今週のサイバー脅威インテリジェンス（CTI）まとめのトップは、急速に進化を続ける情報窃取型マルウェア「DarkCloud」についてです。このマルウェアは、高度な回避技術とマルチチャネルによる情報流出手法を用いて、 認証情報、暗号資産ウォレット、ユーザーファイルなどの機密データを標的としています。
続いて、TaniumのCTIチームは、LAPSUS$、ShinyHunters、Scattered Spiderの3団体が新たに結成した、「カオスの三位一体」と呼ばれる同盟について分析します。
最後に、WARMCOOKIEマルウェアに関する最近の変更点や更新内容について概要を説明します。
マルウェア「DarkCloud」は機密データを標的としています
eSentireの最近の投稿「 」では、サンドボックス検知、VB6-based 暗号化、フィッシングを利用した配布など、マルウェア「DarkCloud」の新たな機能が明らかにされています。
eSentireによると、DarkCloudは「ブラウザのパスワード、クレジットカード情報、クッキー、キーストローク、FTPの認証情報、クリップボードの内容、メールクライアント、ファイル、および仮想通貨ウォレットを標的としています」。 この分析では、各組織に対し、電子メールのセキュリティおよび のエンドポイント防御を強化するよう求めています。。
DarkCloudによるフィッシング攻撃
9月、eSentireの脅威対応ユニット（TRU）は、製造業の顧客を標的とし、DarkCloudを展開することを目的としたスピアフィッシング攻撃を特定しました。 これらの「 」を装ったフィッシングメール（ ）には、銀行関連を題材とした件名、正規の金融機関からのメッセージを装った本文、そして受信者のパートナーからの注文メッセージが含まれていると偽ったZIPアーカイブの添付ファイルが含まれています。
『DarkCloud』の配布方法
DarkCloudは以前、現在は閉鎖されたハッキングフォーラムを通じて配布されていました。その後、eSentireは、Telegramや、マルウェアの運営者が管理する、正規のソフトウェアベンダーを装った偽のウェブサイトを通じて、このマルウェアが宣伝されていることを確認しました。
このウェブサイトには、ウェブブラウザ、メールクライアント、VPNツールなど、標的とされるアプリケーションの一覧が掲載されています。 また、スマートロガー、ウェブパネル、ファイルグラバーなど、このマルウェアの多くの機能についても概説しています。
『ダーククラウド』の分析
このレポートの中で、eSentireはDarkCloudマルウェアについて、以下の詳細を明らかにしています：
- DarkCloudマルウェアビルダーでは、ユーザーや運用者が「ローカルにある VB6 ソースコードからマルウェアのスタブをコンパイルする」ために、VB6 IDEをインストールする必要があります。 これにより、不正なバージョンが拡散する可能性が高まる脆弱性が生じます。
- 最新バージョンである v4.2は、WMIクエリを通じてシステム情報を収集し、VBScriptオブジェクトを使用して、盗まれたクレジットカード番号を適切なカードの種類と照合します。 また、Thunderbirdやその他のメールクライアントの連絡先を、被害者のマシンから取得します。
- 検知回避のため、このマルウェアは実行中のプロセスを部分文字列のブラックリストと照合し、サンドボックスと判定された場合はそのプロセスを終了させます。 また、実行中のプロセスが 50 個未満の場合にも終了し、仮想環境を示す特定のファイルの有無を確認します。 永続化のため、DarkCloudではRunOnceレジストリキーを使用しています。
- DarkCloudは、指定されたパスとファイル拡張子のリストに含まれるファイルを収集します。 また、暗号資産ウォレットも標的としています。eSentireの調査によると、DarkCloudはSMTP、Telegram、FTP、Webパネルなどのデータ流出手法に対応していることが判明しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
『DarkCloud』が暗号化と実行に VB6 を採用している点は、巧妙なレトロな演出です。 この攻撃は、従来の技術を利用して最新の検知を回避しており、防御側にとって新旧両方の脅威ベクトルにわたって可視性を維持することが不可欠であることを浮き彫りにしています。
このマルウェアの多経路による情報漏洩戦略は、攻撃者が従来のネットワーク監視ツールを回避するために、データ窃取の手法をいかに多様化させているかを明らかにしています。
eSentire社は、セキュリティ研究者を支援するために2つのツール「 」を開発しました。そのうちの1つはDarkCloudのマルウェア設定を抽出するものであり、もう1つは「IDA Pro内で暗号化された文字列を復号化し、コメントとして表示するIDA Pythonベースのスクリプト」です。
「カオスの新トリニティ」同盟が主要セクターを標的にしています
Resecurity（）の報告書によると、LAPSUS$、ShinyHunters、Scattered Spiderの3団体が新たに結成した同盟が、航空会社、小売業、通信業などの主要セクターを標的とした世界的なサイバー犯罪の急増を主導しているとのことです。
この連携は、ランサムウェア、データ窃取、心理的操作が融合した、流動的で若者が主導するサイバー犯罪のエコシステムへの移行を示すものです。 このグループは、高度なソーシャルエンジニアリングと恐喝の手法の両方を用いていることが確認されています。
LAPSUS$、Scattered Spider、ShinyHuntersの連携の仕組み
LAPSUS$、Scattered Spider、ShinyHuntersは、それぞれ個別の成功を収めてきた悪名高い3つのグループです。 それぞれのグループは独自に誕生しましたが、研究者たちは現在、それらの間のつながりや重複、そして連携を明らかにしつつあります。
2025年8月 では、これら3つのグループのブランドとメンバーシップを組み合わせたTelegramチャンネルが確認されました。 このチャンネルは、データ漏洩をほのめかし、新しいランサムウェア・アズ・ア・サービス（RaaS）のサービスを宣伝するために利用されていました。 ShinyHuntersは以前、 のScattered Spider（ ）が、さまざまな標的への初期アクセス権を彼らに提供したことを確認しており、LAPSUS$もこの新たな同盟の参加者であると考えられています。
これら3つのグループは、「The Com」と呼ばれる英語圏のサイバー犯罪エコシステムと関連しています。これは、「緩やかに組織化されたネットワークであり、むしろサイバー犯罪の若者運動として機能しており、主に10代や 20somethingsを含む、広範かつ絶えず変化する多様な関係者で構成されています。」
手法と所属の重複
これらのグループは、 ソーシャルエンジニアリング、特にバイシング、フィッシング、およびITサポートを装う手口を高度に活用していることで知られています。
[サイバー犯罪者が、ディープフェイク音声、業界用語、ソーシャルエンジニアリングを悪用して、ヘルプデスクを侵入の足掛かりに変えようとしている実態を明らかにし、それらを阻止する方法をご紹介します]
また、SIMスワッピング（ ）、多要素認証（MFA）のバイパス（）、データ窃取、および標的の選定といった手法についても、共通する部分が見られます。 最近では、これらのグループが共同で、特定の業界の組織を標的にしています。
Resecurity社は、こうした重複する戦術、手法、手順（TTPs）や関連性から、ある程度の作戦上の重複やリソースの共有があることを示唆していると考えています。
最近の活動
この3人組による最新の犯行は、ジャガー・ランドローバーに対する攻撃です。 最近の新たな活動としては、航空会社、小売業者、通信事業者、および法執行機関に対する攻撃が挙げられます。
ShinyHuntersとその協力者たちは、 による最近のSalesforceへの攻撃（）についても関与している可能性が高いです。 これらの攻撃では、 のOAuthトークンを悪用して、Salesforce環境にアクセスしていました。 この攻撃の結果、攻撃者らは複数のデータダンプを公開し、世界各国のフォーチュン 100 にランクインする複数の企業が攻撃を受けたことが確認されました。
Resecurityのレポートには、各攻撃に関する詳細が記載されています（ ）。さらに詳しく知りたい方は、こちらをご覧ください（ ）。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
LAPSUS$、ShinyHunters、Scattered Spiderの融合は、サイバー犯罪における危険な進化を示唆しています。そこでは、従来のグループ間の境界が解消され、業界をまたいで攻撃を急速に拡大できる、機動性が高く協調的なエコシステムが台頭しています。
同アライアンスが、Salesforceや 、Snowflake といったクラウドプラットフォームを好んで採用していることは、攻撃者が単なるエンドポイントやネットワークだけでなく、企業インフラの基幹部分を標的とする脅威が高まっていることを浮き彫りにしています。 また、彼らが「ゲーミフィケーション」を取り入れた恐喝や、一般市民を巻き込む戦術を用いていることは、ソーシャルメディアや世論を巧みに利用して被害者に圧力をかけ、その影響力を増幅させるという、心理戦への移行を反映しています。
サイバー犯罪フォーラムでの最近の動向によると、この3人組は目標を達成したとして、活動の終了を発表したようです。 しかし、ShinyHuntersが運営しているとみられるRAMPフォーラムのアカウントが最近、新たな攻撃の犯行声明を出したため、この主張は偽物であるように見えます。
WARMCOOKIEマルウェアは進化を続けています
Elastic Security Labs（ ）は、WARMCOOKIEマルウェアにおける継続的な変更や更新を追跡しています。 彼らは、このバックドアが現在も開発・配布されていると断定しました。 彼らの主な発見の一つは、マルウェアのバックエンドで使用されていると思われるデフォルトの証明書であり、これにより、新たな C2 台のサーバーやインフラストラクチャを追跡することが可能になっていると考えられます。
WARMCOOKIEマルウェアは、2024年半ばに初めて確認されました。 このマルウェアは、フィッシング攻撃を通じて拡散されます。こうした攻撃は、採用を題材にしたものが多く、偽の求人情報を盛り込んだものが一般的です。 Elastic Security Labsは、このマルウェアが最初に確認されて以来、その開発上の変化を観察しており、その内容を報告書で公開しています。
[ディープフェイク音声、偽の履歴書、AI生成の架空の人物像が、従業員に潜入するための手段として悪用されています――これを防ぐためにできることは次の通りです]
新しいハンドラー
最新のWARMCOOKIEマルウェアの亜種には、4つの新しいハンドラーが含まれており、これによりオペレーターは実行ファイル、DLL、およびスクリプトを迅速に起動できるようになっています。
Elasticによると、最近のビルドのほとんどはDLL/EXEの実行機能を使用しており、PowerShellが使用されるケースははるかに少ないとのことです。 いずれの場合でも、同じ関数を使用し、ファイルの種類ごとに引数を渡します。 その後、ハンドラは一時ディレクトリ内にフォルダを作成し、その新しいディレクトリ内にあるフォルダにファイルを書き込むことができます。
WARMCOOKIEのストリング・バンク
また、Elastic Security Labsでは、更新されたマルウェアが、フォルダパスとスケジュールされたタスク名の両方に、正規の企業名を利用した文字列バンクを使用していることを確認しました。 この防御回避手法により、マルウェアはより正当に見えるディレクトリへと移動することが可能になります。
パスをハードコーディングしていた以前の亜種とは異なり、新しい亜種では、フォルダパスとして使用される可能性のある企業のリストが用意されています。 Elasticは、この文字列バンクが「信頼できるIT／ソフトウェア企業を評価・検索するためのウェブサイトから取得されたものである」と判断しました。
WARMCOOKIE におけるその他の変更点
この新しいバリアントでは、タスクを作成する必要があるかどうかを判断するためのコマンドライン引数が、/p から /u に変更されました。 このバリエーションでは、ミューテックスを1つではなく2つ使用しており、コードの最適化も改善されています。
WARMCOOKIEマルウェアには、現在、オペレーターがキャンペーンの追跡に利用できる「キャンペーンID」フィールドが含まれています。
インフラストラクチャの概要
Elasticは、特定された構成から関連するインフラストラクチャを抽出し、特に際立った1つのSSL証明書を明らかにしました。 この証明書は、マルウェアのバックエンドで使用されるデフォルトの証明書であると考えられています。
[「サイレントデータ操作」が脅威の様相をどのように変えつつあるのかを探り、次のサイバー妨害攻撃の波から組織を守るために必要な対策を学びましょう]
証明書の有効期限は切れているようですが、新規および再利用のインフラストラクチャのいずれも、依然としてその証明書を使用して初期化されています。 つまり、これはまったく新しいインフラというわけではありませんが、「既存のインフラに新たな活力を吹き込むためのリダイレクターの再構成」であると言えます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マルウェアのファミリーは、メディアで大きく取り上げられていなくても、しばしば進化していきます。 WARMCOOKIEは、その好例です。
スケジュールされたタスクやフォルダパスを正当な組織の名前として偽装する手法は目新しいものではありませんが、これによりマルウェアが見過ごされる可能性が高まり、防御側がそれを悪意のあるものとして特定することがより困難になる恐れがあります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ へアクセスし、Taniumのディスカッションフォーラム へお進みいただき、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
