仮想通貨を狙う脅威：トロイの木馬型マルウェアとは

仮想通貨のマルウェアと聞くと、不正なマイニングや身代金要求などを思い浮かべる方が多いでしょう。しかし、資産やシードフレーズを盗むためのさまざまなアプリケーションも存在します。

マルウェアは資産の盗難やニーモニックフレーズの発見、さらには（理論上は）ハードウェアウォレットに改ざんされたファームウェアをインストールすることも可能です。ここでは、これらの仕組みや攻撃者がデバイスに侵入する手法を解説します。

仕組み

攻撃者はトロイの木馬型マルウェア（トロイの木馬）を使い、気づかれずにマルウェアをインストールします。ギリシャ神話の「トロイの木馬」と同様、見た目は安全で便利なアプリやゲーム、ドキュメントなどを装うのが特徴です。侵入時点では有害な動作をしない場合もあり、その後自動的に、または攻撃者の指示で「ペイロード（悪意ある本体）」をダウンロードして実行します。こうしたタイプは「ダウンローダー」と呼ばれます。逆に、最初から悪意あるアプリを内蔵している「ドロッパー」型も存在します。トロイの木馬には多くの種類がありますが、今回はこの2つを知っておけば十分です。

拡散方法

攻撃者はソーシャルエンジニアリングやフィッシングの手口をよく使います。たとえば有名アプリの偽サイトを作り、感染したプログラム配布キットを設置します。あるいは、開発元を装ったメールで「アップデート」や「修正版」のインストールを促すこともあります。この場合、アプリ自体は正常に動作しますが、同時にマルウェアもパソコンやスマートフォンに入り込みます。

公式アプリストアを利用する手口もあります。攻撃者はAndroid向けの簡単なユーティリティを作り、ストア審査を通して公開し、インストールされるのを待ちます。ただしストア掲載は難しいため、感染したAPKファイルが非公式なプラットフォームで配布されるケースも多いです。

中には自己拡散型のトロイの木馬もあります。たとえば「Emotet」は感染したパソコンのOutlookデータにアクセスし、アドレス帳の連絡先に感染ファイルやリンクを自動送信します。

仮想通貨への影響

トロイの木馬は仮想通貨資産の盗難にも利用されます。数年前、Kaspersky Labの研究者が「CryptoShuffler」というトロイの木馬を発見しました。このマルウェアは、被害者のパソコンにインストールされるとクリップボードを監視し、ビットコインやイーサリアム、Zcash、Monero、Dash、Dogecoinなどのウォレットアドレスらしき文字列を検出すると、攻撃者のアドレスにすり替えます。CryptoShufflerが発見された時点で、攻撃者は14万ドル（現在のレートでは50万ドル超）を盗み出していました。

最近の例としては、ESETの研究者がTelegramやWhatsAppの偽アプリを配布する複数のサイトを発見しています。これらのトロイの木馬の一部はCryptoShufflerと同様の手口を使い、他はシードフレーズの特定に特化していました。興味深いのは、コンピューターやスマートフォン内の画像を検索し、OCR（文字認識）モジュールでシードフレーズに似たテキストを検出する方法です。攻撃者は、ウォレット作成時にニーモニックフレーズをスクリーンショットや写真で保存したユーザーを狙っていました。

トロイの木馬は必ずしも「直接」データを盗むわけではなく、複数段階の攻撃の一部として使われることもあります。たとえば、スマートフォンに侵入したトロイの木馬が自宅ネットワークへの接続を検知し、ルーターのパスワードを推測して設定内のDNSサーバーを攻撃者のものに変更するケースです。これにより、被害者は本物のサイトではなく、フィッシングサイトへ誘導されてしまいます。

ハードウェアウォレットのハッキング

ハードウェアウォレットのハッキングは理論上は可能ですが、実際に成功した例はありません。Ledger Nano Sのハッキングに成功したSaleem Rashid氏は、攻撃シナリオの一例を発表しています。トロイの木馬がパソコンにインストールされ、ユーザーが仮想通貨ウォレットを接続すると、デバイスのファームウェア更新を促す警告を表示します。ユーザーが同意すると、マルウェアが改ざんされたソフトウェアをウォレットにインストールします。

これはあくまで仮説であり、Nano Sにこの種の脆弱性が存在した当時に発表されたものです。その後、複数回のファームウェアアップデートで脆弱性は修正されています。ただし、今後新たな脆弱性が発見され、修正前に悪用される可能性もゼロではありません。

自分の身を守るには

仮想通貨資産を狙うマルウェアは多種多様です。たとえばスパイウェアは、仮想通貨サービスのウェブサイトを訪れた瞬間にスクリーンショットを撮るように設定される場合があります。新しいウォレットを作成した際にシードフレーズが写り込めば、攻撃者に奪われるリスクがあります。

さらに、近年は「ビジネス」への参入障壁が下がり、マルウェア自体を購入して容易にカスタマイズできるようになっています。

ここで、基本的なセキュリティ対策をまとめます。どれも一度は聞いたことがある内容ですが、現時点で最も有効な方法です。

• 信頼できるウイルス対策ソフトをインストールしましょう（Windows標準のセキュリティだけでは不十分です）。無料版でも一定の効果があります。
• スマートフォンには、公式アプリストア以外からダウンロードしたソフトをインストールしないでください。有名アプリの公式サイトでAPKファイルのダウンロードを勧められた場合は、特に注意が必要です。
• 有料ソフトの海賊版は絶対に使わないでください。「リパッカー」がトロイの木馬を仕込んでいる可能性があります。
• 仮想通貨の管理時に「root化」したスマートフォンは使わないでください。管理者権限はマルウェアの侵入を容易にします。
• アップデート（特にセキュリティアップデート）は必ず適用しましょう。トロイの木馬が悪用する脆弱性を修正できます。
• 信頼できるコールドウォレット（例：Tangem Wallet）を使うのも重要です。当社ウォレットはEAL6+認証を取得しており、ハッキングは不可能です。また、Tangem Walletはシードフレーズ自体を持たないため、盗まれる心配もありません。