弱いパスワードが強い利益に：Moneroマイニングキャンペーンが公開SQLサーバーを悪用
TREE NEWS 報道： FortiGuard Labsのセキュリティ研究者は、脅威アクターがインターネットに公開されたMicrosoft SQL Serverデータベースをスキャンし、2,700以上の一般的な弱いパスワードの辞書を用いて総当たり攻撃でアクセスを試みるキャンペーンが進行中であると明らかにした。侵入に成功すると、攻撃者はMonero（XMR）暗号通貨マイナーとGh0st RATリモートアクセストロイの木馬を展開し、侵害したデータベースサーバーを静かに常駐するマイニングノードへと変えつつ、ホストへの直接的な制御も保持する。
このキャンペーンは少なくとも2026年10月初旬から活動していると報じられており、標的の選択は示唆に富む。公開されたSQL Serverインスタンスは、インターネット上で最も数が多く華やかさに欠ける企業インフラの一つであり、アプリケーションチームによって頻繁に立ち上げられ、堅牢化されることはまれで、外向きのマイニング通信を監視されることはほとんどない。この組み合わせが、コストをかけずに計算資源を求める攻撃者にとって魅力的で低コストなリソースとなっている。
Moneroが依然としてマイナーに選ばれる理由
Moneroの設計は、クリプトジャッキング（暗号通貨の不正マイニング）の既定通貨であり続ける理由となっている。CPUに優しいRandomXプルーフ・オブ・ワーク・アルゴリズムにより、ASICやGPUを必要とせず汎用サーバーハードウェア上で利益を出しながらマイニングできる一方、プライバシー機能が支払いの追跡を困難にする。すでにホストを侵害した攻撃者にとって、マイナーを導入する限界コストはほぼゼロであり、侵入が発覚しない限り収益は継続的に積み上がる。
- 参入障壁の低さ：RandomXは一般的なx86サーバーCPUに報酬を与え、SQL Serverホストには通常それが豊富にある。
- プライバシー：リング署名とステルスアドレスがマイニング資金の流れを不明瞭にする。
- 二重ペイロード：マイナーとGh0st RATの組み合わせは、アクターが転売や横展開を含む複数の方法でアクセスを収益化しようとしている可能性を示唆する。
暗号通貨エコシステム全体への影響
クリプトジャッキングは深刻な脅威ではなく迷惑行為として片付けられがちだが、業界に実際の影響をもたらす。不正マイニングはネットワークのハッシュレートを膨らませて経済分析を歪め、企業が知らぬ間に支払うエネルギーを消費し、そして最も重要なことに、暗号通貨インフラが本質的に犯罪活動と結びついているという言説を助長する。この言説は、マイニング事業や特にプライバシー重視の資産に対する規制を検討する規制当局や立法者によって繰り返し持ち出されてきた。
このキャンペーンの二重ペイロードの性質にも注目すべきだ。Gh0st RATは常駐的なリモートアクセスを提供するため、Moneroマイナーはより深い侵害の目に見える症状にすぎない可能性がある。データベースサーバー上でマイニングソフトウェアを発見した組織は、単にマイナーを削除するのではなく、ホストが完全に侵害されたものとして扱うべきである。
今後の展開
FortiGuardや他のセキュリティベンダーが、この特定のマイナーファミリーとパスワード辞書に対するシグネチャの対象範囲を拡大することが予想される。より重大なことに、この公表は二つの傾向を加速させる可能性が高い。すなわち、データベースの自動堅牢化とパスワードポリシーの適用の広範な採用、そして本来マイニングプールに正当に接続することのないデータベース層からの外向きネットワーク通信に対する監視の強化である。暗号通貨業界にとって、この出来事は、プライバシーコインの正当なユースケースが悪用者にとっての魅力と依然として絡み合っていることを思い起こさせる。防御側が総当たり攻撃による侵入に扉を閉ざそうとする中でも、この緊張関係はMoneroを規制当局の標的であり続けさせるだろう。
