ComfyUIのセキュリティリスク：GHOSTボットネットが日本の未認証AI環境を標的に

4月14日
読了時間: 12分

更新日：5月1日

Md. Azim Uddn - ユニットゼロ、パイプライン脅威インテリジェンスチーム

エグゼクティブサマリー

Unit Zero Threat Intelligenceは、インターネットに公開されているComfyUIサーバーを組織的に標的とする攻撃キャンペーンを追跡しており、このキャンペーンは2026年4月7日にCensys ARCによって正式に公表されました。日本国内では21件の事例が確認されています。
攻撃者は、GPUを豊富に搭載したAI画像生成インフラを、二重目的の犯罪資産へと転換している。具体的には、MoneroやConfluxといった暗号通貨のマイニングリグ、そしてHysteria v2プロキシボットネットの出口ノードなどが転売目的で利用可能となっている。
近年、日本におけるAIの導入は著しく加速している。ComfyUIは、クリエイティブスタジオ、研究機関、そして個人事業主など、幅広い層に導入されており、その多くは認証なしでインスタンスを運用している。
このブログでは、日本のエコシステムで活動する防御担当者向けに、日本特有の脅威評価、技術的な分析、および実行可能な対策ガイダンスを提供します。

GHOSTボットネットとは

属性	詳細
脅威名	GHOSTボットネット／ComfyUI暗号通貨マイニングキャンペーン
脅威の種類	仮想通貨マイニング／プロキシボットネット
日本への露出	公開されているComfyUIインスタンスが21件確認されました。
マルウェアファミリー	GHOST v5.1 (ghost.sh)、XMRig、lolMiner、Hysteria v2
採掘されたコイン	XMRig 経由のモネロ (XMR)。 Conflux (CFX) lolMiner 経由
C2インフラストラクチャ	Flaskダッシュボード（ポート3301）— Aeza Group（堅牢なホスティングサービス）

Unit Zeroは、Censysのインターネット全体スキャンデータを用いて、日本のIPアドレスが紐づけられた、一般にアクセス可能なComfyUIインスタンスを21件特定した。この数は、世界全体で1,000件以上存在する公開インスタンス数に比べれば少ないように見えるかもしれないが、日本地域におけるセキュリティ対策担当者にとっては、その背景を理解することが重要となる。

GPU機能を備えた日本のIPアドレスは、この攻撃者にとって、他の場所で侵害された十数台のサーバーよりも価値がある。攻撃対象領域は小さいが、その価値は大きい。 - Unit Zero

なぜ日本のComfyUIが標的になるのか

・日本のAI開発者は、ハイエンドのNVIDIA GPUサーバー（A100、H100、RTX 4090クラスのハードウェア）にComfyUIを導入することが多い。これはまさに、最高の暗号通貨マイニングハッシュレートを生成するハードウェアである。

・日本の企業におけるAI導入文化は、特にクリエイティブ産業において、セキュリティ強化よりもアクセスの容易さを優先する傾向がある。小規模なスタジオや研究機関では、認証不要の公開ポートが一般的である。

• GHOSTスキャナの厳選されたIPアドレス範囲リストは、AWS東京（ap-northeast-1）、GCPアジア北東1、およびOracle Cloud Japanリージョンのクラウドデプロイメントを積極的にターゲットにしています。

・侵害された日本のクラウドGPUインスタンスは、標準的なCPUサーバーよりも単位時間あたりに生成できるモネロの量がはるかに多く、日本のAIインフラは非常に魅力的です。

・日本のプロキシ出口ノードは、日本の高帯域幅インフラと、多くの地域制限を回避できる評判の良い「クリーン」なIP空間のおかげで、アンダーグラウンド市場で高い転売価値を持っています。

特定された21の日本のインスタンスのうち、一部にはComfyUI-Managerがインストールされている可能性が高く（これにより、スキャナーの悪意のあるパッケージのサイレントインストール経路が有効になる）、少なくとも一部はFL_CodeNodeやSrlEvalなどの危険な実行可能なコンポーネントを含むカスタムノードを実行していると予想されます。Unit Zeroは、これら21のインスタンスのすべての運用者に対し、完全なフォレンジック調査が完了するまで、自身が侵害されている可能性があるものとして扱うことを強く推奨します。

攻撃の仕組み（Attack Chain）

C2インフラストラクチャとデュアル収益化モデル

このキャンペーンの高度な運用は、中央集権的に管理されたコマンド＆コントロールインフラストラクチャに最も顕著に表れています。ポート3301で動作するFlaskベースのC2ダッシュボードは、侵害された各ホストにホスト名から派生した一意の識別子（形式：vm）を割り当てます。

Hysteria v2プロキシ群も、同じC2パネルによって運用されています。侵害された各ノードは、C2にHysteria URIを登録し、オペレーターが機能するプロキシ出口ノードのリストを一括エクスポートできるようにしています。これは、日本やその他の高価値IPアドレス範囲を使用して、住宅用レベルのプロキシアクセスを販売するという副業を示唆しています。マイニングとプロキシの2つのコンポーネントは同じC2認証情報とURLを共有しており、単一のオペレーターが両方の収益源を管理していることを示しています。

侵害の兆候（IOC）

タイプ	インジケータ	コンテクスト
IP	77[.]110[.]96[.]200	攻撃者がオープンディレクトリ／ツールホスティング（Aezaグループ）
IP	120[.]241[.]40[.]237	Redisワームキャンペーンに関連し、GHOSTオペレーターから方向転換
ファイル	ghost.sh (GHOST v5.1)	第2段階ローダー/マイナードロッパー
ファイル	ComfyUI-Shell-Executor	ComfyUI-Managerを介したRCE（リモートコード実行）のための悪意のあるpipパッケージ
ポート	3301/TCP	FlaskベースのC2ダッシュボード
プロセス	XMRig（カーネル名偽装）	Moneroマイナー — LD_PRELOADルートキットによって隠蔽される
プロセス	lolMiner	Confluxマイナーバイナリ
サービス	Hysteria v2（bing.com TLSを装う）	プロキシボットネットリスナー
パス	/var/tmp/、~/.cache/	ゴーストドロッパーの隠されたアーティファクトの場所
パス	/var/tmp/、~/.cache/	ゴーストドロッパーの隠されたアーティファクトの場所
プール	クリプテックス採掘プール	オペレーターウォレットが使用する主要なマイニングプール

日本の事業者向け検出ガイダンス

検出ポイント	注目すべき点
プロセス名	カーネルのような名前で、通常とは異なる16進数の接尾辞が付いているもの（例：kworker[u8:2-a3f1]）
ネットワークトラフィック	Kryptexプールエンドポイントへのアウトバウンド接続（ポート3333/TCP）
ネットワークトラフィック	Hysteria v2 TLSトラフィックがbing.com（ポート443）になりすましている。
ファイルシステム	/var/tmp/ または ~/.cache/ 内の、過去の日付のタイムスタンプを持つ隠しディレクトリ
ファイルシステム	chattr +i フラグが予期しないバイナリに設定されます
ComfyUI	custom_nodes/ ディレクトリ内の不明なパッケージ (特に ComfyUI-Shell-Executor)
ComfyUI	デフォルトの起動ワークフローが変更されました (userdata/workflows/)
ComfyUI	「GPUパフォーマンスモニター」という名前のノード（偽の永続化ノード）
システム	LD_PRELOADが不明な共有ライブラリに設定されました — ルートキットの兆候

対策とセキュリティ強化方法

緊急時の対応（ComfyUIをご利用の場合）

COMFYUIをインターネットに直接公開するのをやめてください。VPNまたは認証付きリバースプロキシ（nginx + HTTP Basic認証 + TLSが最低限必要。Cloudflare Accessが推奨）の背後に配置してください。このたった一つの対策で、攻撃対象領域全体を排除できます。
custom_nodes/ の監査を直ちに実施し、明示的にインストールしていないパッケージ、特に ComfyUI-Shell-Executor およびすべての「GPU Performance Monitor」ノードを削除してください。
ユーザーデータやワークフローを確認し、自分が作成していない起動ワークフローがないか確認してください。悪意のあるデフォルトワークフローは、再起動のたびにエクスプロイトを実行します。
/etc/ld.so.preload および /etc/environment ファイル内の LD_PRELOAD エントリを確認してください。ここに予期しないライブラリが存在する場合は、ルートキットの存在を示す確実な兆候です。
ロックされたファイルをスキャンします: lsattr -R /var/tmp/ ~/.cache/ — 予期しない 'i' (不変) フラグは、GHOST マルウェアのアーティファクトを示します。
カーネルのような名前で16進数の接尾辞を含むプロセス（例：kworker[0:1-a3f1]）をすべて強制終了して削除します。
ComfyUIサーバーに関連付けられているすべての認証情報をローテーションしてください。SSHキー、クラウドAPIキー、および環境変数に含まれるすべての秘密情報は、漏洩の危険性があるものとみなしてください。
ComfyUIのプロセスユーザーにrootアクセス権限が付与されている場合は、システム全体が侵害されたと想定し、検証済みのイメージからクリーンな再構築を実行してください。

日本企業が今すぐ対応すべきこと

認証なしで 0.0.0.0 に ComfyUI を公開しないでください。127.0.0.1 にバインドし、認証付きのリバースプロキシを使用してください。
本番環境では、ComfyUI-Managerのリモートインストール機能を無効化または制限してください。
生のPython実行を受け入れる危険なカスタムノード（FL_CodeNode、SrlEvalなど）を削除するか、サンドボックス化する。
ComfyUIを、最小限のファイルシステム権限を持つ専用の非rootサービスユーザーとして実行してください。
ネットワークレベルの監視を展開します。ポート3333/TCP（マイニング）への予期しない送信トラフィック、または異常なKryptex/XMRigプロセス名に対してアラートを発します。
上記のクエリを使用して定期的に自己スキャンを実行し、ComfyUIインスタンスが外部からアクセスできないことを確認してください。
日本でAWS、GCP、またはOracle Cloudを使用している場合は、セキュリティグループとVPCファイアウォールルールを確認し、ポート8188が0.0.0.0/0から許可されていないことを確認してください。

ユニットゼロの視点からのアナリスト解説

今回のキャンペーンは、AIインフラストラクチャを標的とする攻撃手法における重要な進化を示すものです。従来、仮想通貨マイニングボットネットは、セキュリティ対策が不十分なWebサーバー、公開されているDocker API、または設定ミスのあるクラウドストレージを標的としていました。GPUアクセラレーション対応のAIプラットフォームへの移行は、2025年から2026年にかけて高付加価値コンピューティングがどこへ移行したのかという、成熟した理解を反映しています。

日本の脅威状況における位置づけは複雑だ。特にクリエイティブ産業や研究開発環境において、企業におけるAIの急速な導入が進んだ結果、運用担当者が従来のセキュリティ上の意味での「サーバー」とは概念的に捉えていない、脆弱なインフラストラクチャが生み出されている。ComfyUIは、強化が必要な本番環境向けサービスではなく、「クリエイティブツール」として認識されることが多い。この認識のギャップこそが、実際に悪用されている脆弱性なのである。

マイニングとプロキシ再販という二重収益モデルは、ますます高度化する運用計画を示している。日本のIPアドレスを持つプロキシ出口ノードは、アンダーグラウンド市場で高値で取引されている。日本のIPアドレス範囲は、日本の政府ポータル、金融機関、地域ストリーミングサービスなど、国別アクセス制限を行うサービスをターゲットとする事業者にとって頻繁に必要とされる。日本のIPアクセスを大量販売できる事業者は、マイニング事業よりも長く続く、持続的な収益源を構築していることになる。

Censysがツール群を「急ごしらえ」と評価したからといって、脅威の優先度を下げるべきではない。この攻撃キャンペーンの有効性は高度な技術に依存するものではなく、対策を講じていない膨大な数の不適切な設定の標的に依存している。現在、21の日本のインスタンスが露出していることが確認されており、ComfyUIのユーザーコミュニティは日本で急速に拡大していることを考えると、コミュニティが明確で分かりやすいセキュリティ強化ガイダンスを受け取らない限り、この攻撃対象領域は拡大し続けるだろう。

MITRE ATT&CKマッピング

戦術	技術識別	詳細
初回アクセス	T1190	公開アプリケーションの脆弱性を悪用する（カスタムノードを介したComfyUIのリモートコード実行）
実行	T1059.006	/promptエンドポイントを介したPythonベースの悪意のあるワークフローの実行
粘り強さ	T1543	バックドア付きの起動ワークフロー、偽のGPUモニターノード、cronのような6時間ごとの再フェッチ
防御回避	T1564.001	/var/tmp/、~/.cache/ に過去の日付のタイムスタンプが付いた隠しファイルが存在する
防御回避	T1574.006	LD_PRELOADルートキットは、ps/top/lsからマイナープロセスを隠蔽します。
防御回避	T1222	マイナーバイナリに対して chattr +i を実行して削除を防止する
発見	T1046	ZMapベースのスキャンにより、ワームを隣接する脆弱な宿主に拡散させる。
資源開発	T1584	C2/ペイロードホスティングにAeza Groupの堅牢なホスティングを使用
インパクト	T1496	リソースの乗っ取り — Monero (XMRig) と Conflux (lolMiner) のマイニング
インパクト	T1496	リソースの乗っ取り — Monero (XMRig) と Conflux (lolMiner) のマイニング