クリプトジャッキングとは?その概要と対策方法を解説

- 2018年04月12日[更新]
クリプトジャッキングとは?その概要と対策方法を解説



「クリプトジャッキング」とは、2017年の価値の高騰により非常に注目されることとなった仮想通貨を得ることを目的とした攻撃のこと。

仮想通貨は、一般の通貨と異なり、仮想通貨には「特定の国や機関が管理しない」「データ上でのみ存在する」などさまざまな特徴がありますが、それを入手する方法を悪用した攻撃がクリプトジャッキングです。
知らないうちにあなたもその被害に遭っているかもしれませんので、近年注目を集めている攻撃「クリプトジャッキング」。

今回の記事では「クリプトジャッキング」の特徴から、被害に遭わないための方法などを解説させていただきます。

クリプトジャッキン とは?

仮想通貨を取得するには、取引所で購入する方法の他に、マイニング(採掘)という方法でも手に入れることが出来ます。仮想通貨では、ブロックチェーンと呼ばれる技術を活用して、世界中の計算機で取引の情報や在庫の情報を計算して、全体として安全性を確保しています。そういった仮想通貨の運用に対して、「自分のパソコンを提供」し、計算を行なった場合に報酬として仮想通貨が得られる仕組みがマイニングです。

自分の意思で、パソコンなどの能力を提供して仮想通貨を得るのであれば問題は無いですが、気づかないままに第三者が勝手に自分のパソコンを使って計算をし、仮想通貨を得ていたとしたらどうでしょう。これがクリプトジャッキングです。

クリプトジャッキングでは、悪意を持った第三者がWebページにコードを埋め込むなどの方法で利用者の許可なしにコンピュータの能力を使って仮想通貨のマイニングを行います。

またこのようにマイニングを行うように仕掛けるマルウェアのことを「コインマイナー」と言います。
参考新たなマルウェア「コインマイナー」が急増中[サイバーセキュリティ.com ニュース]

クリプトジャッキングの方法

第三者が他人のコンピュータの能力を勝手に使って仮想通貨のマイニングを行うというクリプトジャッキングですが、具体的にどういった手口で行われているのでしょうか。

  1. ユーザーのコンピューターにコードを入れ込む
  2. Webサイトやバナーにコードを入れ込む

「1」のケースでは、主に本文に不正なリンクなどがあるメールをユーザーに送りつけ、ユーザーがクリックするとコードが実行されてコンピューターに取り込まれるというもの。
もう一つは、Webサイトやバナーに不正なコードを埋め込んでおき、ユーザーがページを閲覧すると実行されるというものです。

クリプトジャッキングは、こういった2つの方法で行われます。

クリプトジャッキング されるとどうなる?

では、ひとたびクリプトジャッキングが行われるとコンピューターはどうなるのでしょうか。
クリプトジャッキングが行われると、コンピューターは主に以下のような挙動を示します。

  1. 処理速度の大幅な低下
  2. 過負荷による熱暴走や停止

ユーザーの意図しないところでコンピューターのリソースがマイニングに使われるので、処理速度の大幅な低下や、過負荷による熱暴走・シャットダウンにまでつながるケースもあります。

クリプトジャッキング の被害事例

これまでクリプトジャッキングによってどういった被害が発生しているのでしょうか。ここで具体的な事例を紹介します。

ケース1テスラの例

今年2月に電気自動車などで知られている米国テスラのAWSによるクラウドシステムにStratumと呼ばれるマイニングのためのツールが仕組まれました。これによって、クラウドのリソースが勝手に仮想通貨のマイニングに悪用されるという事例が発生しました。

ケース2Showtime, Politifactの例

2017年秋に「Politifact.com」や「Showtime」といったサイトにクリプトジャッキングを行うためのコードが埋め込まれました。コードが埋め込まれたことによって、サイトを訪れたユーザーが気づかないままにコードを端末上で実行され、マイニングにコンピューターのリソースを提供することとなってしまいました。

ケース3Android端末にインストールされた事例

犯罪者によって約80万台のAndroid端末にMonero 仮想通貨をマイニングするためのソフトウェアが強制的にインストールされていた事例があります。これは今年に入ってから報告されています。

このように、昨年からの仮想通貨の高騰に伴ってクリプトジャッキングの被害事例が急速に拡大しています。

クリプトジャッキングを防ぐための対策

危険なクリプトジャッキング攻撃からコンピュータを守るためには、どういった対策をすれば良いのでしょうか。

クリプトジャッキングを防ぐためには、以下のような対策が必要となります。

  1. ブラウザの拡張機能から不要なものは取り除く
    参考拡張機能をインストールする、管理する

  2. ブラウザでのJavaScriptの実行を切っておく
    参考各ブラウザでJavaScriptを無効にする

クリプトジャッキングのコードは、主に不正なコードを埋め込んだサイトを訪問したり、バナーをクリックしたりした場合に実行されます。そのため、ブラウザでこういったコードが実行されないようにすることが不可欠です。
これ以外にできる対策としては、セキュリティ対策の基本である「ウィルス対策ソフトの導入と定義の更新」「OSやプログラムのこまめなアップデートプログラムの適用」といったものが挙げられます。

まとめ

昨年、Bitcoinなどの仮想通貨が高騰し、投資対象として非常に注目されたことは皆さんの記憶にも新しいことと思います。

しかし、価値が上がるに伴って不正に仮想通貨を手に入れて利益を上げようとする試みも増えています。その一つが他人の計算機リソースを勝手に使用して仮想通貨をマイニングするクリプトジャッキングです。

クリプトジャッキングでは主に、メールのリンクやWebサイトを改ざんしてコードを埋め込むことなどで、利用者の端末でマイニング用のコードを実行させて、第三者が仮想通貨を受け取るという手口となっています。

これを防ぐためには、ブラウザでJavaScriptを実行しないようにするなど不正なコードが実行されないようにする対策が有効です。

自分が知らないところで勝手にマイニングのためにリソースが活用されるようには、良いことではありませんよね。しっかりとした対策を行なってこれを防ぐことが大切です。

ゼロから始めるセキュリティ対策!
セキュリティチェック25
img_pdf

「セキュリティ対策」はインターネットを利用する全ての企業にとって必須

大企業であればお金をかけてしっかりとした対策に取り組めますが、
そんな予算もない中小企業の方々は、「セキュリティ対策が必要だとわかっていても何をすれば良いかわからない、、、」という方も多いはず。

そんな中小企業の方々、
特に50名以下の企業の社長、IT担当者、総務部担当者の方々は絶対に知っておきたい!自分でできるセキュリティ対策がチェックできるA4サイズ1枚にまとめた25項目のセキュリティチェックシートです。

メルマガ登録で無料ダウンロード!
無料ダウンロードはコチラ

IT企業10年間、Linux・Windows系のサーバ・インフラ系構築・運用エンジニアとして経験を積み、現在は、とある企業で社内SEとして活動。
多種多様な業務に携わってきたため知識は幅広く、得意分野はLinuxをはじめとしたサーバー構築。社内セキュリティ担当者としての経験も長く、セキュリティソフトウェアや、ゲートウェイ対策にも精通している専門家として活躍中。
>プロフィール詳細

こちらのページもご覧ください。

セキュリティ診断サービス

あなたの会社のWEBサイトは大丈夫?社内ネットワークも心配...
サイバー攻撃されて問題になる前にしっかりチェック!

標的型メール訓練サービス

近年増え続ける標的型攻撃の対策はできてますか?社長だけが大丈夫でも社員全員の意識を上げないと、メールが来たら1/3も...

セキュリティ人材の育成に

今後不足すると言われているセキュリティ人材の確保を早めに対応しませんか?たった2日で学べる集中コース!

情報セキュリティ監査

150,000円のセキュリティ監査!専属担当者の採用は難しいけど、セキュリティが心配...という方必見です。

メルマガ会員登録募集中

中小企業向けセキュリティチェックシートプレゼント!その他特典多数!詳細はこちらをクリック!

キーロガーとは?無料で検出する方法や駆除方法を解説

OSコマンド・インジェクションとは?その攻撃手法や対策を徹底解説

アドウェアとは?感染原因の把握や無料削除・駆除方法など徹底解説

作者:   サイバー攻撃