今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、BeaverTailおよびOtterCookieマルウェアファミリーにおける新たな展開について調査しています。 続いて、チームは、ロシアの国家支援グループ「COLDRIVER」と関連する3つの新たなマルウェアファミリーについて調査しています。 最後に、「Vidar Stealer 2.0」の概要をご紹介して、締めくくります。
有名な「Chollima」が、「BeaverTail」と「OtterCookie」を組み合わせて、新たなJavaScriptマルウェアを生み出しました
Cisco Talosは、「 」を発見しました。これは、「BeaverTail」および「OtterCookie」マルウェアファミリーの進化形であり、これらはいずれも「Famous Chollima」と関連しています。「Famous Chollima」は、北朝鮮政府と結びついた高度持続的脅威（APT）グループであり、求職者を頻繁に標的としていることで知られています。
[ディープフェイク技術が、候補者を装ったり採用プロセスを妨害したりするためにどのように悪用されているか、そして組織を守るためにどのような対策を講じることができるかについてご紹介します]
今回の最新のキャンペーンでは、マルウェアの機能とステルス性を強化するために設計された新しいJavaScriptモジュールが導入されています。
OtterCookieのキーロガーおよびスクリーンショットモジュール
シスコ・タロスの研究者たちは、「Famous Chollima」キャンペーンにおいて、これまで報告されていなかったキーロガーおよびスクリーンショット取得モジュールを発見しました。 また、 2025年4月 から、VirusTotal上でこのモジュールを含むOtterCookieのサンプルも特定されました。
このモジュールは、キー入力を記録したり、デスクトップのスクリーンショットを撮影したりして、そのデータをOtterCookieのコマンド＆コントロール（C2）サーバーに送信することができます。 このマルウェアは、キー入力やスクリーンショットを一時的なサブフォルダに保存してから送信します。
OtterCookie Visual Studio Code 拡張機能
また、Cisco Talosは、OtterCookieを実行しようとしたVisual Studio (VS) Codeの拡張機能も発見しました。 この拡張機能は、採用時のオリエンテーションツールとして機能します。 研究者たちは、この行為が当該アクターによるものであることを確認できていませんが、新たな配信手法の実験を示唆している可能性があると見ています。
OtterCookieの追加モジュール
Cisco Talosは、調査の過程で、さらにいくつかのOtterCookieモジュールを発見しました。 これには以下が含まれます。
- リモートシェルモジュール
- ファイルアップロードモジュール
- 仮想通貨用拡張機能窃取モジュール
このレポートには、各モジュールに関する詳細が に記載されています。。
OtterCookieの進化
OtterCookieマルウェアは、 2024年の後半に初めて確認されました。 2025年4月 において、Cisco Talos は、このマルウェアを単純なものではなくモジュール式にする新たなモジュールが組み込まれていることを確認し始めました。
2025年8月において、Cisco Talosは「 v5」と呼ばれる最新バージョンを確認しました。 このリリースではキーロギングモジュールが導入され、難読化を解除したところ、そのコードベースにはOtterCookieとBeaverTailの両方の要素が組み合わされていることが判明しました。
BeaverTailの機能
BeaverTailのコードは、ブラウザのプロファイルや拡張機能を列挙し、 C2 サーバーからPythonディストリビューションとクライアント用ペイロードをダウンロードし、モジュールを読み込む前にコンソールへのログ出力を無効にすることができます。
BeaverTailは、少なくとも 2023年5月の時点から活動しています。 当初はJavaScriptアプリケーション向けの小さなダウンローダーとして登場し、 によるソフトウェアサプライチェーン攻撃の一環として、悪意のあるnpmパッケージに混入していました。
また、このマルウェアは、InvisibleFerretのPython製情報窃取型ペイロードモジュールをダウンロードすることも可能です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Famous Chollima」のようなAPTグループは、現在、マルウェアの設計においてアジャイル開発の原則を取り入れています。 これにより、インフラ全体を刷新することなく、新しい機能を迅速に反復開発、テスト、展開することが可能となり、これは現代のソフトウェアエンジニアリングの実践と一致しています。
この攻撃者がスピアフィッシングや偽の求人サイトを依然として利用し続けていることは、脅威アクターが人間の心理的弱点を悪用し続けていることを示しており、 におけるユーザーの意識向上と研修 が極めて重要であることを裏付けています。
COLDRIVERは、3つの新しいマルウェアファミリーを展開しています
Googleの脅威インテリジェンスグループ（GTIG） は最近、ロシア政府が支援するグループ「COLDRIVER」に関連する3つの新たなマルウェアファミリーを発見しました。 この新しいマルウェアは、標的型フィッシング攻撃に利用されており、この脅威グループの開発および運用ペースが加速していることを示しています。
Googleの調査によると、この攻撃者の手法の刷新は、「NOROBOT」と呼ばれる新たな悪意のあるDLLから始まったことが判明しました。 これは、以前のCOLDRIVER攻撃と同様の手法で、 のCAPTCHAをテーマにしたClickFixの偽サイト（ ）を通じて配信されました。 NOROBOTは当初、「YESROBOT」と呼ばれるバックドアを展開していましたが、Googleの調査によると、この攻撃グループは、このバックドアから、「MAYBEROBOT」として追跡されている別のバックドアへと切り替えたことが判明しました。
今回の感染チェーンには、COLDCOPY ClickFixというおとりファイルを通じて配信される3つの異なるコンポーネントが含まれています。 この手口では、ユーザーは「ロボットではないことを確認してください」というメッセージが表示された後、 rundll32 を通じて、DLLをダウンロードして実行するように誘導されてしまいます。
NOROBOT、YESROBOT、そしてMAYBEROBOT
- NOROBOT （BAITSWITCHとも呼ばれます）は、数ヶ月にわたり開発が進められているDLLです。 その主な目的は、 C2から次のステージに進むことです。 NOROBOTはPython 3.8 のインストールファイルを取得・抽出しますが、Googleによれば、これは「不審な疑いを招きやすい、目立つ痕跡」であるとのことです。 また、NOROBOTでは、スケジュールされたタスクを使用して永続性を確立します。
- YESROBOT（ ）は、C2からコマンドを取得するPython製のバックドアです。 すべてのコマンドが有効なPython構文で記述されている必要があり、そのため機能が制限され、操作が煩雑になっていました。 GTIGはYESROBOTの事例を2件しか確認しておらず、MAYBEROBOTに切り替わった可能性が高いと考えています。
- MAYBEROBOT （SIMPLEFIXとも呼ばれます）は、実行にPythonを必要とせず、3つのコマンドをサポートする独自プロトコルを使用しています。そのコマンドとは、ファイルのダウンロードと実行、
cmd.exeコマンドの実行、およびPowerShellブロックの実行です。 改善は見られるものの、MAYBEROBOTの「組み込み機能は依然として最小限」です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
COLDRIVERが新たなマルウェアファミリーへと迅速に方向転換したことは、高い機動性と準備態勢を示しており、持続的なアクセスを維持できる、十分なリソースと経験を備えた脅威アクターであることを示唆しています。
YESROBOTからMAYBEROBOTへのさらなる進化は、導入の容易さと運用上の柔軟性との間の意図的なトレードオフを示しており、検知回避や長期的なアクセスに関する同グループの精緻な理解を浮き彫りにしています。
「Vidar Stealer 2.0 」は、強化された機能を実証しています
トレンドマイクロのによると、最新の「Vidar Stealer 2.0 」は、情報窃取型マルウェアの著しい進化を示すものです。 このバージョンでは、パフォーマンスの向上、データ窃取機能の拡張、および検知回避を目的としたアーキテクチャの変更や高度な技術が導入されています。
[脅威の検知と対応の仕組み、そして進化し続けるサイバー攻撃から組織を守る上で、それがなぜ不可欠なのかを解き明かします]
Vidarインフォスティーラーとは何ですか？
Vidarという情報窃取型マルウェアは、当初Arkeiという情報窃取型マルウェアのソースコードを基に開発され、 2018年に初めて確認されました。このマルウェアは、ブラウザの認証情報や仮想通貨ウォレットの情報を盗み出すことで知られていました。
Vidarは登場以来、着実にその機能を拡充してきました。 また、『 2025年10月』では、開発元が「Vidar 2.0」を発表しました。これは、パフォーマンスの向上と、最新の防御システムに対する回避能力の強化を目的とした大幅な改良です。
Vidar 2.0 のアップデート
Vidar 2.0 には、C++ から C への全面的な書き換えを含む、いくつかの変更が加えられています。また、Vidar の開発者によると、このマルウェアには「マルチコアプロセッサを極めて効率的に活用できる」マルチスレッドシステムが搭載され、データ収集プロセス全体の速度も向上しているとのことです。 トレンドマイクロの調査によると、この高度なマルチスレッドシステムは、各被害者のコンピュータの仕様に応じてパフォーマンスを自動的に調整し、スレッド数を動的に調整できることが判明しました。
さらに、Vidar 2.0 の新バージョンでは、メモリ注入技術など、独自のAppBoundバイパス手法を用いて、Chromeのアプリケーション固有の暗号化を回避しています。 これらの方法は、Chrome、Firefox、Edge、およびその他のChromiumベースのブラウザにも適用されます。
もう一つの大きな変更点は、自動ポリモーフィックビルダー（モーファー）が追加されたことです。これにより、マルウェアのビルドごとに一意となり、それぞれ異なるバイナリ署名を持つことになります。
Vidar 2.0 の技術的詳細と実行フロー
トレンドマイクロによると、「Vidar 2.0の実行フローからは、高度な解析回避技術、マルチスレッド処理、および適応型回避メカニズムを用いて検知を回避しつつ、データ収集を最大化するように設計された、綿密に計画された一連の操作が明らかになっています。」
- 初期化と回避： Vidarの初期化フェーズでは、マルチスレッドアーキテクチャを確立し、制御フローの難読化を適用します。 回避フェーズでは、サンドボックス環境での実行を回避するため、デバッガーの検出、タイミングの検証、システムの稼働時間の確認、ハードウェアプロファイリングなどの解析回避チェックを行います。
- 情報収集とデータ窃取： 次に、このマルウェアは、認証情報やその他の機密データを収集する前に、システムのプロファイリングを行います。
- データの持ち出しと後処理： 攻撃の終盤において、マルウェアはスクリーンショットを撮影した後、収集したデータをパッケージ化し、HTTPマルチパート経由で持ち出して、TelegramボットやSteamプロフィールを追加の通信経路として活用しながら、その C2へ送信します。 このマルウェアは、一時的な痕跡も消去します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
トレンドマイクロが説明しているように、Vidar 2.0 の登場は、「Lumma Stealer」（）の衰退と時期を同じくしています。 これは、サイバー犯罪のエコシステムにおいて市場シェアを獲得するための計算された動きである可能性を示唆しており、マルウェア開発者間の競争の構図を浮き彫りにしています。
このマルウェアがシステムの仕様に基づいてスレッドの使用状況を動的に調整する能力は、正規のソフトウェアによく見られるようなリソースへの配慮を示しており、フォレンジック分析において、悪意のある動作と無害な動作の境界線をさらに曖昧にしています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ へアクセスし、Taniumのディスカッションフォーラム へお進みいただき、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
