DockerイメージをクリプトジャックしMoneroをマイニングする攻撃者

This post is also available in: English (英語)

概要

ここ数年、効率よくソフトウェア アプリケーションをパッケージ化できるDockerコンテナが人気を博しています。そしてDocker Hubは、そうして作成したソフトウェア アプリケーションをユーザーや企業が共有する強力なコミュニティベース モデルとなっています。ただし、悪意のある攻撃者たちも、Dockerコンテナにクリプトジャッキングを仕掛け、侵害したイメージをDocker Hub経由で配信することで、ひと儲けしてやろうと注目しています。

パロアルトネットワークスは、2019年10月以降から活動しているazurenqlというアカウントを悪意のあるDocker Hubアカウントとして特定しました。このアカウントは、仮想通貨Moneroのマイニングをもくろむ悪意のあるイメージを6つホストしています。このイメージ内に仕掛けられている暗号通貨（仮想通貨）のマイニングコードは、ProxyChainsやTorなどのネットワーク匿名化ツールを使用して、ネットワーク検出を回避しようとします。このアカウントでホストされているイメージは、合計で200万回取得されています。参考までに、Docker Hubのマイクロソフトの公式アカウントでは、正当なAzure関連のイメージが数千回から1億回余り取得されています。特定したウォレットIDの1つは、少なくとも525.38XMR(米国ドルで約36,000ドル、日本円で約387万 円)を稼ぐのに使用されています。さらに、パロアルトネットワークスは、前回minexmr.comでこのウォレットIDをチェックしたときに、このウォレットIDがいまだに使用されていることを示す新しいアクティビティを確認しています。

弊社からの通知を受け、ただちに当該の悪意のあるDocker Hubアカウントを削除する対応をとってくださったDocker Hubのすばらしいセキュリティチームに、心から感謝申し上げます。

パロアルトネットワークスのお客様は、次世代ファイアウォールのThreat PreventionシグネチャおよびPrisma Cloudを通じて、この脅威から保護されています。

はじめに

パロアルトネットワークスは、Moneroをマイニングする悪意のあるイメージを6つホストしている8つのリポジトリを含む、Docker Hubコミュニティ ユーザー アカウント、azurenqlを特定しました。以下に、このアカウントとそのリポジトリのスクリーンショットを示します。

以下の表1に、このDocker Hubアカウントに存在するすべてのイメージの概要を、取得回数の多い順に示します。注目すべきは、トップのイメージが147万回取得されていることです。

表1: 問題のDocker Hubアカウントに存在するイメージの概要

Dockerイメージの構造

イメージの構築方法を理解するために、イメージazurenql/227_135:442のイメージ構造を確認しました。このイメージは、以下の手順で構築されています。

1. 「ベースイメージ」としてUbuntu 16.04.6 LTSを使用します。
2. gcc、make、pythonなどのソースからビルドに必要な依存関係をインストールします。
3. トラフィックを匿名化するためにTorをインストールします。Torは、そのデフォルトポートの9050をリスンするように構成されています。

4. ProxyChains-NGのソースをコピーして、ソースからビルドします。ProxyChains configは、ローカルのTor SOCKSプロキシ接続経由でそのトラフィックをルーティングするように、デフォルトのまま残されます。

5. マイニングソフトウェアXMRigのソースをコピーして、ソースからビルドします。
6. カスタムpythonスクリプトdao.pyをコピーして、イメージのエントリポイントとして設定します。

以下の図2にこの手順を示します。

カスタムスクリプトdao.pyの分析

これらのイメージの作成者は、dao.pyという名前のカスタムPythonスクリプトを使用しています。このスクリプトは、コンテナ内でマイニングプロセスを開始する機能を持ち、すべてのイメージに含まれています。

前述したように、このスクリプトは、イメージが起動されたらすぐにこのスクリプトが動作するように、イメージのエントリポイントとして登録されています。

表1のすべてのDockerイメージに、このdao.pyスクリプトの亜種が含まれています。これらのイメージに含まれる複数のdao.pyスクリプトの唯一の違いは、コマンドラインでXMRigを起動する方法です。表2に、コマンドラインでXMRigを起動するさまざまな方法を示します。

dao.pyスクリプトの実行フローの概要:

1. システムのCPUコア数を確認します。
2. ハッシュレートが増えるようにhugepagesシステムプロパティを設定します。

3. Torをインストールして依存関係を構築します。
4. proxychains-ngがまだインストールされていない場合、https://github.com/rofl0r/proxychains-ng.gitからインストールします。
5. XMRigバイナリ(dll)が/usr/local/binに存在しない場合、https://github.com/nguyennhatduy2608/azures/raw/master/からダウンロードします。
6. /usr/local/binにあるXMRigバイナリ(dll)と/usr/binのシンボリックリンクを作成します。
7. バックグラウンドでTorを起動します。
8. proxychainsからマイニングソフトを起動します。マイニングソフトは、前述したように、ローカルのTor SOCKSプロキシ経由でそのトラフィックをルーティングします。表2に、複数のバージョンのdao.pyで使用されるさまざまなマイニングコマンドの全リストを示します。

このスクリプトの実行ワークフローを、図5にも示します。

表2: dao.pyスクリプトで使用するさまざまなマイニングコマンド

マイニングインフラストラクチャ

暗号通貨マイニングとは、複雑な計算問題を解くことであり、それによってユーザーは取引ブロックを連結できます。上記のイメージは、被害システムの処理能力を利用して取引を検証します。ここで、イメージ作成者は、ユーザーの環境内で悪意のあるイメージを実行することによって、2つの方法でブロックをマイニングします。

1番目の方法は、攻撃者がマイニングしたブロックをウォレットIDを使用して中央のminexmrのプールに直接送信します。

Moneroマイニングプールのminexmr.comでこのウォレットIDを検索したところ、このウォレットIDがいまだに使用されていることを示す新しいアクティビティを確認しています。

以下の図6に、2020年の4月と5月に行われたこのウォレットのマイニングアクティビティを示します。

以下の図7は、このウォレットIDがすでに525.38XMRを稼いでいることを示しています。これは、約36,000米国ドルに相当します。

一方、2番目の方法では、作成者は、ホスティングサービス上にインスタンスを導入して独自のマイニングプールを実行し、それを使用してマイニングしたブロックを収集します。

表2の暗号コマンド列に、この方法の例が示されています。

結論

Dockerコンテナは、その普及率の継続的な拡大からも明らかなとおり、ソフトウェアのパッケージ化をうまく効率化してくれます。ですが同時に、Dockerコンテナを暗号通貨マイニングと組み合わせ、悪意のある攻撃者が構築したイメージをDockerをサポートするマシンに配布することにより、すぐさま計算リソースがクリプトジャッキングに利用されてしまいます。

パロアルトネットワークスの次世代ファイアウォールのお客様がThreat Preventionを購読している場合、この脅威から保護されています。パロアルトネットワークスは、このブログ記事で特定している悪意のあるイメージがネットワーク経由で配信されるのを防ぐために、脅威シグネチャをリリースしています。このシグネチャの詳細を以下に示します。

表3: NGFWカバレッジのシグネチャの説明

さらに弊社では、以下に示すようなセキュリティ ベストプラクティスを推奨します。

• 信頼できないリポジトリからのベース イメージの取得や使用は避ける
• パロアルトネットワークスの次世代ファイアウォールで最新のアプリケーション/脅威シグネチャを利用する
• パロアルトネットワークスのPrisma Cloudを使用しクラウド上でのデプロイを保護する

セキュリティ侵害の兆候

イメージ

マイニング インフラストラクチャ

ウォレットID

• 43ZBkWEBNvSYQDsEMMCktSFHrQZTDwwyZfPp43FQknuy4UD3qhozWMtM4kKRyrr2Nk66JEiTypfvPbkFd5fGXbA1LxwhFZf

ホスト名:ポート

• 73avhutb24chfsh6[.]onion:442
• 5pwcq42aa42fjzel[.]onion:442
• pool[.]minexmr.com:4444

IP:ポート

• 66[.]42.93.164:442
• 155[.]138.234.122:442
• 155[.]138.227.135:442
• 66[.]42.53.57:442
• 144[.]202.23.108:4444

サンプル

• dao.py script hashes
• 3a04405e8377dd1f159949e8acb0fa590fff965a871dc7cdc434216a4c253d1f
• 937d59ca356cac225c66b956d521ceaf60a4830584eea7941e378087391e0d8b
• b7e07fc8eaed7b1abbd70a5b8b7b885a1dd0012498e9389b9db9fdc46cd26ef9
• de518f16907ee056af49f60f098101a97cad7bcf76833169bbdfd89c06b6da93
• 81496a54fe3f9a7aace5b282e42853002fa2fde74a8782205edbd0106b0b8acd
• 5d1cb23f8f0ecd82769e9d346a06851927ac9738af1d0173c85f5457ffbde71c

Docker Hubアカウント

• hub.docker.com/u/azurenql