[🧑‍💻] 会社PCのメモリ不足の原因、暗号資産マイニング型マルウェア、ゾンビPC

✨ GPT-5.6 Solの要約 　

RAMには余裕があるのにコミットだけが上限まで埋まる会社PCを2日間追跡し、WPRのETLからマイニング命令と偽装ローダーの実行痕跡を見つけた記録。

昨日の午前、会社のPC一台でメモリ不足エラーが繰り返し出ると聞いた。

タスクマネージャーを見ると妙だった。物理RAM 16GBのうち実使用量は半分ほどで、使用可能なRAMが9GB近く残っているのに、Excelやブラウザが終了してOut of Memoryが出た。その一方でコミット済みメモリは18.1 / 18.8GBまで埋まっていた。

最初はCドライブの空きが10GBもなく、ページファイルも3GBほどしかなかったため、SSDの空き容量と仮想メモリ設定を疑った。ChatGPTもSSD容量不足が90%以上の確率で原因だと答えた。

それでも引っかかることがあった。

何も起動していないのに、なぜコミットがこんなに高い？

ページファイルを増やすと犯人も一緒に大きくなった

ページファイルを自動管理へ変更して再起動した。この処置はシステムがすぐ落ちるのを防ぐ助けにはなったが、問題は解決しなかった。

コミット上限が16GBのときは15.5 / 16GBまで埋まり、仮想メモリで上限を32GB近くへ増やすと、今度は31.9 / 32GBまで上がった。

そこでようやく一つのことが確実になった。

ページファイルが小さいためエラーが早く出たのは事実だが、ページファイルがメモリを食う犯人ではなかった。何かが上限ぎりぎりまで予約し続けていた。上限を増やせば、その分まで食べた。

タスクマネージャーとProcess Explorerでプロセスをコミットサイズ順に並べた。常駐プログラムを一つずつ終了し、ウイルス対策ソフトも止め、スタートアップも減らした。見えているプロセスのコミットを全部足しても全体値を説明できなかった。

Malware ZeroではSmartBridgeという迷惑ソフトの可能性があるプログラムが見つかり、隔離された。これが原因かと思ったが、再起動後もコミットはまた上昇した。

私は何度も尋ねた。

正直、ここまで来たら普通にウイルスを疑うべきじゃない？

その時点でもChatGPTは、マルウェアの可能性を真剣に見るべきだが確定ではないと答えた。PUP、誤作動するセキュリティモジュール、隠れたサービスの可能性も残っていた。

WPRを一時間回し、最初の記録から失敗した

タスクマネージャーに出ないコミットの正体を調べるため、Windows Performance RecorderとWindows Performance Analyzerをインストールした。

最初の試みは散々だった。VirtualAlloc追跡をファイルモードで一時間以上つけたままにし、コミット上限まで埋めてしまった。追跡停止でもエラーが出て、ETLの保存に失敗した。

再起動し、今度はインストールしたWPRの正確なパスを指定した。メモリモードで記録を始め、コミットが跳ね上がった瞬間に停止してmemory.etlを保存した。

ファイルは318MBだった。

ETLにはマイニング命令がそのまま残っていた

そして今日の午後、そのETLを分析すると長い推測が一度に終わった。

ログには次の命令が繰り返し入っていた。

C:\Windows\System32\cmd.exe
  --algo progpowz
  --url stratum+tcp://pool.zh.woolypooly.com:3146
  --user [ウォレットアドレス]
  --pass x

progpowz、stratum+tcp、マイニングプールとウォレットのアドレスが一つの命令にまとまっていた。単なるプログラム障害ではない、暗号資産のマイニング命令だった。

同じETLからは、さらに露骨な痕跡も見つかった。

• Windows Updateファイルに見せかけたC:\ProgramData\KB5019959.exeが繰り返し実行された。
• エンコードされたPowerShell命令が実行された。
• PowerShellを通常のシステムファイルに偽装しようとする命令があった。
• Microsoft Defenderの検出動作とパス・プロセス除外項目が追加された。
• 外部リポジトリからファイルをダウンロードし、C:\ProgramData\Googleの下へ7-Zipで展開した。
• DNSを変更し、スリープと休止状態を無効にした。

ETLには通常の業務プログラムに見えるFindWorker.exeも何度も登場した。しかし同じログに多いというだけで感染源とは断定できない。決定的な証拠は、別に残っていたマイニングプール命令と偽装ローダーの挙動だった。最初の感染経路もまだ確定していない。

結果を見た私の言葉はこれだった。

うわ……これが噂にしか聞いたことのないゾンビPC？？？？

正確には、攻撃者が会社PCのリソースを密かに使っていたマイニング用ゾンビPCだった。SSD容量とページファイルは症状を早く表面化させた条件にすぎず、根本原因ではなかった。

すぐ社内へ知らせた

USBを接続した後から症状が始まったという話はあったが、それだけでUSBを感染経路とは断定できない。それでも同じUSBが他のPCへ接続される可能性があり、感染PCは会社NASにも接続していたため、結果を自分だけで抱える状況ではなかった。

社内には次の緊急通知を送った。

［緊急セキュリティ通知］

社内PC一台で、暗号資産マイニング型マルウェアに感染した「ゾンビPC」が確認されました。

正確な感染経路はまだ不明ですが、現時点ではマルウェアを含むUSB接続の可能性を第一に疑っています。

会社NASと共有資料の感染・改ざん有無も調査中で、結果が確認でき次第、改めてお知らせします。

普段よりPCが遅い、またはExcel・文書・ブラウザが理由なく終了する方は、次の方法で確認してください。

Ctrl + Shift + Esc → タスクマネージャー → パフォーマンス → メモリ → コミット済み

感染PCでは物理RAMの「使用可能」が9GBほど残っているにもかかわらず、

• コミット済みが15.5GB / 16GBのように上限近くへ達する
• 仮想メモリを有効にすると31.9GB / 32GBのように上限まで上昇し続ける

という異常が確認されました。

次のいずれかに該当する場合は、タスクマネージャーのメモリ画面を撮影してすぐお知らせください。

• 大きなプログラムを動かしていないのにコミット済みメモリが12GB以上
• コミット使用量が最大上限の80%以上
• 何もしていなくてもコミット値が上がり続ける
• Excel・文書・ブラウザが理由なく繰り返し終了する
• 「メモリ不足」「Out of Memory」エラーが出る
• 最近USBを接続した後にPCが遅くなった、または異常が出た

異常がある場合、ファイルやプログラムを勝手に削除せず、使用したUSBも別のPCへ接続しないでください。確認が必要なPCは直接伺って点検します。

NAS点検後に追加通知を送った

NASのログをexportし、ファイル改ざんの有無を全数調査した。幸い、NASまでマルウェアが広がった痕跡は見つからなかった。それを確認した後、次の内容を追加で知らせた。

会社NASサーバーの点検では、現時点でNAS自体の感染を確定できる兆候は確認されませんでした。 ただし感染の可能性を完全には除外できないため、データ保護を目的にフォルダー単位の順次バックアップを行います。

現在、業務ファイルは通常どおり閲覧・利用できます。

バックアップは毎日23時から翌日07時まで実行します。この時間もNASを利用できますが、接続やファイル処理が一時的に遅くなる場合があります。

ファイルが開かない、またはファイル名・拡張子・内容が異常に変わっている場合は直ちにお知らせください。 （緊急連絡先：010-0000-0000）

To be continued

どうやら明日はとても忙しくなりそうだ。

今、同じ2階でほぼ同じ症状を訴えている人は計3人で、偶然にも全員がこの会社唯一の財務会計チームのメンバーだ。したがって明日は、その3台のPCをできるだけ早く初期化しなければならない。

残業確定の気配が強い……