欧州で多数のスパコンが乗っ取り、暗号資産マイニングに利用される

　欧州では、現地時間5月10日から1週間にわたって、多くのスーパーコンピューターで暗号資産（仮想通貨）マイニングマルウェアへの感染が次々に発覚し、調査のためにサービスが停止している。

　セキュリティインシデントが報告されたのは英国、ドイツ、スイスで、スペインの高性能コンピューティング（HPC）センターでも同様の事例があったとうわさされている。

　最初に問題が明らかになったのは、英国のエジンバラ大学で運用されている「ARCHER」だ。同大学は5月10日に、ARCHERのログインノードでのセキュリティ侵害があり、調査のためにARCHERのシステムをシャットダウンして、それ以上の侵入を防ぐためにSSHのパスワードをリセットしたと発表した。

　また同日、ドイツのbwHPCも、同様の「セキュリティインシデント」のために同組織が運用している5つのHPCクラスターをシャットダウンしたと報告した。

　その後数日間の間に、スペイン、ドイツ、スイスで同様の事例が相次いで報告されている。

攻撃者は盗まれたSSHのログイン認証情報を悪用

　いずれの組織も、侵入に関する詳細は公表していない。しかし、米国時間5月16日に、欧州のスーパーコンピューターを利用した研究の調整組織であるEuropean Grid Infrastructure（EGI）のコンピューターセキュリティインシデント対応チーム（CSIRT）が、一部のインシデントで発見されたマルウェアサンプルと、侵入されたことを裏付ける情報を公表した。

　米国のサイバーセキュリティ企業Cado Securityは同日、マルウェアのサンプルに関する分析結果を発表している。同社によれば、攻撃者は盗まれたSSHの認証情報を利用してスーパーコンピュータークラスターへのアクセスを獲得したとみられる。

　認証情報は、これらのスーパーコンピューターで処理を実行するためのアクセス権を持つ大学の研究者から盗まれていた。乗っ取られたSSHのログインアカウントは、カナダ、中国、ポーランドの研究者のものだった。

　Cado Securityの共同創設者であるChris Doman氏は、米ZDNetの取材に対して、全てのインシデントが同じグループによるものである確証はないものの、マルウェアのファイル名が似ていることや、ネットワークに残っていた情報などから、同じグループが実行した可能性もあると述べている。

　Doman氏の分析によれば、攻撃者は「CVE-2019-15666」の脆弱性を悪用してrootアクセスを獲得した後、「Monero」（XMR）の暗号資産をマイニングするアプリケーションを展開したとみられるという。

　悪いことに、今回スーパーコンピューターのシャットダウンを余儀なくされた組織の多くは、最近、新型コロナウイルスに関する研究を優先すると発表している。今回の侵入とその後のダウンタイムにより、それらの研究が妨げられた可能性が高い。

過去にも同様の事例

　スーパーコンピューターに暗号資産マイニングマルウェアが仕組まれたのはこれが初めてではない。しかし、ハッカーによってマルウェアが仕込まれたのは今回が初めてだ。過去のインシデントでは、職員が個人的な利益のために暗号資産マイニングソフトウェアをインストールしていた。

　例えば2018年2月には、ロシアの司法当局が、スーパーコンピューターで暗号資産マイニングを行ったとして、ロシア連邦核センターのエンジニアを逮捕している。

　またその1カ月後には、オーストラリアの司法当局が同国の気象庁で同様の捜査を開始し、職員が気象庁のスーパーコンピューターで暗号資産マイニングを行っていたことが明らかになった。