組む社内のチームによる最近の観測についてまとめたものだ。