クリプトマイナーは一概に大きな脅威とは言えない。ただし「ランダムな標的に対する攻撃方法をこの作成者が理解していることは明らかだ」とボーモント氏は注意を促す。「現時点では大きな心配はしていないが、後に事態が深刻化しそうな予感はする」（ボーモント氏）

　BlueKeep対策パッチ公開の数週間後、研究者はこの脆弱性を標的とした概念実証（PoC）エクスプロイトの開発に取り組んだ。McAfee、ZERODIUM、Kaspersky Labといったセキュリティベンダーの研究者はPoCエクスプロイトを開発したが、公表はしなかった。2019年6月初旬にはセキュリティデータ分析ベンダーRapid7のペネトレーションテストソフトウェア「Metasploit Framework」（以下、Metasploit）がBlueKeepエクスプロイトのモジュールを含むようになった。加えて同年7月末には、セキュリティベンダーImmunityが販売するペネトレーションテストツールのテスト対象にBlueKeepエクスプロイトが加わった。

　ハッチンス氏はブログで、BlueKeepを悪用した攻撃が、Metasploitのエクスプロイトモジュールのプログラムと共通している部分があると述べた。

　Rapid7の研究ディレクターであるトッド・ビアズリー氏は、このようなコードの借用は「良いことだ」と話す。同社のMetasploitはベンダーや開発者の間でよく知られている。攻撃者がMetasploitからプログラムを流用している場合、セキュリティコミュニティーにとって都合が良い。個人的に開発された目新しい技術が使用されると、防御手段を開発するための参考情報がなく、防御が難しくなるからだ。

　BlueKeepを悪用した攻撃はランサムウェア（身代金要求型マルウェア）「WannaCry」のように、自身を複製し拡散する、つまりワーム化する可能性がある。そのため最初のパッチが公開された後、BlueKeepはセキュリティコミュニティーによる厳しい精査の対象になった。

　Microsoftはユーザーにパッチを適用するよう促す2件の警告を発表した。さらに米国の国家安全保障局と国土安全保障も警告を公開した。これらの警告にもかかわらず、2019年7月時点で80万件以上のシステムがBlueKeepに対し脆弱であるという。

悪用の顕在化で攻撃者の行動に変化か

　研究者は、現行のBlueKeep攻撃にはワーム化する機能がないことを確認済みだ。一方でBlueKeepの公開から広範な攻撃の発生までに長い時間がかかっている理由については、それぞれの研究者が異なる見解を持っている。ビアズリー氏はその理由として、BlueKeepが「Windows」のカーネルレベルの脆弱性であり、「エクスプロイト開発コミュニティーでは悪用が非常に難しいことで有名だからではないか」と推測する。同氏によれば、経験豊富なエクスプロイト開発者でも、BlueKeepエクスプロイトを作ることは難しく、かなり不安定になる傾向があるという。

　現在観測されているクリプトマイナーは、ハニーポットをクラッシュさせるだけで、実質的な損害は発生させていない。これは「標的を無作為に選定しているだけでなく、標的が攻撃に対して脆弱かどうかも十分にチェックしていないためだ」とビアズリー氏は語る。ハッチンス氏は「BlueKeepを悪用した攻撃の背後にいる攻撃者はこれまで、脆弱なデバイスを調査してきた。現在は無差別に脆弱なシステムを侵害している」と語る。

　今回の攻撃は「私の知る限りBlueKeepを悪用した最初の大規模な攻撃」だとハッチンス氏は説明する。ただし小規模な攻撃は「BlueKeepの公開以来、続いていた可能性がある」と同氏はみている。その理由として、BlueKeepへの注意を喚起する警告があったため、ほとんどの攻撃者は大規模な攻撃の実行を控えていたことを挙げる。「攻撃者がBlueKeepを悪用していることが確認された現在、最初に特定され逮捕されないように他に紛れてきた他の攻撃者も同じことをやりやすくなっている」（同氏）