2021年1月29日
＜＜報道資料＞＞
ソフォス株式会社
ソフォス、データベースサーバーを標的にクリプトジャッキング攻撃を行う「MrbMiner」の発生源を特定
※本資料は2021年1月21日（現地時間）に英国オックスフォードにて発表されたプレスリリースの抄訳です。
次世代サイバーセキュリティのグローバルリーダー企業である英国ソフォス（日本法人：ソフォス株式会社 東京都港区 代表取締役 中西 智行）は本日、MrbMinerに関する新しいレポート「MrbMiner：国際的な制裁を回避するためのクリプトジャッキング」（https://news.sophos.com/en-us/2021/01/21/mrbminer-cryptojacking-to-bypass-international-sanctions/ ）を公開しました。このレポートでは、MrbMinerの発生元を追跡し、イランに拠点を置く小規模なソフトウェア開発会社によって開発・管理されていることを突き止めました。
MrbMinerは最近検出されたクリプトマイナーであり、インターネットに接続するデータベースサーバ（SQLサーバー）を標的にし、クリプトマイナーをダウンロードしてインストールします。データベースサーバーは、膨大なリソースが必要とされる処理に使用され、強力な処理能力を持っていることから、クリプトジャッキングを実行するサイバー犯罪グループにとって魅力的な標的です。
SophosLabsの調査により、攻撃者はいくつかの経路で標的のサーバーに悪意のあるマイニングソフトウェアをインストールし、クリプトマイナーのペイロードと構成ファイルを意図的に不正な名前を付けたzipアーカイブファイルに保存していました。このクリプトマイナーのメインの構成ファイルには、イランを拠点とするソフトウェア会社の名前がハードコードされていました。この会社のドメインは、このクリプトマイナーのコピーを含む他の多くのzipファイルに関連付けられています。これらのzipファイルは、mrbftp.xyzなどの他のドメインからダウンロードされています。
SophosLabsの脅威調査部門のディレクターであるGabor Szappanosは、次のように述べています。「MrbMinerの攻撃は、インターネットに接続するサーバーを標的とする従来の多くのクリプトマイナー攻撃と、多くの点で同じように見えます。異なっているのは、攻撃元の隠ぺいについて、後先を考えないで大胆な行動をしていると思われることです。このクリプトマイナーの構成、ドメイン、IPアドレスに関連する多くの記録が、イランに拠点を置く小さなソフトウェア会社がこの攻撃の発生元であることを示しています。数百万ドル規模の身代金を要求するランサムウェア攻撃によって組織が大きな影響を受けている中で、クリプトジャッキングは、深刻な脅威ではなく厄介な攻撃と思われているかもしれませんが、それは間違いです。クリプトジャッキングは、実行が容易で検出が非常に難しい脅威であり、痕跡をほとんど残すことなく密かに実行されます。さらに、システムのセキュリティが一度侵害されると、ランサムウェアのような他の脅威の攻撃をさらに受ける恐れもあります。したがって、クリプトジャッキング攻撃を受けた場合、俊敏な対策を講ずることが大切です。コンピュータの処理速度や性能の低下、電気使用量の増加、デバイスの過熱、CPUリリース要求の増加などの兆候を見逃さないよう注意する必要があります」
MrbMinerやその他のサイバー脅威に関する詳細情報は、SophosLabs Uncut（https://news.sophos.com/en-us/category/sophoslabs/sophoslabs-uncut/ ）を参照してください。SophosLabs Uncutでは、Kingminer、クリプトマイニングの攻撃をさらに複雑化（https://news.sophos.com/en-us/2020/06/09/kingminer-report/ ）、クラウドアプリとLinuxを標的とするLemon_Duckクリマイナー（https://news.sophos.com/en-us/2020/08/25/lemon_duck-cryptominer-targets-cloud-apps-linux/ ）、MyKingsボットネットがまき散らすクリプトマイナーとForshareマルウェア（https://news.sophos.com/en-us/2019/12/18/mykings-botnet-spreads-headaches-cryptominers-and-forshare-malware/ ）など、ソフォスの研究者が定期的に最新の調査結果や重大な脅威について発表しています。サイバーセキュリティを研究されている方は、Twitterの@SophosLabsをフォローして、リアルタイムでSophosLabs Uncutの情報を参照いただけます。
●セキュリティ侵害の検出と指標
MrbMinerのクリプトマイナーの検体は、Troj/Miner-ZDとしてソフォス製品で検出されます。
その他のセキュリティ侵害の指標は、SophosLabs Github（https://github.com/sophoslabs ）で公開されています。
●その他の参考資料
・組織が直面しているランサムウェアなどの現在および新たな脅威の詳細については、2021年版脅威レポート（https://www.sophos.com/ja-jp/medialibrary/pdfs/technical-papers/sophos-2021-threat-report.aspx ）を参照してください。
・ランサムウェア攻撃を阻止するために、「攻撃が進行していることを示唆する 5 つの指標」（https://news.sophos.com/en-us/2020/08/04/the-realities-of-ransomware-five-signs-youre-about-to-be-attacked ）をご覧ください。
・リアルタイムに攻撃を停止する ソフォスの新しい Rapid Response サービス（https://www.sophos.com/ja-jp/press-office/press-releases/2020/10/sophos-launches-rapid-response-service-to-identify-and-neutralize-active-cybersecurity-attacks.aspx ）の詳細をご確認ください。
・受賞歴のあるソフォスのニュースサイト Naked Security（https://nakedsecurity.sophos.com/ja/ ） と Sophos News（https://news.sophos.com/ja-jp/ ） で最新のセキュリティニュースとソフォスの解説をご覧ください。
●ソフォスについて
ソフォスは、次世代サイバーセキュリティの世界的リーダーとして、150か国以上のあらゆる規模の400,000社以上の企業を今日の最も高度なサイバー脅威から保護しています。SophosLabsのグローバルな脅威インテリジェンスおよびデータサイエンスチームにより、ソフォスのクラウドネイティブでAIによって機能拡張されたソリューションは、ランサムウェア、マルウェア、エクスプロイト、データ流出、自動化されたアクティブな攻撃、フィッシングなど進化するサイバー犯罪技術からエンドポイント（ラップトップ、サーバー、モバイルデバイス）とネットワークを保護します。クラウドネイティブな管理プラットフォームであるSophos Centralは、Intercept XエンドポイントソリューションやXG次世代ファイアウォールなど、ソフォスの次世代製品ポートフォリオ全体を、APIのセットを介してアクセス可能な単一の同期セキュリティ（Synchronized Security）システムに統合します。ソフォスは、クラウド、機械学習、API、自動化、MTR（Managed Threat Response）などの高度な機能を活用して、あらゆる規模の企業にエンタープライズレベルの保護を提供し、次世代サイバーセキュリティへの移行を推進しています。ソフォスは、53,000社以上のパートナーおよびマネージドサービスプロバイダー（MSP）からなるグローバルチャネルを通じて製品を販売しています。ソフォスはまた、革新的な商用テクノロジーをSophos Home経由で消費者に提供しています。ソフォスの本社は英国オックスフォードにあります。詳細については、www.sophos.com （日本語サイト：https://www.sophos.com/ja-jp.aspx ）をご覧ください。
●報道関係のお問合せ先
ソフォス株式会社広報事務局
Tel: 03-6454-6930
Email: sophos@ambilogue.com
以上
＜＜報道資料＞＞
ソフォス株式会社
ソフォス、データベースサーバーを標的にクリプトジャッキング攻撃を行う「MrbMiner」の発生源を特定
※本資料は2021年1月21日（現地時間）に英国オックスフォードにて発表されたプレスリリースの抄訳です。
次世代サイバーセキュリティのグローバルリーダー企業である英国ソフォス（日本法人：ソフォス株式会社 東京都港区 代表取締役 中西 智行）は本日、MrbMinerに関する新しいレポート「MrbMiner：国際的な制裁を回避するためのクリプトジャッキング」（https://news.sophos.com/en-us/2021/01/21/mrbminer-cryptojacking-to-bypass-international-sanctions/ ）を公開しました。このレポートでは、MrbMinerの発生元を追跡し、イランに拠点を置く小規模なソフトウェア開発会社によって開発・管理されていることを突き止めました。
MrbMinerは最近検出されたクリプトマイナーであり、インターネットに接続するデータベースサーバ（SQLサーバー）を標的にし、クリプトマイナーをダウンロードしてインストールします。データベースサーバーは、膨大なリソースが必要とされる処理に使用され、強力な処理能力を持っていることから、クリプトジャッキングを実行するサイバー犯罪グループにとって魅力的な標的です。
SophosLabsの調査により、攻撃者はいくつかの経路で標的のサーバーに悪意のあるマイニングソフトウェアをインストールし、クリプトマイナーのペイロードと構成ファイルを意図的に不正な名前を付けたzipアーカイブファイルに保存していました。このクリプトマイナーのメインの構成ファイルには、イランを拠点とするソフトウェア会社の名前がハードコードされていました。この会社のドメインは、このクリプトマイナーのコピーを含む他の多くのzipファイルに関連付けられています。これらのzipファイルは、mrbftp.xyzなどの他のドメインからダウンロードされています。
SophosLabsの脅威調査部門のディレクターであるGabor Szappanosは、次のように述べています。「MrbMinerの攻撃は、インターネットに接続するサーバーを標的とする従来の多くのクリプトマイナー攻撃と、多くの点で同じように見えます。異なっているのは、攻撃元の隠ぺいについて、後先を考えないで大胆な行動をしていると思われることです。このクリプトマイナーの構成、ドメイン、IPアドレスに関連する多くの記録が、イランに拠点を置く小さなソフトウェア会社がこの攻撃の発生元であることを示しています。数百万ドル規模の身代金を要求するランサムウェア攻撃によって組織が大きな影響を受けている中で、クリプトジャッキングは、深刻な脅威ではなく厄介な攻撃と思われているかもしれませんが、それは間違いです。クリプトジャッキングは、実行が容易で検出が非常に難しい脅威であり、痕跡をほとんど残すことなく密かに実行されます。さらに、システムのセキュリティが一度侵害されると、ランサムウェアのような他の脅威の攻撃をさらに受ける恐れもあります。したがって、クリプトジャッキング攻撃を受けた場合、俊敏な対策を講ずることが大切です。コンピュータの処理速度や性能の低下、電気使用量の増加、デバイスの過熱、CPUリリース要求の増加などの兆候を見逃さないよう注意する必要があります」
MrbMinerやその他のサイバー脅威に関する詳細情報は、SophosLabs Uncut（https://news.sophos.com/en-us/category/sophoslabs/sophoslabs-uncut/ ）を参照してください。SophosLabs Uncutでは、Kingminer、クリプトマイニングの攻撃をさらに複雑化（https://news.sophos.com/en-us/2020/06/09/kingminer-report/ ）、クラウドアプリとLinuxを標的とするLemon_Duckクリマイナー（https://news.sophos.com/en-us/2020/08/25/lemon_duck-cryptominer-targets-cloud-apps-linux/ ）、MyKingsボットネットがまき散らすクリプトマイナーとForshareマルウェア（https://news.sophos.com/en-us/2019/12/18/mykings-botnet-spreads-headaches-cryptominers-and-forshare-malware/ ）など、ソフォスの研究者が定期的に最新の調査結果や重大な脅威について発表しています。サイバーセキュリティを研究されている方は、Twitterの@SophosLabsをフォローして、リアルタイムでSophosLabs Uncutの情報を参照いただけます。
●セキュリティ侵害の検出と指標
MrbMinerのクリプトマイナーの検体は、Troj/Miner-ZDとしてソフォス製品で検出されます。
その他のセキュリティ侵害の指標は、SophosLabs Github（https://github.com/sophoslabs ）で公開されています。
●その他の参考資料
・組織が直面しているランサムウェアなどの現在および新たな脅威の詳細については、2021年版脅威レポート（https://www.sophos.com/ja-jp/medialibrary/pdfs/technical-papers/sophos-2021-threat-report.aspx ）を参照してください。
・ランサムウェア攻撃を阻止するために、「攻撃が進行していることを示唆する 5 つの指標」（https://news.sophos.com/en-us/2020/08/04/the-realities-of-ransomware-five-signs-youre-about-to-be-attacked ）をご覧ください。
・リアルタイムに攻撃を停止する ソフォスの新しい Rapid Response サービス（https://www.sophos.com/ja-jp/press-office/press-releases/2020/10/sophos-launches-rapid-response-service-to-identify-and-neutralize-active-cybersecurity-attacks.aspx ）の詳細をご確認ください。
・受賞歴のあるソフォスのニュースサイト Naked Security（https://nakedsecurity.sophos.com/ja/ ） と Sophos News（https://news.sophos.com/ja-jp/ ） で最新のセキュリティニュースとソフォスの解説をご覧ください。
●ソフォスについて
ソフォスは、次世代サイバーセキュリティの世界的リーダーとして、150か国以上のあらゆる規模の400,000社以上の企業を今日の最も高度なサイバー脅威から保護しています。SophosLabsのグローバルな脅威インテリジェンスおよびデータサイエンスチームにより、ソフォスのクラウドネイティブでAIによって機能拡張されたソリューションは、ランサムウェア、マルウェア、エクスプロイト、データ流出、自動化されたアクティブな攻撃、フィッシングなど進化するサイバー犯罪技術からエンドポイント（ラップトップ、サーバー、モバイルデバイス）とネットワークを保護します。クラウドネイティブな管理プラットフォームであるSophos Centralは、Intercept XエンドポイントソリューションやXG次世代ファイアウォールなど、ソフォスの次世代製品ポートフォリオ全体を、APIのセットを介してアクセス可能な単一の同期セキュリティ（Synchronized Security）システムに統合します。ソフォスは、クラウド、機械学習、API、自動化、MTR（Managed Threat Response）などの高度な機能を活用して、あらゆる規模の企業にエンタープライズレベルの保護を提供し、次世代サイバーセキュリティへの移行を推進しています。ソフォスは、53,000社以上のパートナーおよびマネージドサービスプロバイダー（MSP）からなるグローバルチャネルを通じて製品を販売しています。ソフォスはまた、革新的な商用テクノロジーをSophos Home経由で消費者に提供しています。ソフォスの本社は英国オックスフォードにあります。詳細については、www.sophos.com （日本語サイト：https://www.sophos.com/ja-jp.aspx ）をご覧ください。
●報道関係のお問合せ先
ソフォス株式会社広報事務局
Tel: 03-6454-6930
Email: sophos@ambilogue.com
以上
