クリプトジャッキングが市場を襲う、モネロマイナーマルウェアが3,500以上のサイトを標的に

暗号通貨マイニング攻撃が再び発生し、3,500以上のウェブサイトが侵害され、ユーザーのブラウザが密かに乗っ取られて モネロがマイニングされている。この攻撃は、サイバーセキュリティ企業c/sideによって火曜日に発見された。2017年からこの手口を広めていたサービスCoinhiveが閉鎖されてから、ほぼ7年後のことである。

c/sideの研究者によると、このマルウェアは難読化されたJavaScriptコードに隠されており、ユーザーが感染したサイトにアクセスすると、ひそかにマイナーを展開します。ユーザーが感染したページにアクセスすると、スクリプトはデバイスのコンピューティング能力をひそかに評価します。そして、ユーザーの同意なしに、バックグラウンドで並列Webワーカーを起動し、マイニングを実行します。.

プロセッサの使用率を抑制し、通信をWebSocketストリーム経由でルーティングすることで、マイナーは通常のブラウザトラフィックの背後に隠れ、検出を回避します。「デジタルヴァンパイアのように、時間をかけてリソースを吸い上げることが目的です」とc/sideのアナリストは説明しています。.

クリプトジャッキングコードの動作

c/sideは、 コードを発見しました https://www.yobox[.]store/karma/karma.js?karma=bs?nosaj=faster.mo から読み込まれたサードパーティのJavaScriptファイルを通じて、ウェブサイトに挿入された Moneroを 、まずユーザーのブラウザがWebAssembly（高い処理能力を必要とするアプリケーションを実行するための標準規格）をサポートしているかどうかを確認します。 

次に、コードはデバイスがマイニングに適しているかどうかを判断し、「worcy」と呼ばれるバックグラウンドのWebワーカーを起動します。このWebワーカーはマイニングタスクを慎重に処理し、メインブラウザスレッドに影響を与えません。コマンドとマイニング強度レベルは、コマンドアンドコントロール（C2）サーバーからWebSocket接続を介して挿入されます。. 

JavaScriptマイナーのホスティングドメインは、決済カード情報の窃取で悪名高いMagecartキャンペーンと以前から関連付けられています。これは、現在のキャンペーンの背後にいるグループがサイバー犯罪の経歴を持っていることを示唆している可能性があります。. 

ウェブサイトの脆弱性を突いた脅威の拡散

ここ数週間、サイバーセキュリティの専門家たちはWordPressで稼働しているウェブサイトに対するクライアントサイド攻撃を複数発見しました。研究者たちは、悪意のあるJavaScriptまたはPHPコードをWordPressサイトに埋め込む感染手法を発見しました。.

攻撃者は、「accounts.google.com/o/oauth2/revoke」などのURLに関連付けられたコールバックパラメータにJavaScriptを埋め込むことで、GoogleのOAuthシステムを悪用し始めています。このリダイレクトは、ブラウザを隠蔽されたJavaScriptペイロードに誘導し、攻撃者のサーバーへのWebSocket接続を確立します。.

もう1つの方法は スクリプト 、wp_optionsやwp_postsなどのWordPressデータベーステーブルに直接埋め込むというものです。このスクリプトは、ユーザーを200以上のスパムドメインにサイレントにリダイレクトします。 

その他の手法としては、WordPressのwp-settings.phpファイルに変更を加え、リモートサーバーにホストされているZIPアーカイブからペイロードを取得するというものがあります。これらのスクリプトが有効化されると、サイトのSEOランキングに感染し、詐欺サイトの可視性を高めるコンテンツを追加します。.

あるケースでは、テーマのフッターにあるPHPスクリプトにコードが挿入され、ブラウザがユーザーを悪意のあるウェブサイトにリダイレクトしていました。別のケースでは、感染したドメインにちなんで名付けられた偽のWordPressプラグインが、検索エンジンのクローラーがページにアクセスしたことを検知します。このプラグインは、人間の訪問者には見えないまま、検索エンジンのランキングを操作するためにコンテンツをスパムします。.

C/sideは、Gravity Formsプラグインのバージョン2.9.11.1と2.9.12がサプライチェーン攻撃によって侵害され、公式プラグインサイトを通じて配布された事例について言及しました。改ざんされたバージョンは外部サーバーに接続して追加のペイロードを取得し、WordPress サイト。

2024年秋、米国国際開発庁（USAID）は、テスト環境における管理者アカウントの侵害をマイクロソフトが 警告した 。攻撃者はパスワードスプレー攻撃を用いてシステムにアクセスし、その後、USAIDのAzureクラウドインフラストラクチャを介して仮想通貨マイニングを行うための2つ目のアカウントを作成した。