今週のまとめでは、Taniumのサイバー脅威インテリジェンス（CTI）チームが、ランサムウェアグループがエンドポイント検出・対応（EDR）システムを無効化するために、ある共通のツールをますます採用している実態について解説しています。 また、モジュール式のマルウェアフレームワーク「 PS1Bot 」を拡散させるマルウェア広告キャンペーンについても調査し、重要分野を標的としたカスタマイズされた攻撃を行う、高度持続的脅威（APT）型の攻撃である「Charon」ランサムウェアの台頭について分析します。
EDR無効化ツールの共有が、ランサムウェアのエコシステム全体で広がりを見せています
ソフォスは、 において、ランサムウェアグループが、EDRシステムを無効化し、検知を回避し、攻撃の実行を効率化するために、共有された高度なツールをますます活用しているとの報告を行っています。
[御社のEDRは万全だとお考えですか？ 可視性の欠如や対応の遅れが、エンドポイントを危険にさらしている可能性があることをご確認ください。]
RansomHubによって開発されたとみられるこのツールは、 EDRKillShifter の進化版であると考えられています。 この手法は、署名付きドライバーとプロセスインジェクションを利用して、セキュリティ防御を迂回します。
Blacksuit、 、Medusa、Qilin、DragonForce、Crytox、Lynx、INC などの脅威グループもこのツールを採用しており、ランサムウェアのエコシステム全体で広く利用されていることがうかがえます。
数千のランサムウェアのサンプルから、AV対策機能を無効化するペイロードが発見されました
ソフォスは、このペイロードを数千のサンプルで確認しており、攻撃の途中で頻繁に展開され、検出を回避し、ウイルス対策ソフトの防御機能を無効化するために、正規のユーティリティに埋め込まれることが多いと指摘しています。
[このTaniumのポッドキャストエピソードでは、身代金支払いの是非から次なる攻撃への備えに至るまで、ランサムウェアへの対応にまつわる難しい決断について掘り下げています。]
例えば、ある事例では、攻撃者たちは、Scooter Software社の正規のユーティリティである「Beyond Compare」の「クリップボード比較」機能にペイロードを埋め込みました。 攻撃者はローダーコードを注入し、追加のローダーコンポーネントとともに、悪意のあるペイロードをリソースとして埋め込みました。
実行されると、ペイロードは自動的に復号され、これによりソフォスはいくつかの重要な特徴を特定することができました：
- このコードは高度に難読化され、保護されています。
- 5文字のランダムな名前が付いたドライブを探します。
- このドライバーは、不正に改ざんされた証明書によって署名されています。
- この攻撃は、複数のセキュリティベンダーを標的としています。
- ターゲットの一覧は、サンプルごとに異なります。
この実行ファイルは、ソフォスの製品を標的として特別に設計された「AVキラー」であることが確認されました。 ソフォスによると、複数のバージョンが存在し、それぞれが標的とするセキュリティ製品が異なるとのことです。
これらの亜種において、このツールは、対象リストにあるプロセスやサービスを特定し、終了させようとします。 最新の亜種では、福州鼎新貿易有限公司によって署名されたドライバーが使用されています。
EDRキラーが通常どのように展開されるか
確認された攻撃のほとんどは、HeartCryptでパックされたドロッパーから始まります。このドロッパーは、保護されたEDRキラー実行ファイルを配信し、侵害された証明書で署名されたドライバーをロードします。
研究者らは、この実行ファイルがペアになったドライバーを読み込もうとする様子を確認しましたが、その実行は、一般的な静的検知や、 SysCall や HollowProcess といった動的保護機能によって、しばしば阻止されています。
EDRキラーが展開された後、ソフォスはRansomHubに関するランサムウェアの警告を確認しました。もっとも、同様のパターンが、他のランサムウェアファミリーによる攻撃の前兆として見られたこともあります。
事例研究：MedusaLockerおよびINCランサムウェアの実例
このツールがさまざまなランサムウェアのファミリーでどのように活用されているかを示すため、ソフォスは2つの注目すべき事例をご紹介します：
- MedusaLocker： ソフォスは、MedusaLockerランサムウェアに関連する事例を取り上げています。この事例では、攻撃者が初期アクセスを得るために、SimpleHelpのRCEゼロデイ脆弱性を悪用した可能性が高いとされています。 このアンチウイルス対策ソフトを無効化するプログラムは、
JWrapper-Remote Access（）と呼ばれるSimpleHelpのコンポーネントから実行され、ESET、シマンテック、ソフォス、HitManPro、Webroot、およびカスペルスキーの製品を標的としていました。 - INC： 『 2025年6月』において、ソフォスは、攻撃者が保護を強化するために2つの「パッカー・アズ・ア・サービス」ツールを使用したINCランサムウェア攻撃を特定しました。
これらの事例は、このツールがさまざまなランサムウェアのファミリーでどのように応用されているかを示しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
EDRキラーのコモディティ化は、懸念すべき動向です。 悪意のあるツールは、より幅広い脅威アクターが入手しやすくなっており、攻撃の速度と規模の拡大の一因となっています。
ソフォスによるこの調査では、複数のランサムウェアグループがツールを再利用・流用している実態も浮き彫りにされています。 サイバー犯罪者間の連携やコードの共有が増加していることで、犯罪活動の遂行が容易になり、犯行の特定が難しくなっています。
マルバタイジングキャンペーンにより、モジュール式の「 PS1Bot 」マルウェアフレームワークが拡散されています
Cisco Talosは、 において、高度なマルウェア広告キャンペーンが、 PowerShell および C# で構築されたモジュール式のマルウェアフレームワーク「 PS1Bot」を積極的に拡散していると報告しています。 このマルウェアは、認証情報を密かに盗み出し、スクリーンショットを撮影し、 ウイルス対策ソフトの検知を回避し、—これらすべてを、完全にメモリ上で実行しながら行います。
欺瞞的な広告やSEOポイズニングを通じて拡散される「 PS1Bot 」は、完全にメモリ上で実行され、急速に進化しているため、企業および個人のサイバーセキュリティにとって重大な脅威となっています。
キャンペーンの概要：マルバタイジングとインメモリ実行
Cisco Talosは、マルウェア広告を利用して多段階のマルウェアフレームワークを配布する、現在進行中の攻撃キャンペーンを追跡しています。
このフレームワークは、情報窃取ツール、キーロガー、画面キャプチャツールなどの追加モジュールを提供すると同時に、完全にメモリ上で実行されることで、フォレンジック上の痕跡を最小限に抑えます。 Cisco Talosは、このPowerShellベースのマルウェアを「 PS1Bot」と呼んでいます。
以下は、 PS1Bot キャンペーンから得られた主要な技術的知見であり、このマルウェアがどのようにステルス性、持続性、およびモジュール型の機能を実現しているかを示しています：
- 配信方法： 被害者は、SEOポイズニングやマルウェア広告によって誘導され、単一のファイル「
FULL DOCUMENT.js」を含む圧縮アーカイブをダウンロードさせられます。 このJavaScriptファイルはダウンローダーとして機能し、 PS1Bot の感染チェーンの次の段階を開始します。 - 第1段階のデータ取得： 実行されると、マルウェアはJScriptスクリプトレットを取得し、その内容を実行して、その後の攻撃段階に備えます。 これには、ProgramData ディレクトリに PowerShell スクリプトを書き出し、それを実行して永続的な C2 接続を確立することが含まれます。 このマルウェアはループ状態に入り、さらなるコマンドを受け取るために C2 サーバーへ継続的に接続を試みます。
- PowerShell モジュール： Cisco Talos は、初期感染後に配信される複数の PowerShell モジュールを確認しました。その中には、ウイルス対策ソフトの検知回避、画面キャプチャ、ウォレット情報の窃取、キーロギング、情報収集、および永続化を目的としたモジュールが含まれていました。 ほとんどのモジュールには、攻撃者がインストール時および実行時の動作を監視できる組み込みのロギング機能が含まれており、その更新情報は C2 サーバーに送信されます。
- ウイルス検出： マルウェアが C2 番接続を確立した後、ウイルス検出モジュールが配信されます。 このツールは、
のWMIプロパティ「」を照会することで、感染したデバイスにインストールされているウイルス対策プログラムの詳細情報を収集し、その情報をC2に報告します。 - スクリーンキャプチャ： スクリーンキャプチャモジュールは、実行時にPowerShellを介して実行されるC#アセンブリDLLを使用してスクリーンショットを撮影します。 .BMP画像ファイルを作成し、それをJPEGに変換して、 C2 サーバーへ送信します。
- グラバーモジュール： このグラバーモジュールは、ローカルのブラウザストレージ、拡張機能データ、アプリケーションデータ、およびパスワードを含むファイルを標的としており、主に仮想通貨ウォレットからの窃取を目的としています。
- キーロガー： キーロガーモジュールは、キーボードやマウスの操作、およびクリップボードの内容を追跡し、取得したデータを C2に送信します。
- 情報の収集：
のWMIComputerCSHARPモジュール（）は、WMIを介してドメインの所属状況を照会することで、システムおよび環境の詳細情報を収集します。 - 永続化： 永続化モジュールは、再起動やセッション終了後も、マルウェアのループ機構が再実行されるようにします。
これらのモジュールを総合すると、 PS1Bot が感染したシステム全体でステルス性と持続性をどのように維持しているかがわかります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンがSEOポイズニングやマルウェア広告に依存していることは、攻撃者が依然としてユーザーの信頼や検索エンジンを悪用し続けていることを示しており、一見正当に見える情報源からのものであっても、安全なブラウジングやダウンロードの習慣についてユーザーを啓発することの重要性を浮き彫りにしています。
シスコ・タロスのレポートでは、もう一つの傾向も指摘されています。それは、PowerShellなどのネイティブシステムツールを使用して検知を回避し、フォレンジック上の痕跡を最小限に抑えながらデバイス上に潜伏し続けるというものです。 このため、検知が極めて困難になります。
「Charon」ランサムウェアが登場し、高価値な組織を標的としたAPTの手法を用いています
トレンドマイクロは、 において、新たなランサムウェアの亜種「Charon」を特定しました。このランサムウェアは、DLLのサイドローディング、プロセスインジェクション、EDR対策機能など、高度なAPT型の手法を用いて、標的を絞り込んだ破壊的な攻撃を実行します。
「Charon」ランサムウェア：標的型攻撃と「Earth Baxia」との技術的類似点
「Charon」ランサムウェアは、中東での標的型攻撃において初めて確認され、公共部門および航空業界の組織が被害を受けました。 この攻撃者は、DLLのサイドローディングや、Earth Baxiaのキャンペーンを彷彿とさせるその他の手法を用いました。 被害者の名前を明記した個別の身代金要求書が送られ、この作戦が標的を絞ったものであることが改めて浮き彫りになりました。 こうした戦術は、ランサムウェアの運営者がAPTの手法を取り入れる傾向が強まっていることを反映しています。
この攻撃は、正規のバイナリファイル「 Edge.exe 」（攻撃中に「cookie_exporter.exe 」から名前が変更されました）の実行から始まり、これを利用して「msedge.dll」という悪意のあるDLLをサイドロードしました。 このDLLはローダーとして機能し、ランサムウェアのペイロードを復号して、新しい のsvchost.exe プロセスに注入しました。 このマルウェアは、正規のWindowsサービスに偽装することで、従来の検知メカニズムをすり抜ける可能性を高めています。
トレンドマイクロは、Charonがマルチステージ方式によるペイロード抽出を行っていることを突き止めました。 一見無害に見えるファイル「 DumpStack.log」に、最終的にランサムウェアのペイロードを配信する暗号化されたシェルコードが含まれていることが判明しました。 フォレンジック分析の結果、最終的なペイロードを保護する2層の暗号化が明らかになりました。
[データ、企業イメージ、そして収益を守る戦略を駆使し、リスクの高いランサムウェア交渉の世界を乗り切る方法を学びましょう。]
Charonの技術的特徴：暗号化、検知回避、および標的選定の挙動
これらの調査結果をもとに、トレンドマイクロはCharonの実行ファイルをさらに分析し、その高度な機能と洗練された動作特性を確認しました：
- 初期化とパラメータ： 初期化が完了すると、Charonは、エラーログの保存、ターゲットサーバーまたはIPアドレス、暗号化の範囲、および順序を制御するパラメータを受け付けます。 また、
という名前のミューテックスも作成されます。OopCharonHere。 - 暗号化前の動作： 暗号化が開始される前に、Charonは復旧を妨げるため、セキュリティ関連のサービスを停止し、実行中のプロセスを終了させ、シャドウコピーを削除し、ごみ箱を空にします。 その後、利用可能なプロセッサコアを評価し、ファイルの暗号化のために複数のスレッドを生成します。
- 暗号化ロジック： 暗号化の際、Charonは
.exe、、.dll、、.Charon、、および身代金要求ファイルの暗号化を回避します。 暗号化されたファイルには「.Charon」という拡張子が付けられ、感染の痕跡として「“hCharon is enter to the urworld!”」が追加されます。 このランサムウェアは、Curve25519の楕円曲線暗号と、ChaCha20のストリーム暗号を組み合わせて使用しています。 - 暗号化後の動作： 暗号化後、Charonはすべてのドライブ、ネットワーク、およびディレクトリに身代金要求メッセージを配置します。
その他の動作としては、アクセス可能なネットワーク共有、マップされたドライブ、およびUNCパスを積極的にスキャンし、暗号化することが挙げられます。 Charonには、EDRソリューションを無効化するように設計されたドライバーコンポーネントも含まれています。
[EDRのみに依存すると、組織が脆弱な状態に陥る可能性がある理由と、現代のサイバー脅威から組織を守るために本当に必要なことについて、詳しく見ていきましょう。]
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ランサムウェアの運営者は、攻撃の精度を高めるため、より目立たず、より洗練された手法をますます採用するようになっています。 トレンドマイクロが指摘しているように、このことは「企業に対し、従来のアプローチを見直し、多層的な防御体制によってセキュリティ体制を強化することを迫る」ものです。
トレンドマイクロは、ランサムウェア「Charon」への対策に役立つ「 」のベストプラクティスを、レポート『 』にも掲載しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
