会社のPCでビットコインの記事を読んでいたら、仮想通貨発掘マルウェアの検出が表示されて慌てた。

11月1日のことでした。タイトルのままに慌てました。

要約すると。仕事中にビットコインとかマイニングとかを検索ワードにしてWeb閲覧していたらアンチウイルスソフトが反応し、ウイルスを駆除しましたというアラートが出たという結果です。

ビットコイン等の仮想通貨の発掘（マイニング）をするため、PCのリソースを一方的に利用するサービスがあること知っていましたが、普通のブログ記事を読んでいて会社のPCで検知されることを想定していなかった状態でした。

恥ずかしながらもっと怪しいサイトに仕組まれているだろう、という偏見がありました。。

Coinhiveとは、ブラウザを通すことでサイトの運営者が閲覧者に仮想通貨（BitCoinではなくMonero）を採掘させ、その収益を受け取るサービスです。

今回、ウイルスとして検知されたファイルもこのCoinhiveによるものです。
利用者の許可を得ないでPCのリソースを利用することから、マイニングマルウェアとかCPUハイジャッカーとか呼ばれたりしているようです。

下記はCoinhiveサービスの簡単な流れです。

使い方は簡単で、Coinhiveのページから登録、特定のスクリプトをサイト運営者ページのheadタグに埋め込むのみです。
そして、スクリプトを埋め込んだサイト運営者のページを開くと、ページ閲覧者のPCを利用してCPUが自動で計算を始め、計算時間に応じたMoneroが採掘されるという流れです。

採掘されたMoneroの3割はCoinhive側に送信され、残り7割はサイト運営者に支払われるサービスです。

サイト閲覧者は、勝手に発掘（Mining）に利用されていて何が起きているのか気付かないケースがほとんどというのがミソですね。

Coinhiveについては、こちらのブログで詳しく記載されています。
（私も参考にしました）
nmi.jp

検出時にアクセスしたブログ記事は「1週間で仮想通貨を発掘して○○円、お金を稼いでみた」的な内容が記載されていました。
もちろん、Coinhivesのサービス利用を閲覧者に許可するようなコメント等は無し。

閲覧したブログのページソースに下記の「.js」ファイルが埋め込まれていたことを確認しました。

https:／／coin-hive.com／lib／coinhive.min.js
（※　一部大文字にしています）

私の会社での利用端末は、TrendMicroのウイルスバスターを利用しており、このJavaScriptが「HKTL_COINMINE」として表示で検出された結果です。

勤務先ではアンチウイルスソフトのアラートを監視している部署があり、検出アラートから数分後に監視部署から電話が掛かってきてPCを回収されて終了。
（一連の対応が初のためびっくりしました）

突然アンチウイルスソフトが働くと驚きます。

同時にこのCoinhiveというサービスの仕組みは面白いですが、サイト閲覧者に無断でリソースを使うというのは確かに賛否両論だなと。

そのうち、このファイルハッシュ値と違うJavaScriptがそのうち出て（既に出ていそう）、アンチウイルスソフトでのウイルス検知を逃れる流れが続きそうに思えます。

補足で。Virus Totalでのファイル自体の検出率は30/60ですが、こちらの通りURLでの検出率は2/64です。

「coin-hive.com」へのアクセスはほとんどのアンチウイルスソフトで許可されているということになっています。

TrendMicro等によると、Andoroidに対応したマイニングマルウェアも観測されているようで厄介だなぁと。

今後スマホやPCでネットサーフィンをしていて勝手にCPU使われていたら気持ち悪いですよね。。
これらのサービスについて今後規制が入るのかどうなるのか。。

ITセキュリティ管理的日記