今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、現在の脅威情勢を形作っている3つの新たな脅威について分析します。 まず挙げられるのは「Katz Stealer」です。これは最近登場したマルウェア・アズ・ア・サービス（MaaS）プラットフォームで、脅威アクターの間で急速に普及しつつあります。 次は、悪名高い情報窃取型マルウェア「Lumma Stealer」の再出現です。 最後に、チームはWindowsシステムを標的とするランサムウェアの亜種「NailaoLocker」について調査しています。
Katz Stealer：認証情報や暗号資産を標的とする、悪名高いターンキー型情報窃取ツール
SentinelOneは、 に対し、認証情報、暗号資産ウォレットのデータ、その他の機密資産を盗み出すように設計された、新たに登場したMaaSプラットフォーム「Katz Stealer」に関するアドバイザリを発行しました。
Katz Stealerは、サイバー犯罪者に対し、カスタマイズ可能で使いやすいデータ窃取プラットフォームを提供します。 このマルウェアの「ターンキー」的な性質と、そのステルス機能が相まって、急速に普及する一因となっています。
モジュール式のペイロードとアフィリエイト主導のキャンペーン
アフィリエイトは、カスタマイズされたマルウェアのビルドを生成できるWebベースの管理パネルへのアクセス権に対して料金を支払います。 これらのビルドは、仮想マシン検知機能、データ窃取モジュール、配信形式などの機能をオン／オフに切り替えることで、用途に合わせて調整することができます。 この柔軟性に、洗練されたユーザーインターフェースが相まって、攻撃者はほとんど手間をかけずにキャンペーンを展開・管理することが可能になります。
[最も大切なものを守りましょう：データ損失防止対策が、エンドポイント、クラウド、ハイブリッド環境にわたる機密データを、手遅れになる前にどのように保護できるかをご確認ください]
目立たない配送および実行の連鎖
Katz Stealerは通常、フィッシングメールや、難読化されたJavaScriptドロッパーを含むトロイの木馬化されたダウンロードを介して侵入してきます。 これらのドロッパーは、ステガノグラフィーによるペイロードが埋め込まれた悪意のある画像ファイルを取得するために、PowerShell コマンドを実行します。
このマルウェアは、一度展開されると、UACのバイパスを利用して権限を昇格させ、スケジュールされたタスクを通じてシステムへの定着を図り、解析防止チェックやプロセスホローイングによって検出を回避します。
包括的なデータ窃取機能
このマルウェアは、多種多様なアプリケーションやサービスを標的としています。 このマルウェアは、ブラウザから認証情報やトークンを抽出し、データを自動入力します。また、メッセージングアプリ、ゲーム、メール、FTP、VPNクライアントから情報を収集し、スクリーンショット、音声、動画をキャプチャします。 このマルウェアの暗号資産窃取機能はとりわけ攻撃的であり、 150 件以上のブラウザ拡張機能IDやデスクトップウォレットの痕跡をスキャンします。
ブラウザへのインジェクションおよび暗号化の回避策
Katz Stealerは、ブラウザのプロセスに侵入することで、公開されているAPIを通じて機密データにアクセスすることができます。 SentinelOneの技術分析では、このマルウェアが、保存された認証情報やウォレットデータを保護するために設計された暗号化メカニズムをどのように回避しているかについても詳しく説明されています。
持続的なコマンド＆コントロール（C2）通信と継続的な情報流出
各マルウェアのインスタンスには、ハードコードされた C2 というアドレスとキャンペーンIDが含まれています。 一度アクティブになると、 C2 サーバーとの永続的な接続を維持し、更新された被害者のデータを継続的に外部へ流出させます。これは、本マルウェアが単発の攻撃ではなく、長期的な監視および情報窃取ツールとしての役割を果たしていることを浮き彫りにしています。
「Katz Stealerは『1回限りの』情報窃取型マルウェアではなく、被害者のデータを継続的に外部へ流出させるよう設計されています。」SentinelOne
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Katz Stealer」は、サイバー犯罪がいかにしてますます商品化されつつあり、脅威アクターの参入障壁が低くなっているかを示す最新の事例です。
Katz Stealerが暗号資産ウォレットやブラウザに保存された認証情報に狙いを定めていることも、脅威アクターが最大限の被害をもたらすべく、現代の企業向け技術スタックに適応しつつあることを示唆しています。
現在、「Katz Stealer」は攻撃者の間で広く利用されるようになっており、これにより、認証情報を利用した攻撃が急増する可能性があります。 とはいえ、情報窃取型マルウェアが氾濫している現状において、このマルウェアがどれほど成功を収めることになるかは、時が経てば分かることでしょう。
[認証情報を根本から保護しましょう――今日の最も一般的なID関連の脅威からActive Directoryを保護する方法をご紹介します]
「Lumma Stealer」が、さらに強化されたステルス性能とモジュラー式パワーを備えて再登場しました
2025年5月での法執行機関による摘発を経て、「Lumma Stealer」は、ステルス技術の強化とモジュール式アーキテクチャを備えて復活しました。これにより、より検知を逃れやすくなり、多様な攻撃ベクトルに対応できるようになりました。
トレンドマイクロは、 に対し、こうした変化に伴い、さらなる警戒と多層的な防御戦略が必要であると警告しています。
法執行機関による妨害と、回収されたとされる件
今回の摘発作戦により、 2,300 件以上の悪意のあるドメインが閉鎖され、感染したマシンとLummaのインフラ間の通信が遮断されました。
しかし、Lummaの運営グループはその後、アンダーグラウンドのフォーラムで、コアサーバーは押収されたのではなく、脆弱性を突いてアクセスされただけだと主張しました。 彼らは、障害発生後まもなくサーバーへのアクセスが復旧したと主張しました。
[単に反応するだけでなく、脆弱性管理に積極的に取り組み、本当に重要な事項の優先順位付け方法を学びましょう：ポッドキャストをお聴きください]
インフラの迅速な再建と事業活動の回復
トレンドマイクロのテレメトリデータによると、Lumma Stealerのインフラは、摘発から数週間以内に迅速に再稼働したことが示されています。 活動は一時的に低下したものの、すぐに混乱前の水準に戻り、この脅威アクターの回復力と執念を示しました。
ネットワーク難読化の手法の変化
以前、Lummaは悪意のあるドメインを隠蔽するために、Cloudflareに大きく依存していました。 摘発後、トレンドマイクロは戦略的な転換を観察しました。現在、Cloudflareを利用しているドメインは減少しており、マルウェアの運営者は検知リスクを低減するため、複数のサービスプロバイダーにインフラを分散させています。
取り下げ後のキャンペーンと配送の革新
最近のキャンペーンでは、偽のツールや「ClickFix」という手法など、欺瞞的な配信手法が利用されています。
「ClickFix」に焦点を当てる：このソーシャルエンジニアリング手法の変遷を追う
「ClickFix」は、サイバー犯罪者や国家が支援する攻撃者の双方によって利用されるマルウェアの主要な配布手段として、その勢いを増し続けています。 TaniumのCTIチームは、複数のキャンペーンにわたってその推移を綿密に監視してきました。 最新の知見をいくつかご紹介します
：• Rogue Tools、ClickFix、および BlueNoroff （『6月25日』、 2025号に掲載）： CTIは、GHOSTPULSEマルウェアを悪用したClickFixキャンペーンの急増について調査し、この手法が北朝鮮、イラン、ロシアの国家支援型攻撃主体によって採用されている実態を指摘しています
。• ディープフェイク、ToyMaker IAB、 およびClickFix（『Published 4月30日, 2025』）： CTIは、攻撃者がClickFixを利用して改変されたHavoc Demonエージェントを配信している実態について詳述しており、この手法がユーザーの操作に依存している点や、その人気が高まっている点を強調しています
。• 「Silk Typhoon」、「偽の身代金要求メッセージ」、および 「ClickFix」（『Published 3月12日』第 2025号）： 本まとめでは、SharePoint および Microsoft Graph API を活用して、改変された Havoc Demon エージェントを密かに展開する、ClickFix 型のフィッシングキャンペーンについて取り上げています。
Lumma Stealerは、GitHubのリポジトリやソーシャルメディアプラットフォームを通じて拡散されてきました。これは、マルウェアの拡散に信頼されたチャネルを巧みに悪用する、その運営者の機敏さを浮き彫りにしています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Lumma Stealerの再登場は、脅威アクターの執念と、最新の防御策を回避するために戦術を絶えず進化させていく能力を浮き彫りにしています。
Lumma Stealerだけが、摘発された後に活動を再開したグループというわけではありません。 これは、法執行機関による取り組みが組織の活動を大幅に妨げることはあっても、必ずしも脅威を根絶できるわけではないということを改めて認識させてくれるものです。
トレンドマイクロが指摘しているように、このマルウェアの背後にいる犯人たちは、「世界中の組織や個人に対して継続的な脅威をもたらしています」。 技術的な防御策に加え、セキュリティ意識向上のための研修も極めて重要です。
NailoLocker Cheese：復号機能が組み込まれた、Windows システムに対する高度な脅威
フォーティネットの研究者である 氏は、「Cheese」という愛称で知られる、Windowsを標的とするランサムウェアの亜種「NailaoLocker」を特定しました。 このソフトウェアの特徴は、 SM2 個の暗号鍵がハードコードされており、復号機能が組み込まれている点にあります。この珍しい組み合わせは、その真の意図について疑問を投げかけています。 これは回復に向けた貴重な機会なのでしょうか、それとも被害者や研究者を惑わすために仕組まれた罠なのでしょうか？
DLLのサイドローディングによるステルス的な配信
NailaoLockerは、3つのファイルとして提供されます：
- DLLのサイドローディングに使用される正規の実行ファイル（
usysdiag.exe） - 悪意のあるローダー DLL（
sensapi.dll） - 難読化されたランサムウェアのペイロード（
usysdiag.exe.dat）
攻撃者が正規の実行ファイルを起動すると、実行が開始されます。これにより、悪意のあるDLLが読み込まれ、ペイロードがメモリ上に直接復号されます。 フォレンジック上の痕跡を最小限に抑えるため、ローダーは実行後に自身のメモリを解放し、DLLを削除します。
モードの切り替えと初期化の動作
このランサムウェアは、ハードコードされた値と特定の文字列（「XXXX」）を比較することで、暗号化モードで実行するか復号化モードで実行するかを判断します。 NailaoLocker ではモード選択のためのコマンドライン引数がサポートされていないため、このスイッチは内部的なもののようです。
初期化の際、リアルタイムのステータス更新を行うためのコンソールウィンドウを起動し、進行状況を追跡するためのログファイル（lock.log）を作成します。これは、その活動を隠蔽する意図がないことを示しています。
SM2 組の鍵ペアを用いたマルチスレッド暗号化
NailaoLockerは、マルチスレッドアーキテクチャを採用し、プロセッサコア間のスループットを最大化しています。 このマルウェアは、 AES-256-CBC を使用してファイルを暗号化し、影響を受けたファイル名に「.locked」を付加するとともに、それらを隠しファイルとして設定します。 このランサムウェアが、ASN.1 DER形式で埋め込まれた SM2 組のハードコードされた鍵ペアを使用している点は、暗号化と復号の両方のルーチンを可能にする特徴的な点です。
復号モード：組み込みのリカバリパス？
復号モードでは、NailaoLockerはディレクトリ内をスキャンして暗号化されたファイルを探し出し、組み込まれた SM2 の秘密鍵を使用してそれらのファイルを復元しようとします。 この機能は復旧手段となり得る一方で、フォーティネットは、これが囮や内部テスト機能として利用される可能性もあると注意を促しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
NailaoLockerの復号機能は非常に異例であり、開発者によるバックドアである可能性もあれば、単に分析者や被害者を惑わすための戦術である可能性も考えられます。
もしセキュリティ研究者が、復号モードを確実に発動させる方法を見出した場合、このランサムウェアは皮肉なことに、攻撃者のミスを防御側の勝利へと転じさせる方法に関する事例研究となる可能性があります。
このランサムウェアの亜種は、 SM2 の鍵ペアが組み込まれている点でも独特であり、フォーティネットは、これらがまだ開発中である可能性があると見ています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム にアクセスして、ぜひご意見をお寄せください。
さらに詳しくお読みになりたい方は、当社の最新の サイバー脅威インテリジェンスのまとめ をご覧ください。
