Redisハニーポット : 脆弱なRedisデータベースを使用するサーバーで、仮想通貨のマイニングプロセスを隠すSkidMapの新たな亜種を発見

Doctor Webのウイルスアナリストは、侵害したLinuxマシン上にマイニング型トロイの木馬Skidmapをインストールするルートキットの新たな亜種を発見しました。このルートキットは、CPU使用率とネットワークアクティビティに関する偽の情報をユーザーに対して提供することで仮想通貨のマイニング活動を隠す、悪意のあるカーネルモジュールとして設計されています。この攻撃は、大規模なサーバーとクラウド環境を備えた(すなわちマイニングの効率が最も高い)企業を主な標的として、無差別に行われているものとみられます。

＃＃＃

データベース管理システムRedisは世界で最もポピュラーなNoSQLデータベースであり、Redisサーバーは X(旧Twitter)、AirBnB、Amazonなどの大企業で使用されています。その利点は明らかで、極めて高速なパフォーマンス、小さなメモリフットプリント、さまざまなデータタイプとプログラミング言語のサポートが挙げられます。一方で、欠点もあります。Redisはネットワークエッジで使用されることを意図していないため、デフォルト設定では基本的なセキュリティ機能しかサポートしていません。そのため、バージョン6より前のRedisにはアクセス制御や暗号化メカニズムが備わっていません。また、サイバーセキュリティに関する刊行物やレポートでは、毎年Redisの脆弱性が多数報告されています。たとえば、2023年には12件の脆弱性が発見され、そのうち3件は「深刻」であると判定されています。サーバーが侵害されてマイニング型トロイの木馬がインストールされるという事例の報告件数が増えるにつれてDoctor Webウイルスラボの興味をひくところとなり、実際に攻撃を受けてみる運びとなりました。そこで、Doctor Webでは保護されていないRedisサーバーを設置して招かれざる客を待ち受けました。サーバーは1年間稼働しており、その間に毎月約10,000～14,000件の攻撃を受けました。そして先ごろ、Doctor Webアナリストの予期していたとおり、このRedisサーバーに対するトロイの木馬SkidMapの亜種による攻撃が確認されました。予想外だったのは、マイニング活動を隠すための新たな手法が用いられていたということと、同時に4つのバックドアがインストールされていたということです。

この続きは以下をご覧ください
(リンク »)