人気ゲームのtorrentファイルに隠されたMonero（モネロ）マイニングマルウェア

ハッカーらは、遠隔で起動可能なMoneroマイニングプログラムを配布するため、大規模な感染キャンペーンを開始しました。ハッカーらは人気のあるゲームのtorrentを通じてマイニングペイロードを配信し、主にゲーマーを対象としました。ゲーム用PCは一般的に、より強力なプロセッサを 8 コアを備えたプロセッサが搭載されている傾向があるためである。

最近の レポート Kasperskyによると、ハッカーらはGarry's Mod、Dyson Sphere Program、Universe Sandboxなどの人気ゲームtorrentの大規模な感染キャンペーンを開始し、 モネロ マイニングアプリケーションを配布した。ハッカーらはこのアプリケーションを遠隔で起動することができた。

マイニングプログラムの配布には人気のあるサンドボックスおよびシミュレーターゲームが選ばれ、ハッカーらは特にディスク容量の少ないゲームを特定して選定した。

ハッカーらはクラックされたゲームインストーラーを通じてマイニングペイロードを配信した。多くの場合、このようなクラック版インストーラーは、インストール時にユーザーがアンチウイルスソフトを無効にするよう要求する。

このキャンペーンは「StaryDobry」と呼ばれ、より迅速なダウンロードのために圧縮ファイル形式のゲームtorrentを利用した。

Kasperskyは、感染が最初に検出されたのは2025年1月であると指摘した。しかし、キャンペーン自体は2024年12月にすでに始まっていた。

実際、キャンペーンは少なくとも2024年9月、これらのゲームの初期バージョンがアップロードされた時点から準備が進められていた。しかし、これはあくまで配布フェーズに過ぎなかった。

Moneroマイニングプログラムは、8コア以上のプロセッサを対象とする

Kasperskyによると、遠隔起動型のMoneroマイニングプログラムは12月31日に起動された。マイナーの機能は、プロセッサのコアを最大限に活用するように設計されている。まず、最も高い収益を得られるよう、コンピュータに8コア以上のプロセスがあるかを確認する。プロセッサのコア数が8コア未満の場合、マイニングプログラムは起動されない。

この用途から、ハッカーらは主にゲーマーを対象とした。ゲーミングPCには通常、高速なプロセッサと強力なハードウェアが搭載されているためである。Kasperskyのデータによると、これらの感染の大部分はロシアで発生した。しかし、カザフスタン、ブラジル、ドイツ、ベラルーシでも事例が確認されている。

現時点で、この大規模感染キャンペーンの背後にあるチームは特定されていない。しかし、Kasperskyは、マルウェアのファイルの一部にロシア語が使用されていること、およびロシア国内で感染事例がより多く報告されていることから、ロシアのグループが関与しているとみている。