ブロックチェーンマルウェアの終わりなき新手口

EtherHidingは、悪意ある攻撃者がスマートコントラクト内にマルウェアを隠し、ブロックチェーンを通じて拡散させる巧妙な新手の攻撃手法として、クリプト界隈で大きな話題を呼んでいます。MetaMaskのTaylor Monahanが、いわゆる「ブロックチェーンマルウェア」に関する新たな報告が出るたびに注目を集める理由と、防御側が過剰反応する前に基本に立ち返るべき理由について、自身の見解を語ります。

無限ループ

オンチェーンマルウェアに関する新たなレポートが出るたびに、セキュリティ研究者たちは声高に宣言します。「ついに、初の分散型・不変・阻止不能な脅威が現れた！」 LinkedInは騒然となり、ブログ記事が量産され、恐怖を煽るヘッドラインが最適化され、AI搭載のEDR（エンドポイント検知・対応）ソリューションが売り込まれます。

そして、こんな声が続きます。「だから言ったじゃないか！ブロックチェーンは詐欺師にとって完璧な配布手段だ！」 しかし、いつものように、そのキャンペーンは尻すぼみに終わります。アナリストたちは次の目新しいエクスプロイトへと移り、翌年のレポートに備えて、「初の分散型・不変・阻止不能な脅威」 が登場したことすら忘れてしまいます。

ブロックチェーンマルウェアに関するヘッドラインが完全に間違っているわけではありません。確かにマルウェアであり、ブロックチェーンを活用しています。ただ、それだけです。これらのキャンペーンは、一つの巧妙なトリックを除けばあらゆる点で平凡であり、だからこそすぐに忘れ去られてしまいます。

もし真に斬新かつ重大なもの——画期的あるいは壊滅的なもの——であれば、話は違ったかもしれません。しかし実際のところ、セキュリティ研究者は新奇性が大好きなのです。それは私たちにとって抗いがたい魅力です。OP_RETURNから80バイト未満を取得するボットネットや、スマートコントラクト経由で設定を更新するマルウェアなど、少しでも普通と違うものがあれば、私たちは飛びついてしまいます。分散型で阻止不能なマルウェアに満ちた世界を想像しながら、夢中になってしまうのです。

公平に言えば、一部の脅威アクターも同じ性質を持っています。エクスプロイトとともにナラティブを打ち出す「こだわり派」のサイバー犯罪者たちは、メディアの注目を集めるためにドラマチックなメッセージを作り上げ、マルウェアに署名して自分たちの仕業だと誇示します。彼らの活動は派手で見ていて飽きませんが、予想通り短命に終わります。注目を奪い合うことに必死すぎて、今日の収益が13ドルだったこと（あるいはFBIが昨日グループチャットを乗っ取ったこと）に気づく余裕もないのです。

確かに、そうした活動から学べる教訓はあります。ただ、「阻止不能・不変の脅威アクターになる方法」はその中に含まれません。

実際に深刻な被害をもたらす脅威アクターは、実利主義者です。ROI（投資対効果）が彼らの北極星です。ステルス性、スケール、持続可能性がその手段であり、妨害に応じて常に手法を変えています。

• メールを誰も読まなくなった → Telegramへ移行

• GitHubがリポジトリを削除する → プライベートリポジトリへ移行

• プライベートリポジトリは不審に見える → BitbucketやGitLabへ移行

• MetaMaskが悪意あるフロントエンドを即座に検知する → ランディングページの代わりにGoogle DocsやGitHubリポジトリを使用

そのため、脅威アクターがブロックチェーンを使っているのを見かけるたびに、私は必ず問います。ブロックチェーンは彼らにとってどんな問題を解決しているのか？失敗していたキャンペーンを成功に変えるうえで、どれほどの効果があるのか？

マルウェア、ブロックチェーンと出会う

マルウェアとは悪意あるソフトウェアです。コードです。空から降ってきたり、魔法のように生まれたりするものではありません。そのコードは、まず被害者のデバイスに侵入し、次に実行されることで初めて機能します。

通常のソフトウェアの場合、ウェブサイトやアプリストアを訪れてアプリケーションをダウンロードし、デバイスにインストールして実行します。このインストールプロセスでは、実際のソフトウェアが展開され、その中に含まれるコードが実行されます。ファイルを適切な場所に移動したり、個人設定を構成したり、利用可能なアップデートをサーバーに確認したり、コンピューター起動時に自動的に開始するよう設定したりといった処理が行われます。

マルウェアもこれらをすべて行います。ただし、こっそりと行わなければなりません。悪意あるソフトウェアは、エンドユーザーや他の誰かに悪意があると検知されてしまえば、悪意ある行為を実行できません。

そして、人々は常にエンドユーザーをマルウェアから守ろうとしています。Google Chromeは悪意あるURLやダウンロードに対して警告画面を表示します。OSは、特にユーザーの知らないうちに悪意あるコードがインストールされるのを防ぎます。ソーシャルメディアサイト、ウェブホスト、ドメインレジストラ、コードリポジトリはすべて、マルウェアオペレーターが悪意ある目的に利用するのを検知・防止するための対策を講じています。

その結果、マルウェアがエンドユーザーに届けられる方法は、時代とともに大きく進化してきました。マルウェアの作成者や運用者は、悪意あるペイロードを複数のステージに分割し、URLを難読化し、何かが削除された場合のフォールバックを組み込むために多大な労力を費やしています。

ブロックチェーンはどこに？

これまでの年月の中で、さまざまな脅威アクターがブロックチェーンをさまざまな方法で利用してきました。

具体的なメカニズムや技術的な詳細は異なっていても、ブロックチェーンが果たす役割は概ね同じです。

• 悪意あるコードは、被害者のデバイスを制御・維持するために、さまざまなリソースと通信する必要があります。

• それらのリソースは頻繁に変わります（例：サーバーが停止させられた場合）。

• 悪意あるコードが変更できない場合（例：マルウェアがすでに被害者のデバイスに存在する、またはコードが数千の侵害されたWordPressサイトに展開されている）、依存しているリソースがオフラインになると機能しなくなります。

そこでブロックチェーンを組み込むことで、何も削除できなくなり、すべてが魔法のように見えなくなり、匿名になる——分散型・不変・阻止不能な脅威の登場！ というわけです。

早まらないで

被害者のデバイスにマルウェアを送り込むには、複数のステージ、複数のリソース、そしてそれらのリソース間の何らかの通信が必要です。これらのステージの一部は検知を回避するためだけに存在し、他のステージは時間をかけて制御を維持するために存在します。

これを理解することが重要です。なぜなら、マルウェアは「ブロックチェーン上で動作している」わけでは決してありません。ブロックチェーンは感染チェーン全体を置き換えることすらしていません。

例えば、2019年頃のGluptebaの感染チェーンを（簡略化して）ビフォー・アフターで示すと以下のようになります。

そして、UNC5142のEtherhidingの初期進化のビフォー・アフターは以下の通りです。

このように見ると、ブロックチェーン要素が従来の感染チェーンに後付けで組み込まれていることがより明確になります。これは既存の活動の進化であり、時には妨害への直接的な対応でさえあります。

この違いは、新奇性とリスクを切り分ける必要がある防御側にとって重要です。これらのキャンペーンを阻止する主要な対策は、結局のところ変わりません。 脅威アクターは、キャンペーンが引き続き成功していると判断すれば、C2の停止といった妨害を常に回避しようとします。個人と組織は、初期侵害を減らし、静的な指標ではなく行動に基づいて脅威を検知し、侵害後のエンドポイントを封じ込めるための対策を確保するために取り組まなければなりません。ブロックチェーンの存在は、これらのいずれも変えません。

ブロックチェーンの利点

以上を踏まえて、研究者たちが長年にわたって表で強調してきたブロックチェーンの利点を改めて検討してみましょう。

耐障害性

• 「ハードコードされたURLはブロックされやすく、マルウェアのインストールを機能不全にさせる。」 出典：Cerber ランサムウェア

• 「元のC2がオフラインになっても、感染したマシンが感染状態を維持できることを保証する。」 出典：Glupteba

• 「検知・削除の取り組みに対する耐障害性を高める。ブロックチェーンの不変性により、差し押さえや削除の操作も困難になる。」 出典：UNC5142のEtherHiding

• 「削除すべき中央サーバーが存在しない。」 出典：UNC5342のEtherHiding

• 「従来のC2サーバーは法執行機関に差し押さえられたり、ホスティングプロバイダーによってシャットダウンされたりする可能性があるが、ブロックチェーンに保存されたデータは数千の分散ノードに複製されている。」 出典：Cross-Chain TxDataHiding

• 「スマートコントラクトは一度デプロイされると、コントラクトオーナー以外が簡単に削除・変更することはできない。」 出典：UNC5342のEtherHiding

現実確認：ブロックチェーンは最も一般的にはポインターとして使用されており、2つの従来型インフラの間に存在しています。

マルウェアの作者たちは、目立たない場所、防弾ホスト、または正規のコンテンツプラットフォームに隠れる多様な「ポインター」メカニズムを長年にわたって採用してきました。これらも検知や削除が非常に困難、あるいは不可能な場合があります。

ブロックチェーンからデータを取得するための呼び出しは、依然として従来のインフラサービスプロバイダーがホストする従来のAPIエンドポイントを経由しており、時には従来のAPIキーさえ使用しています。システム全体を停止させることはできませんが（最終的には善意で運営され、主に正規ユーザーにサービスを提供するビジネスであるため）、セキュリティ研究者はこの種の活動について企業に啓発し、対策を講じるよう働きかけることができます。

これは、悪意ある行為者が正規のインフラを使用してペイロードを配信する他のあらゆる状況と何ら変わりません。特定の主体が対策を講じられるはずなのに講じていないとわかっているときは、常に苛立ちを感じます。ブロックチェーン業界には、従来のセキュリティ研究ネットワークと完全には統合されていない独自のセキュリティ研究者ネットワークがあります。しかし、それが存在しないわけではありません。この種の情報共有や紹介が必要な場合、ブロックチェーン業界には深く関心を持ち、幅広い人脈を持ち、常に協力を惜しまない人々がいます。MetaMask Securityの私たちも含め、SEALのような組織も同様です。ぜひご連絡ください。

ステルス性

• 「スマートコントラクト内に悪意あるコードを保存することで、ウェブサイトのコンテンツを直接スキャンする従来のウェブセキュリティツールよりも検知が難しくなる。」 出典：UNC5142のEtherHiding

• 「BNB Smart Chainは正規のプラットフォームである。これを使用することで、悪意あるトラフィックが検知を回避する手段として通常のアクティビティに紛れ込む可能性がある。」 出典：UNC5142のEtherHiding

• 「攻撃者は、可視のトランザクション履歴を残さない読み取り専用の呼び出しを使用して悪意あるペイロードを取得できる。」 出典：UNC5342のEtherHiding

• 「ブロックチェーンAPIへの接続——api.trongrid.io、aptoslabs.com、binance.orgなど——は、明らかな悪意の指標のない正規サービスへの一般的なHTTPSとして見える。」 出典：Cross-Chain TxDataHiding

• 「従来のC2は広範な証拠（サーバーログ、TLS証明書、ホスティング記録、IPジオロケーション）を残すが、ブロックチェーンC2はサーバーやログのない仮名アドレスとトランザクションハッシュのみを生成する。」 出典：Cross-Chain TxDataHiding

• 「従来のURLを使用しないため、Web3トラフィックに対するネットワークベースの保護メカニズムは、従来のウェブトラフィックと比較して実装が難しい。」 出典：UNC5142のEtherHiding

現実確認：「ブロックチェーン」とのやり取りは、他のクラウドサービスプロバイダーとのやり取りと同じです

ブロックチェーンとは、すべての過去のトランザクションの巨大な公開データベースに、約10秒ごとに実行される複雑な暗号検証を組み合わせたものに過ぎません。ほぼ常に、あらゆる種類の負荷分散、API、その他のオーケストレーションを備えた従来の専用インフラ上で動作しています。各サービスプロバイダーが何をログに記録・保持するかは、その使用状況、ユーザー、歴史、プライバシーポリシー、所在地、ユーザーとの関係、提供サービスによって完全に異なります。

例えば、ブロックチェーンサービスが月額料金を必要とする場合、通常はweb2企業と同様にクレジットカードで請求します。暗号資産での支払いを受け付ける場合、そのオンチェーンアドレスは広く知られており、脅威アクターの支払いを確認できます。従来の支払いとは異なり、誰でもDPRKがNamecheapのドメインやDebankのAPIクレジットに支払いをするのを見ることができます。これは以前は入手できなかった、信頼性の高い実用的なインテリジェンスです。

一般的なエンドユーザーのコンピューターが暗号資産関連のものにランダムにpingを送ることはありません。不審なペイロードを実行しているサンドボックスが突然そうし始めたなら、直ちに注目すべきです。通常の状況でも、ブロックチェーンへの呼び出しは、Microsoft、GitHub、AWS、Google、Cloudflareへの呼び出しほど正当なものではありません。そして、それらすべてが定期的に悪意あるペイロードを配信しています。

確かに、暗号資産企業は防止策としてすべての暗号資産トラフィックをブロックすることはできません。「幸いなことに、暗号資産企業には監視機能がないので大丈夫！」——もちろん冗談です。すべての真剣な暗号資産企業は、本物のLazarusペイロードを検知・封じ込めるために設計された本格的なSIEM（セキュリティ情報・イベント管理）とEDR（エンドポイント検知・対応）を備えています。Contagious InterviewやMaaSのペイロードは——ブロックチェーンを使用するものでさえ——ブロックチェーンを使用する前とまったく同じ方法で検知されます。

俊敏性

• 「スマートコントラクト自体は不変だが、第2レベルのスマートコントラクトへのポインターを含む第1レベルのスマートコントラクトをデプロイする。第1レベルのコントラクトは、侵害されたウェブサイト上でアドレスが変わらない安定したエントリーポイントとして機能し、注入されたJavaScriptを第2レベルのコントラクトからコードを取得するよう誘導することで、攻撃者は侵害されたウェブサイトを変更することなくこのターゲットを変更できる。」 （UNC5142のEtherHiding）

• 「攻撃者はいつでも悪意あるペイロードを更新して攻撃手法を変更したり、ドメインを更新したり、異なる種類のマルウェアを展開したりすることができる。」 （UNC5342のEtherHiding）

• 「攻撃者はマルウェアのハードコードされたアドレスが変わらない一方で、新しいブロックチェーントランザクションを投稿することでいつでもペイロードを変更でき、感染したマシンはコードを変更することなく自動的に更新されたペイロードを取得できる。」 （Cross-Chain TxDataHiding）

現実確認：これはインターネットの仕組みと同じです

脅威アクターはペイロードを画像に隠し、画像を更新すれば、マルウェアは魔法のように変わります。URLはIPアドレスへのポインターであり、IPアドレスはサーバーにホストされたコンテンツへのポインターです。実際のコンテンツを削除できない場合は、コンテンツへのアクセスに使用されるルートを削除します。ルートを削除できない場合は、ルーティングを行う者にそれらをブロックさせます。

ウェブサイトに保存された任意のデータとブロックチェーンの主な違いは、ブロックチェーンに任意のデータを書き込むには費用がかかること、そして書き込みが発生するたびに公開イベントが生じることです。トランザクション手数料はネットワークの状況によって1ドルから100ドル以上まで変動します。チェーンによってはより安価なものもあり、この問題は軽減されます。しかし、それでもコストがかかり、その支払いは痕跡を残します。

ブロックチェーンは公開されています。サービスプロバイダーや取引所は、エンドユーザーのアクティビティ、IPアドレス、デバイスフィンガープリント、時には完全なKYC情報のデータベースを持っています。基本的なトランザクションでさえ、従来のインターネット要素との何らかのやり取りが必要であり、それには当然従来のインターネットデータが伴います。どれだけのデータが残るかは、脅威アクターがブロックチェーンとどのようにやり取りしているかによって完全に異なります。しかし、ブロックチェーンは匿名ではありません。

最終的な結論

理論上、検閲耐性があり、不可逆的で、分散型のストレージシステムは脅威アクターにとって夢のような存在です。しかし現実には、これらの「ブロックチェーン搭載」マルウェアは、他のトレードクラフトのように広まることはないようです。

例えばCLICKFIXは、多数の異なる脅威グループに素早く採用されました。エンドユーザーを説得してフロントラインの保護を回避するためにコマンドラインに直接コピー＆ペーストさせるというアイデアは、まさにゲームチェンジャーでした。一方、7年後の今でも、ブロックチェーン上のマルウェアは、誰かが新しい実装を発見するたびにセキュリティ界を沸かせるほど新奇なものであり続けています。

その一因は、ブロックチェーンが感染チェーン全体、あるいはその大部分を置き換えられない（し、置き換えられない）ことにあります。マルウェアのさまざまなステージを配信したり、次のステージを指し示したり、何かが停止した場合のフォールバックとして機能したりするために、ソーシャルメディアアカウント、ウェブホスト、ドメインレジストラ、1つ以上のC2サーバーが利用されています。ブロックチェーンは、既存のすべてのフローの上に別のワークフローと別のステップを追加しているに過ぎません。

また、ブロックチェーンには独自のコストとリスクが伴うからでもあります。

防弾ホスト、侵害されたWordPressサイト、使い捨てインフラとして喜んで機能する無料コンテンツプラットフォームが存在するのに、なぜ公開台帳にOpSecを永久に残すリスクを冒すのでしょうか？それ以外では検知されていない活動が、デフォルトで「ブロックチェーン関連」のものをすべてブロックする公共WiFi、ホテル、クルーズ船、学校、職場などによって即座に検知されるリスクをなぜ冒すのでしょうか？

答えの一部は、単純に「できるから」です。楽しくて、巧妙で、新奇で、ユニークです。もしかしたら、より成功するかもしれない——あるいは少なくとも、未来的な詐欺師になった気分になれるかもしれません。脅威アクターも人間です。目標と動機があります。常に合理的に行動するわけではありません。

しかし、本当の答えはこれらのメカニズムに関する公開レポートに現れていると思います。実際に検知を回避できているようなのです。どういうわけか、ブロックチェーンを使用するだけで、C2をより長く隠し続けることができます。どういうわけか、マルウェアがブロックチェーンAPIの呼び出しの中にあるために見つけられないと、サンドボックスが混乱します。

皮肉なことに、この利点は検知できないからではありません（検知できます）。実際に他のすべての活動よりも匿名性が高く、ステルス性が高く、プライベートだからでもありません（本当に、全くそうではありません）。この利点は、セキュリティ研究者がそのように認識しているという事実からほぼ完全に生まれています。

そのため、脅威アクターはこの方法での実験を続けると予想されます。セキュリティ研究者もこれらのキャンペーンを追跡し、報告し続けるべきです。しかし、少なくとも今のところ、「ブロックチェーンマルウェア」は、より大きく、より深刻な物語の中の比較的楽しい脚注に過ぎません。

私たちの時間とエネルギーの大部分は、人々や組織に実際の影響を与えるもの——損失を防ぎ、たとえインターネット上の見知らぬ人に言われたからといってランダムなコマンドを黒い画面に貼り付けようとする人々でさえも安全に保つもの——に対して行動を起こすことに費やされなければなりません。

もし何らかの理由で、これらのキャンペーンのブロックチェーン的側面が、検知・匿名化解除・妨害をより効果的に行おうとするセキュリティ企業にとって真の障壁となっているなら、Web3セキュリティの世界は喜んでお手伝いします。ぜひMetaMask Securityまでご連絡ください。