--- title: "暗号通貨マイニングマルウェアの検出と駆除｜PC・Linuxの確認手順と出前館RedTail事例" url: "https://www.issoh.co.jp/tech/details/4064/" published: 2024-11-06 updated: 2026-11-03 categories: ["脆弱性・インシデント"] publisher: "株式会社一創" --- # 暗号通貨マイニングマルウェアの検出と駆除｜PC・Linuxの確認手順と出前館RedTail事例 CPU使用率が張り付いたまま下がらないのに、心当たりのある処理は動いていない。こうした説明のつかない高負荷は、暗号通貨マイニングマルウェア（マイニングウイルス）を疑う兆候の一つです。ただし負荷だけでは判断できず、プロセスの素性や通信、設定の変更をあわせて確かめる必要があります。2024年10月に出前館のサービスが2日続けて止まった障害でも、2度目の停止のあとに採掘マルウェア「RedTail」の感染が見つかりました。Windows PCとLinuxサーバーで感染を確かめるコマンド、RedTailの侵入経路、駆除の順序、Coinhive事件の最高裁判決までを一次情報で整理します。 ## まとめ - 判定の起点はCPU使用率ではなく**負荷を出しているプロセスの素性**です。Windowsならプロセスの実行パスとDefenderの検出履歴、Linuxなら削除済みバイナリで動くプロセス・`vm.nr_hugepages` の非ゼロ値・msrへの書き込み許可が手がかりになります。 - Windows PCはDefenderのフルスキャンと、Windowsの外から走る**オフラインスキャン**で駆除します。採掘ツールは「望ましくない可能性のあるアプリ（PUA）」扱いのことがあり、PUA保護の有効化も要ります。 - 出前館を止めたRedTailは**プライベートマイニングプール**を使う変種が確認されており、公開プールやウォレットだけを照合する検知では見逃すおそれがあります。侵入経路はCVE-2024-3400（PAN-OS）やCVE-2024-4577（Windows版PHP・日本語ロケールが悪用条件）など、修正版が出ている既知の脆弱性です。 - サーバー感染時は**隔離と証拠保全を先行**し、駆除と侵入経路の封鎖を進めます。サービス復旧は、侵入経路を塞いで安全性を確認してからです。出前館は高負荷のサーバーを切り離して再開した翌日に、別のサーバーで同じ症状が出ています。 - 閲覧者のCPUで採掘させるスクリプトをサイトに置いた行為は、2022年1月20日の最高裁判決で「反意図性はあるが不正性はない」として無罪が確定しました。ただし判決が重く見たのは**負荷が閲覧者に気付かれない程度で、閲覧中に限られていた**点で、サーバーに居座ってCPUを使い切るマルウェアとは事情が違います。 ## マイニングマルウェア（マイニングウイルス）の仕組みと被害の出方 ### ブラウザ埋め込み型とファイル常駐型の違い マイニングマルウェアは、他人の計算資源を無断で使って暗号通貨を採掘させるプログラムで、この行為をクリプトジャッキングと呼びます。Webページに埋め込んだJavaScriptが閲覧中だけ採掘するブラウザ埋め込み型と、端末やサーバーに実行ファイルを置いて動き続けるファイル常駐型があります。 ブラウザ型の代名詞だったCoinhiveは2017年9月に提供が始まり、2019年3月8日に採掘サービスを終えました。Firefoxは2019年9月3日の[バージョン69](https://www.firefox.com/en-US/firefox/69.0/releasenotes/)から、強化型トラッキング防止の標準設定で暗号通貨マイナーをブロックしています。サービスは終わっても手口は残っており、Microsoftの[コインマイナーの解説](https://learn.microsoft.com/en-us/defender-endpoint/malware/coinminer-malware)も感染経路として、添付ファイル付きメール、ブラウザなどの脆弱性を突くエクスプロイトキット、閲覧中にスクリプトを走らせるWebサイトの3つを挙げています。企業にとって重いのは、タブを閉じても止まらず24時間CPUを使い続ける常駐型です。 常駐型の多くは、オープンソースの採掘ソフトXMRigを改変してMoneroを掘ります。Microsoftの同じ解説が挙げる検体（検出名 `Trojan:Win32/Coinminer`）も、Word文書のDDE悪用からPowerShellを経てXMRigの改変版を落とす流れでした。RedTailもXMRig由来で、CPU向けに設計されたMoneroの採掘アルゴリズムRandomXを使うため、汎用サーバーやPCがそのまま採掘装置になります。 ### クラウド課金に跳ね返る被害額の非対称性 攻撃者は採掘した暗号通貨を受け取るだけですが、被害者は電力や計算資源を負担します。クラウドの追加請求は料金体系によって異なり、追加インスタンスの起動や、バースト型インスタンスの余剰CPUクレジットなどで発生します。Sysdigが2022年9月28日に公表した[脅威レポートのプレスリリース](https://www.sysdig.com/press-releases/sysdig-threat-report-reveals-victims-lose-53-for-every-1-cryptojackers-gain)では、攻撃者が1ドル稼ぐごとに被害者は53ドルを請求される計算でした。同社は攻撃グループTeamTNTに8,100ドル超の暗号通貨をひも付け、その採掘のために被害者が負担したクラウド料金を43万ドル超と見積もっています。2022年時点の推計ですが、請求が攻撃者の利益を大きく上回る構造は今も同じです。 ## 出前館のサーバー停止（2024年10月25〜29日）とRedTail発見までの経緯 2024年10月29日18時30分に出前館が公開した[プレスリリース](https://corporate.demae-can.co.jp/pr/news/20241029%5F1830.html)は、障害の経緯をこう記しています。「10月25日（金）20時頃、サーバが高負荷となったことからサービスを停止し、当該サーバより切り離してサービスを再開いたしました。原因の調査を継続していたところ、翌10月26日（土）14時30分頃、前日とは異なるサーバが高負荷となり再度サービスを停止したのち、暗号資産マイニングマルウェアである通称「RedTail」に感染したことが発見され、当該マルウェアの削除を実施しました。」 25日の時点では原因は分かっておらず、RedTailが見つかったのは翌日の2度目の停止の後でした。再開時刻は、2024年12月9日に公表された[第25期定時株主総会の質疑回答](https://corporate.demae-can.co.jp/assets/lpc/pdfs/stockholder%5Fmeeting/69c0de71a1d44dd8aa34c0404b8571db%5Fde69352b.pdf)で「10月29日17時50分」と明かされています。2度目の停止は26日14時30分頃からおよそ75時間に及びました。同じ回答はRedTailを「情報取得やデータ破壊を及ぼす攻撃性のあるものではなく」と説明し、個人情報流出の恐れはないとしています。データの窃取も暗号化もなく、CPUを奪われただけで3日以上止まった事案です。一方、侵入経路はこの回答でも明かされておらず、再発防止は「バックアップの仕組みも含めて」徹底するとの記載にとどまります（2026年11月3日時点）。 ## Windows PCでマイニングウイルスを確認して駆除する手順 ### タスクマネージャとPowerShellによる高負荷プロセスの確認 PCが重い、ファンが回りっぱなし、という段階でまず見るのはタスクマネージャの「詳細」タブです。CPU列で並べ替え、上位のプロセスを右クリックして「ファイルの場所を開く」を選びます。`C:\Program Files` や `C:\Windows\System32` ではなく、ユーザーの `AppData` や `Temp` の下から動いている見慣れない名前は要注意です。同じことをPowerShellで確かめるなら次のとおりです。 ``` # 起動以降のCPU時間が長い順に上位10件と実行ファイルのパスを表示 Get-Process | Sort-Object CPU -Descending | Select-Object -First 10 Name, Id, CPU, Path # Microsoft Defenderがこれまでに検出した脅威の履歴（管理者で実行） Get-MpThreatDetection # 自動起動の仕掛け：Microsoft配下以外の登録タスクを洗い出す Get-ScheduledTask | Where-Object TaskPath -notlike '\Microsoft\*' | Select-Object TaskName, TaskPath, State ``` `Get-Process` の `CPU` 列は瞬間の使用率ではなく、起動してからの累計CPU秒です。この値は起動時間にも左右されます。長時間動く正規プロセスも大きくなるため、タスクマネージャの現在のCPU使用率と併せて確認してください。ブラウザが重いだけなら、まず怪しいタブを閉じ、次に拡張機能を全部無効にして、どちらで症状が消えるかを見てください。Webページに埋め込まれた採掘スクリプトはタブを閉じれば止まりますが、拡張機能を無効にしても止まりません。 ### Microsoft Defenderのフルスキャン・オフラインスキャンとPUA保護 疑わしいプロセスが見つかったら、Windowsセキュリティの「ウイルスと脅威の防止」→「スキャンのオプション」からフルスキャンを実行します。それでも残る、あるいは駆除後に確かめたいときは同じ画面の「Microsoft Defender オフライン スキャン」を選びます。Microsoftの[オフラインスキャンの解説](https://learn.microsoft.com/en-us/defender-endpoint/microsoft-defender-offline)によれば、これは通常のWindowsカーネルの外で起動して走るスキャンで、所要時間はおよそ15分、終わると再起動します。未保存のファイルを保存し、アプリを終了してから実行してください。管理者権限のPowerShellでは `Start-MpWDOScan` で開始でき、端末が再起動します。 ローカル管理者でのサインインと、Windows回復環境（WinRE）の有効化が前提です（`reagentc /info` で確認し、無効なら `reagentc /enable`）。WinREが無効だとエラーも出ずに何も起きません。BitLockerを使っているなら事前に一時停止します。またオフラインスキャンは**Windows ServerのSKUとARM版Windowsには対応していません**。Windows Serverでは対応するウイルス対策製品のスキャンとWindows向けのプロセス・タスク調査を行います。次章のコマンドはLinuxサーバー向けです。 ``` # 望ましくない可能性のあるアプリ（PUA）の検出とブロックを有効にする Set-MpPreference -PUAProtection Enabled # まず影響を見たいときは監査モード（検出の記録だけでブロックしない） # Enabledとは同時に実行しない。監査だけを行う場合に限り、次の行のコメントを外す。 # Set-MpPreference -PUAProtection AuditMode ``` Microsoftの解説は、採掘ツールにはマルウェアでなくPUAとして検出されるものがあり、PUA検出を有効にすれば企業環境で採掘を止められるとしています。[PUA保護の設定ページ](https://learn.microsoft.com/en-us/defender-endpoint/detect-block-potentially-unwanted-apps-microsoft-defender-antivirus)は `Enabled` のまま運用することを推奨しています。社員の端末をまとめて守るなら、Defenderの設定を個別に触るより、検知と調査を一元化できる[EDRの検知の仕組みと導入判断](/tech/details/13303/)を先に検討してください。 ## Linuxサーバーで感染を見抜く確認コマンド ### CPUを占有するプロセスと自己削除したバイナリ サーバーでも見るのは負荷を出しているプロセスの素性です（Linuxのprocps系）。 ``` # CPUを占有しているプロセスを負荷順に表示（ヘッダ1行＋上位10件） ps -eo pid,ppid,user,pcpu,etimes,cmd --sort=-pcpu | head -11 # 実行ファイルが削除済みのプロセスを洗い出す（rootで実行） ls -l /proc/*/exe 2>/dev/null | grep -F '(deleted)' ``` Linuxでは実行ファイルが削除されてもプロセスは動き続け、`/proc/PID/exe` のリンク先にはカーネルが「 (deleted)」を付けます。この表示は実行ファイルのパスが削除されたことを示します。正規ソフトの更新や実行中ファイルの削除でも生じるため、表示だけで不正なプロセスとは判断できません。RedTailは `.redtail` という隠しファイル名でUPX圧縮されて置かれますが、名前は変種ごとに変わるので、名前や削除済み表示だけで判定せず、実行パス、親プロセス、接続先、常駐設定を組み合わせて調べます。 ### RandomXが残すHugePagesとMSRの設定痕跡 RandomXで採掘するソフトは、ハッシュレートを稼ぐためにOSの設定を書き換えます。[XMRigの公式ドキュメント](https://xmrig.com/docs/miner/hugepages)は、HugePagesでハッシュレートが20〜30％、RandomXでは最大50％向上するとし、NUMAノードあたり1280ページ（2560MB）の確保を推奨しています。 ``` # RandomX用に確保されたHugePages（多くのサーバーでは既定値0） cat /proc/sys/vm/nr_hugepages # root権限で実行する。MSR書き込み設定を確認（未ロード・非対応環境・古いカーネルではファイルが無い場合がある） cat /sys/module/msr/parameters/allow_writes # モジュールとして読み込まれている場合はここにも現れる lsmod | grep -w msr ``` XMRig同梱の[randomx\_boost.sh](https://github.com/xmrig/xmrig/blob/master/scripts/randomx%5Fboost.sh)は、`allow_writes` に `on` を書くか `modprobe msr allow_writes=on` で読み込み、MSRに書き込んでハードウェアプリフェッチャを止めます。msrがカーネル組み込みだと `lsmod` には出ないので、sysfsを先に見てください。`allow_writes` は[「x86/msr: Filter MSR writes」のコミット](https://github.com/torvalds/linux/commit/a7e1f67ed29f0c339e2aa7483d13b085127566ab)でLinux 5.9から入ったパラメータで、5.8以前はファイル自体がありません。無い＝正常ではなく、判定できないという意味です。 データベースやJVMのチューニングでHugePagesを確保する環境もあるので、設定に覚えがないのに `nr_hugepages` が数百〜数千で、msrへの書き込みも許可されていれば採掘ソフトの跡とみます。`nr_hugepages` の一時的な変更は再起動で失われますが、sysctl設定やカーネル起動引数で永続化されていれば再起動後も確保されます。値だけで感染の有無や時期は判断できません。 ### cronによる常駐化と外部への常時接続 RedTailは再起動後も動き続けるためにcronジョブを追加します。[Forescoutの解析](https://www.forescout.com/blog/new-redtail-malware-exploited-via-php-security-vulnerability/)では、ユーザーのcrontab内にジョブを設定する形でした。 ``` # ユーザーcrontabと配置型cronの確認（crontabs付きはDebian系、無しはRHEL系） crontab -l ls -la /etc/cron.d/ /var/spool/cron/ /var/spool/cron/crontabs/ 2>/dev/null # root権限で確立済みTCP接続を確認。外向き限定ではなく、接続継続時間もこの出力だけでは分からない ss -tnp state established ``` 採掘プロセスはマイニングプールとの接続を保ち続けるので、`ss` の出力を時間をおいて何度か取り、同じ外部宛ての接続が残り続けていないかを比べます。Akamaiが観測したRedTailの接続先はドメイン1つとIPアドレス3つで、いずれもポート2137でした。番号も変種ごとに変わるため、「業務上の説明がつかない外向き常時接続」を探すのが筋です。痕跡調査の進め方は[不正アクセスの調べ方とログの確認方法](/tech/details/2788/)の考え方がそのまま使えます。 ### Webサーバーログに残るlibredtail-httpの痕跡 感染前でも、狙われていればアクセスログに試行が残ります。RedTailのスキャナが名乗るUser-Agentは `libredtail-http`。SigmaHQには2026年4月30日付でこれを検知する[ルール](https://github.com/SigmaHQ/sigma/blob/master/rules-emerging-threats/2026/Malware/RedTail-Cryptominer/web%5Fmalware%5Fredtail%5Fuseragent.yml)が登録され、説明では2024年後半から2026年初頭にかけての継続的なスキャンに紐づくとしています。 ``` # RedTailのスキャナが名乗るUser-Agent。まず件数を数える grep -Fc 'libredtail-http' /var/log/nginx/access.log # 該当があれば送信元IPごとに件数を集計する（combined形式では1列目が送信元） grep -F 'libredtail-http' /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head ``` SANS Internet Storm Centerが2026年4月29日に公開した[ハニーポットの観測記録](https://isc.sans.edu/diary/Danger+of+Libredtail+Guest+Diary/32936/)では、著者James Roberts氏のDShieldセンサーで113個のIPアドレスがlibredtail-httpとして活動していました。攻撃はPOSTリクエスト4回で始まり、CVE-2024-4577を突く本文はBase64で符号化されていました。nginxの標準のcombined形式はリクエスト本文を記録しないため、通常のアクセスログで手がかりになるのはUser-Agentと、`php-cgi` などへのPOSTの記録です。 ### AWSでの検出とGuardDutyの検知タイプの使い分け Amazon GuardDutyは暗号通貨関連の通信を[EC2の検知タイプ](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty%5Ffinding-types-ec2.html)として2種類報告します。`CryptoCurrency:EC2/BitcoinTool.B` は暗号通貨関連のIPアドレス、`CryptoCurrency:EC2/BitcoinTool.B!DNS` はドメイン名への問い合わせの検知です。未導入なら[Amazon GuardDutyの概要と特徴](/tech/details/17313/)から確認してください。 ただしこの2つは「既知の暗号通貨関連の宛先」の照合で、次章のとおりRedTailはその前提を崩しています。[Runtime Monitoring](https://docs.aws.amazon.com/guardduty/latest/ug/findings-runtime-monitoring.html)を有効にすると使える `Impact:Runtime/CryptoMinerExecuted` は、宛先ではなく採掘関連のバイナリを実行しているプロセスを見る検知です。両方を有効にしてください。ワークロード側の保護の組み方は[CWPPとCSPMの違いと導入判断](/tech/details/16212/)で整理しています。 ## 既知のプールを照合する検知が効かないRedTailのプライベートプール Akamaiが2024年5月30日に[解析](https://www.akamai.com/blog/security-research/2024-redtail-cryptominer-pan-os-cve-exploit)したRedTailの変種は、公開プールを使わず攻撃者自身が運用する4つのエンドポイントへ接続し、バイナリにウォレットアドレスも埋め込んでいませんでした。 **公開プールやウォレットアドレスだけに依存する検知では、この変種を見逃すおそれがあります。**独自の接続先が利用中の脅威インテリジェンスに未登録なら、宛先照合だけでは検知できないためです。判明した接続先の遮断は有効なので、挙動監視と併用します。Akamaiはこの選択を、運用コストと引き換えに採掘結果をより強く制御するためと説明しています。 採掘だけが目的とも限りません。TrendAIの2026年2月26日の[ボットネット解析](https://www.trendaisecurity.com/en/resources-insights/research/the-industrialization-of-botnets-automation-and-scale-as-a-new-threat-infrastructure)は、RedTailがSSHのバックドアをたびたび仕込み、運用者がいつでも戻れるようにしていると報告しています。採掘プロセスを消しても、置かれた鍵が残れば入り直されます。 防御の重心は宛先の照合から挙動の観測へ移すべきです。HugePagesとMSRの設定変更、削除済みバイナリの常駐、cronへの追記は、接続先を変えても消えません。 ## RedTailの侵入経路になった脆弱性とCISA KEVへの追加日 RedTailはフィッシングメールで広がるタイプではなく、インターネットに面した機器やアプリケーションの既知脆弱性を自動で突いて回ります。Akamaiは2024年5月30日の解析時点で6種類以上のWebエクスプロイトを確認しています。 | CVE | 対象 | 種別 | 報告元 | KEV追加日 | | -------------- | ---------------------- | -------------- | --------- | ---------- | | CVE-2024-3400 | PAN-OS GlobalProtect | コマンドインジェクション | Akamai | 2024年4月12日 | | CVE-2023-46805 | Ivanti Connect Secure | 認証バイパス | Akamai | 2024年1月10日 | | CVE-2024-21887 | Ivanti Connect Secure | コマンドインジェクション | Akamai | 2024年1月10日 | | CVE-2023-1389 | TP-Link Archer AX21 | コマンドインジェクション | Akamai | 2023年5月1日 | | CVE-2022-22954 | VMware Workspace ONE | テンプレート注入によるRCE | Akamai | 2022年4月14日 | | CVE-2018-20062 | ThinkPHP（KEV上はNoneCMS） | リモートコード実行 | Akamai | 2021年11月3日 | | CVE-2024-4577 | Windows版PHP | 引数インジェクション | Forescout | 2024年6月12日 | KEV追加日は、米CISAの[既知の悪用された脆弱性カタログ（KEV）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)の2026年10月30日版で確認した登録日です。7件とも実際の悪用が確認済みです。CVE-2024-4577はAkamaiの解析より後の脆弱性で、2024年7月10日にForescoutが悪用を報告しました。 ### CVE-2024-3400：PAN-OSのCVSS 10.0 [NVD](https://nvd.nist.gov/vuln/detail/CVE-2024-3400)でCVSS v3.1が満点の10.0と評価されたCVE-2024-3400は、PAN-OSのGlobalProtect機能で任意のファイルを作成でき、ファイアウォール上でroot権限のコード実行に至る脆弱性です。認証もユーザー操作も要りません。Akamaiによれば、RedTailはSESSIDクッキーにパストラバーサルを仕込んでいました。 該当はPAN-OS 10.2系・11.0系・11.1系で、Palo Alto Networksの[公式アドバイザリ](https://security.paloaltonetworks.com/CVE-2024-3400)はマイナー版ごとにホットフィックスを指定しています。10.2.9でもh1未満なら影響下です。また影響はGlobalProtectゲートウェイかポータルを構成したファイアウォールに限られます。PAN-OSで後に見つかった管理画面の脆弱性も含めた修正版の早見は、[PAN-OSの悪用済みCVE一覧と確認手順](/tech/details/4972/)にまとめています。 ### CVE-2024-4577：日本語ロケールが悪用条件に入るPHPの脆弱性 日本の運用者が特に確認すべきなのがこちらです。発見者DEVCOREの2024年6月6日の[解説](https://devco.re/blog/2024/06/06/security-alert-cve-2024-4577-php-cgi-argument-injection-vulnerability-en/)によると、Windows上の未修正PHPを特定のコードページとPHP-CGIの構成で使用する場合に影響を受け、原因はWindowsの文字コード変換のBest-Fit機能です。悪用可能と検証されたロケールは繁体字中国語（コードページ950）、簡体字中国語（936）、そして**日本語（932）**でした。 CGIモードで構成していなくても、CGIディレクトリにPHPの実行ファイルを置いているだけで影響を受けます。DEVCOREは2024年6月6日の報告時点で、Windows版XAMPPの既定構成も影響すると説明しています。現在の環境では同梱PHPの版とPHP-CGIの公開設定を確認してください。修正版はPHP 8.3.8、8.2.20、8.1.29以降です（[NVD](https://nvd.nist.gov/vuln/detail/CVE-2024-4577)のCVSSは9.8）。 残りはTP-Linkのルーター、IvantiのSSL-VPN、2018年公開のThinkPHPと、パッチから漏れやすい場所ばかりです。SANS ISCの観測では、RedTailは侵入すると**他の採掘マルウェアのcronジョブを探して止めてから**自分を設置していました。同じ脆弱性を複数の攻撃者が日常的に突いている前提の作りです。公開したままのメディアサーバーも同じ入口で、[Plex Media Server 脆弱性：KEV掲載4件の版確認と侵害調査の手順](/tech/details/18809/)、認証なしの分散処理クラスタが採掘に取り込まれる例は[ShadowRay 2.0とは？Rayクラスタを狙う自己増殖ボットネットと露出面の閉じ方](/tech/details/16905/)で扱っています。 ## サーバー感染時の駆除と復旧の手順 ### 隔離から復旧確認までの6手順と証拠保全の順番 1. 該当ホストをネットワークから隔離する。AWSでは隔離用セキュリティグループへの変更だけでは追跡中の既存接続が残るため、影響範囲を確認したうえでネットワークACLなどによる遮断も行い、既存接続が切れたことを確認する。プロセスをいきなりkillせず、プロセス一覧、`/proc`配下のリンク先、確立済み接続、cron内容を先に保全する。 2. 常駐化の仕掛けを外す。crontab、`/etc/cron.d/`、systemdユニット、シェルの初期化ファイル、各ユーザーの `~/.ssh/authorized_keys` を確認し、追加されたエントリや鍵を削除する。 3. 採掘プロセスを停止してバイナリを削除し、`vm.nr_hugepages` とmsrモジュールの設定を戻す。 4. 侵入経路になった脆弱性を特定し、パッチを適用する。ここを飛ばさない。 5. 認証情報を洗い替える。root権限の奪取が確認された、または否定できない場合はホスト上の鍵やトークンを漏洩したものとして扱い、それ以外でも侵害されたアカウントから参照できる認証情報を更新する。 6. CPU使用率と外向き接続を数日間監視し、再発がないことを確かめる。 迷ったら、隔離したホストは復旧させずに作り直すほうが安全です。侵入者に任意のコードを実行された環境について、何が書き換えられていないかを証明するのは現実的ではありません。 ### 侵入経路を塞がずに復旧したときの再発リスクと対策の優先順位 感染したホストを取り除くことと、感染した経路を塞ぐことは別の作業です。前者だけでは同じ経路から次のホストがやられます。出前館でも、25日に高負荷のサーバーを切り離して再開した翌日、別のサーバーが同じ症状を示しました。 **優先順位は、インターネットに面した機器のパッチ適用が先、エンドポイント製品の追加はその次です。** RedTailの侵入経路はいずれも修正版が出ている既知の脆弱性で、VPN装置・ファイアウォール・Webサーバーの版を棚卸ししないままEDRを増やすのは順序が逆です。継続的に把握するなら[Amazon Inspectorの対応スキャンと導入判断](/tech/details/15894/)のような仕組みが要ります。外部に公開している機器とWebアプリのどこに既知脆弱性が残っているかを一度で洗い出したい場合は、一創の[脆弱性診断・セキュリティ診断](https://www.issoh.co.jp/service/system/vulnerability/)で棚卸しできます。 パッチが済んでも監視は省けません。CVE-2024-3400はゼロデイの段階で悪用され、TrendAIの同じ解析によればRedTailはGitHubに最初の実証コードが出てから数時間でスキャナに組み込んでいました。修正版が無い、あるいは当て終わる前の期間を埋めるのが挙動ベースの検知です。 ## Coinhive事件の最高裁判決にみる無断マイニングの法的な線引き Webサイトに採掘スクリプトを置く行為が罪になるかは、Coinhive事件で最高裁まで争われました。音楽情報サイトの運営者が、閲覧者の同意を得ずにMoneroを採掘させるCoinhiveのコードを2017年10月30日から11月8日まで自サイトに置き、不正指令電磁的記録保管罪（刑法168条の3）に問われた事件です。第1審は無罪、東京高裁は2020年2月7日に第1審を破棄して罰金10万円の有罪とし、最高裁第一小法廷は2022年1月20日、[令和2年（あ）第457号の判決](https://www.courts.go.jp/hanrei/90869/detail2/index.html)で原判決を破棄して検察官の控訴を棄却しました。第1審の無罪が確定したことになります。裁判官5人の全員一致でした。 判決は、刑法168条の2第1項の要件を「反意図性」（一般の使用者が認識すべき動作と実際の動作が違う）と「不正性」（社会的に許容し得ない）に分けて判断しています。結論は次のとおりです。 | 要件 | 最高裁の判断 | 判決が挙げた事情 | | ---- | ------ | ---------------- | | 反意図性 | 認められる | 同意を得る仕様・説明・表示が無い | | 不正性 | 認められない | 負荷は閲覧者が気付かない程度 | | 不正性 | 認められない | 広告表示と影響に有意差なし | | 不正性 | 認められない | 採掘は閲覧中に限られる | 事実認定では、運営者はCPU使用率を調整する値を0.5に設定しており、消費電力の若干の増加や処理速度の低下はあっても閲覧者が気付くほどではなかったとされています。判決は同時に、閲覧者に採掘を知る機会や拒む機会が保障されていない点を挙げ、「より適切な利用方法等が採り得たもの」とも述べました。**本件のコードは不正指令電磁的記録に当たらないと判断されましたが、あらゆる無断採掘を適法とした判決ではありません。** サーバーを乗っ取るRedTailのようなマルウェアに、この結論を当てはめることはできません。判決が不正性の判断で重く見たのは、計算機の機能への影響の程度と利用方法でした。脆弱性を突いて侵入し、CPUを使い切り、cronで居座るプログラムは、そのどちらでもCoinhive事件の事実関係と正反対にあります。自社サイトで採掘による収益化を考える場合は、動作内容を説明して事前に同意を得てください。反意図性は同意や表示の有無だけでなく、一般の使用者が認識すべき動作や利用方法などを踏まえて判断されます。 ## よくある質問 ### マイニングマルウェアに感染するとどうなりますか？ CPUが常に占有されて応答が遅くなり、使い切ればサービスが止まります。出前館の事案では2度目の停止が3日を超えました。クラウドでは不正なリソース追加や追加CPU課金によって請求が増える場合があり、PCでは電力消費と発熱が増えます。 ### CPU使用率が高いだけでマイニングマルウェアと判断できますか？ できません。バッチ処理やWindows Update、メモリリークでも同じ症状が出ます。本文の手順でプロセスの実行パスを確かめ、Linuxなら削除済みバイナリ・身に覚えのないHugePages・msrへの書き込み許可・説明のつかない外向き常時接続のうち複数が当てはまるかで判断します。 ### ウイルス対策ソフトのスキャンだけで検出できますか？ 確実ではありません。採掘ツールはPUAとして扱われることがあり、Microsoft DefenderではPUA保護を有効にしないとブロックされない場合があります。PCではフルスキャンとオフラインスキャン、サーバーではプロセスの挙動と設定変更を見る確認を併用してください。 ### 自分のサイトにマイニングスクリプトを置くのは違法ですか？ Coinhive事件の最高裁判決（2022年1月20日）は、閲覧者が気付かない程度の負荷で閲覧中に限って採掘させたコードについて、不正指令電磁的記録には当たらないとしました。ただし同意を得る仕様や表示が無い点は反意図性ありと認定されています。判決は個別の事実関係に基づくもので、負荷が大きい、閲覧後も動き続けるといった条件では結論が変わり得ます。導入するなら事前の説明と同意取得を用意してください。 ### 感染したら個人情報は漏れますか？ 採掘そのものはデータを読み出す動作ではなく、出前館も2024年10月29日の発表で個人情報流出の恐れはないとしています。ただし採掘マルウェアへの感染だけでは、root権限の奪取まで確定しません。侵入経路と実行ユーザーを調べ、取得された権限の範囲を確認する必要があります。同じ経路から情報窃取型のマルウェアを送り込むこともできるため、採掘の痕跡しか見つからなくても、アクセスログの精査と認証情報の洗い替えは実施してください。 ## 関連記事 - [Amazon GuardDutyとは？AWS環境の脅威検出サービスの基本的な概要と特徴を初心者向けに解説](/tech/details/17313/) - [不正アクセスの調べ方｜ログの確認方法と痕跡を見つけるコマンド例](/tech/details/2788/) - [EDRとは？EPP・XDRとの違いと検知の仕組み・導入判断を実装者向けに解説【2026年時点】](/tech/details/13303/) - [PAN-OSの脆弱性CVE-2024-0012とは？修正版と悪用済みCVE一覧・確認手順【2026年10月】](/tech/details/4972/) - [CWPPとは？ワークロード保護の仕組みとCSPMとの違い・導入判断を実装視点で解説](/tech/details/16212/) --- 出典: [暗号通貨マイニングマルウェアの検出と駆除｜PC・Linuxの確認手順と出前館RedTail事例]()（株式会社一創）