脅威動向 / THREATS / BOTNET
Redis不正レプリケーションで3562台をマイニングに悪用 — 運用者の露出ディレクトリから全容が判明、Hunt.ioが分析
Hunt.ioは、運用者自身が露出させたディレクトリに残るツール一式と攻撃ログを解析し、Redisの不正レプリケーションを悪用して3562台のサーバをMonero採掘に悪用していたボットネットの実態を明らかにした。
Hunt.ioは2026年9月8日、Redisの不正なレプリケーション機能を悪用して3562台のサーバを乗っ取り、暗号資産Moneroの採掘に悪用していたボットネットの実態を公開した。運用者自身が単一の露出ディレクトリにツール一式とキャンペーンのログを残していたことが発見の発端で、同社は運用者の記録を解析して侵害規模と手口を地図化した。
露出ディレクトリが残した運用者の記録
Hunt.ioによると、公開状態で放置されたディレクトリには、ボットネットの運用に使われた完全なツールキットが保存されていた。内部には攻撃の実行ログや対象リストなど運用記録が含まれており、同社は運用者自身が残したキャンペーンログを解析して3562台の侵害を確認した。Hunt.ioは「単一の露出ディレクトリが攻撃の全容解明の鍵になった」と説明している。
不正レプリケーションでMonero採掘
同ボットネットは、Redisが備えるレプリケーション（複製）機能を不正に悪用する手法でサーバを乗っ取っていた。Hunt.ioは、この手法で侵害したサーバにMoneroの採掘プログラムを展開させていたことを明らかにした。3562台という規模は、運用者のログに基づく実測値だ。
Hunt.ioは、露出したツールとログから**攻撃者の tradecraft（手口の癖や運用手順）**を再構成し、標的選定から侵入、採掘までの流れを明らかにした。同社は2026年9月8日付のブログで、解析結果の概要とともに、運用者が残した記録の解析手法を報告している。
日本組織への示唆 — 公開Redisの放置が侵入経路に
Redisはキャッシュやキュー用途で広く利用される一方、インターネットに直接公開されたまま認証なしで稼働している事例が依然として報告される。Hunt.ioの今回の分析は、そうした露出が大規模なボットネットの踏み台になりうることを改めて示した。
Hunt.ioは、公開されたディレクトリ自体が運用者のミスであったことを指摘しているが、防御側にとっても外部に公開されたRedisの有無を棚卸しし、認証の有効化とネットワーク分離で露出を断つことが、Monero採掘のような資源搾取型攻撃への基本的な抑止になると評価できる。クラウドやオンプレミスでRedisを運用する組織は、公開範囲と認証設定の点検が重要だ。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。