今週のまとめでは、Taniumのサイバー脅威インテリジェンス（CTI）チームが、米国を拠点とする法律事務所や金融機関を積極的に標的としているデータ窃取・恐喝グループ「Luna Moth」に関する最新の分析情報を提供しています。 次に、当社のCTIチームは、採用担当者や人材紹介担当者を標的としたスピアフィッシングメールを用いた、脅威グループ「Venom Spider」によるキャンペーンについて検証します。 最後に、チームは「StealC」と呼ばれる有名な情報窃取型マルウェアの最新バージョンを調査しています。
「ルナ・モス」が米国の組織を脅かしています
によると、EclecticIQによる新たな調査 （新しいタブで開きます） によれば、Luna Mothは のコールバック型フィッシング攻撃 を強化しており、米国内の組織を積極的に標的にしています。
このグループは現在、偽のヘルプデスクの電話番号に電話をかけ、被害者を騙してリモート監視・管理（RMM）ツールをインストールさせることで、被害者を誘い込んでいます。
ルナ・モスとは誰でしょうか？
Luna Moth（別名：Silent Ransom Group、 UNC3753、Storm-0252）は、データの窃取と恐喝を専門とする、高度なサイバー犯罪組織です。
EclecticIQは、Luna Mothが 2025年3月以降、高頻度のコールバック型フィッシング攻撃を展開していると見ています。 このグループは、全米各地の法律事務所や の金融機関 を特に標的にしています。
Luna Mothの攻撃は通常、 というフィッシングメール（ ）から始まります。このメールは、受信者をだまして偽のヘルプデスク番号に電話をかけさせることを目的としています。 被害者と電話がつながると、オペレーターはIT担当者を装い、正規のRMMツールをインストールするよう依頼します。
EclecticIQによると、攻撃者はGoDaddyを通じて、米国の企業を装ったドメインを登録しています。これは、「タイポスクワッティング」と呼ばれる戦略を用いて、 ソーシャルエンジニアリング の効果を高める手口です。
GoDaddyサービスの不正利用
EclecticIQによると、Luna Monthは、今回のコールバック型フィッシング攻撃を支援するため、GoDaddyで少なくとも 37 件のドメインを登録したものとみられています。 これらのドメインは、米国のさまざまな法律事務所や金融機関のITヘルプデスクやサポートポータルを装っています。 これらのサイトにある「お問い合わせ」フォームでは、訪問者に氏名、メールアドレス、および簡単なメッセージの入力を求めますが、これにより攻撃者は基本的な情報収集を行うことが可能となります。
Luna MothはGoDaddyのインフラを悪用し、お問い合わせフォームに情報を入力した方々に、「confirmations@godaddy[.]com」というアドレスから自動送信される確認メールを送信しています。 被害者がこの確認メール内のリンクをクリックすると、攻撃者は被害者にフォローアップの電話をかけるタイミングがわかります。
EclecticIQはまた、Luna MothがGoDaddyが利用しているライブチャットプラットフォーム「Reamaze」を使用していることも確認しました。 このグループは、ITヘルプデスクとのやり取りを模倣したフィッシングページの一部に、AIチャットボットを組み込むためにこれを利用しています。
[こちらもご覧ください：今やあなた（そしてあなたのイチャイチャチャットボット）が知っておくべきAI用語 12 選]
Luna Mothは、問題に早急な対応が必要だと主張して焦りを煽り、被害者にRMMツールをインストールさせようと仕向けることがよくあります。 Luna Moth社では、Syncro、SuperOps、Zoho Assist、Atera、AnyDesk、SplashtopなどのRMMツールも活用しています。 これらのツールのいずれかをインストールすると、攻撃者はデータの持ち出しを開始できるようになります。 データを外部へ持ち出すために、彼らはWinSCPやRcloneといったツールを使用しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
EclecticIQの分析結果によると、Luna Mothがデータ窃取攻撃を推進するために、偽のITヘルプデスクという手口に便乗していることは明らかです。
このグループは、ソーシャルエンジニアリングと正規のツールを適切に組み合わせて、検知を逃れようとしています。 組織の皆様には、 従業員に対するルナ・モスに関する教育 および啓発を強化し、攻撃を未然に防ぐようお勧めいたします。
「ヴェノム・スパイダー」は、採用担当者やリクルーターを標的にしています
Arctic Wolfは最近、 （新しいタブで開きます） において、脅威グループ「Venom Spider」が、スピアフィッシングメールを通じて採用担当者やリクルーターを標的としたキャンペーンを展開していることを確認しました。
このグループは、正規のメッセージングサービスや求人サイトを利用して求人に応募し、マルウェアを仕込むように仕組まれた履歴書を提出しています。 また、彼らはペイロードを配信するために、「サーバーポリモーフィズム」と呼ばれる戦略も用いています。
ヴェノム・スパイダー：概要
Venom Spiderは、金銭的な動機を持つ脅威グループであり、LinkedInなどのサードパーティサイトに掲載された求人情報を介して、組織を標的にしています。
このグループはここ数年、活発に活動してきました。 しかし、彼らは最近、その活動を加速させており、求職者からのものだと偽装した悪意のあるフィッシングリンクを用いて、採用担当者や人事担当者を直接標的にしています。
[関連記事：リモート勤務のITスタッフを採用する際は？ [ディープフェイク詐欺にご注意ください]
Arctic Wolfによると、フィッシングリンクは通常、有害な履歴書をホストしている悪意のあるサイトへと誘導するとのことです。 Venom Spiderは、この感染チェーンにおいて「More_eggs」マルウェアを配布しようと試みます。
ヴェノム・スパイダーの攻撃経路について
この攻撃は、採用担当者や採用責任者宛てに送信されるスピアフィッシングメールから始まります。 このメールには、候補者の履歴書をダウンロードするためのリンクが記載されています。 このサイトでは、訪問者は履歴書をダウンロードする前に、CAPTCHAのチェックボックスにチェックを入れる必要があります。 その履歴書は、悪意のあるLNKファイルと画像ファイルを含むZIPファイルとしてダウンロードされます。 LNKファイルは、第1段のペイロードです。
[関連記事：ビジネスメール詐欺（BEC）とは何ですか？] [BEC攻撃によるコストの増加]
Arctic Wolfの報告によると、このアクターのインフラストラクチャはサーバーポリモーフィズムに対応しており、ダウンロードのたびに新しいLNKファイルが生成され、コードの難読化やファイルサイズが変更されるそうです。
このLNKファイルは、最終的にコードを実行してワードパッドを起動し、被害者の注意をそらします。これにより、被害者は約束された履歴書が開かれていると錯覚させられる一方で、密かにWindowsユーティリティ「%windir%\system32\ie4uinit.exe」を起動し、高度に難読化されたJavaScriptペイロードを含むHTMLページへのURLが記載された「ieuinit.inf」ファイルからのコマンドを実行します。
More_eggs_Dropper ライブラリはどのように動作するのでしょうか？
前のフェーズの後、JavaScriptコードによって、Arctic Wolfが「More_eggs_Dropper」ライブラリと呼ぶ実行可能ライブラリが生成されます。 このライブラリでは、JavaScriptコードを多態的に生成するコードが使用されています。 その実行には時間差があるため、サンドボックスによる分析が難しくなります。 また、実行すると、以下のような複数のファイルが生成されます：
- そのうちの1つのファイルは、JavaScriptを含むXMLファイルを実行する正規のWindows実行ファイル「msxsl.exe」です。Arctic Wolfによると、この手法は過去にVenom Spiderによって 使用されていたものであり、その詳細についてはでご確認いただけます。
- 別のファイルが「More_eggs_dropper」を作成し、メインのペイロードを実行します。
これらのスクリプトの実行後、ドロッパーは削除されます。 このドロッパーは、実行されるたびに新しいJavaScriptペイロードを生成し、高度に難読化されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ヴェノム・スパイダー」は、採用担当者や人事部門を標的とする数あるアクターの一つです。 こうしたグループの多くは、スピアフィッシングやLinkedInなどのプラットフォームを通じたアプローチなど、類似した手口を用いているため、こうした人々にどのような点に注意すべきかを周知しやすくなっています。
Arctic Wolfの調査では、このグループが独自のバックドアの「開発と維持管理に継続的に投資している」ことも明らかになり、同グループがソーシャルエンジニアリングとマルウェアの両方に重点を置いていることが示唆されています。
新しい「StealC V2 」には、ステルス機能の強化やデータ窃取ツールが含まれています
最近、人気のある情報窃取型マルウェア「StealC」の新しいバージョンがリリースされました。 Zscalerは、 （新しいタブで開きます） の最新バージョンを分析し、簡素化された C2 通信プロトコル、RC4 暗号化の採用、ペイロード配信オプションの強化、統合ビルダー、およびデータ窃取機能の改善など、いくつかの重要な更新点を指摘しました。
「StealC V2」について
StealC V2 は、2025年3月で初めてリリースされました。 このマルウェアは、JSONベースのネットワークプロトコルを採用しており、最新亜種では RC4 暗号化が使用されています。また、MSIパッケージやPowerShellスクリプトを配信するための追加のマルウェアローダーオプションに対応するようになりました。
新バージョンには、デザインを一新したコントロールパネル、マルチモニター対応のスクリーンショット機能、統合されたファイル取得機能、およびサーバーサイドでのブルートフォース攻撃機能も搭載されています。
初回実行時、このバージョンはハードコードされた「 RC4 」という鍵を使用して、重要な文字列を復号します。
また、有効期限を確認し、必要に応じて自動的に終了します。 また、それ自身のインスタンスが重複して実行されていないかどうかも確認します。
StealCの各バージョンの主な違い
『StealC V2 』は『2025年3月』でリリースされましたが、それ以降、いくつかの新バージョンがリリースされています。 本記事の公開時点で、最新バージョンは 2.2.4です。
StealC V2 は、.exeファイル、MSIパッケージ、PowerShellスクリプトを含む3種類のペイロードをダウンロードして実行できるようになりました。
Looking at its network communication protocol, StealC V2 uses JSON-based requests and responses for C2 communication. また、 C2 サーバーは、「create」、「upload」、「done」、「loader」の4種類の操作を受け付けることができますが、感染を登録するための最初のリクエストは常に「create」となります。 C2 サーバーからの応答によって、マルウェアの動作や実行すべきタスクが決まります。 デザインを一新したコントロールパネルには、組み込み型のビルダーも搭載されるようになりました。
Zscalerの分析では、以前のStealCのバージョン（ ）と比較して、StealC V2’s のインフラストラクチャ（）から、いくつかの重要な知見も明らかになりました：
- まず、ビルダー・ピースには、ZIPアーカイブに含まれているバージョン更新が必要であり、これをアップロードする必要があります。これにより、古いバージョンが使用されないようにします。
- また、このコントロールパネルには、Telegramボットの連携、ルールに基づくペイロード配信、ファイルベースのアップロード、IPアドレスに基づくブロックなどの機能が搭載されていることが判明しました。
- さらに、ビルダーはパネルに組み込まれています。 これにより、オペレーターはローダーやグラバーのルールを簡単に作成できるようになります。
- これらの新バージョンには、より高度な難読化、 RC4 暗号化、実行時にすべてのAPI関数を解決する機能、ペイロードのダウンロード機能の改善などが含まれています。
- 最新バージョンには、自己削除ルーチンも搭載されています。
現在も開発が進められており、定期的に新しいアップデートがリリースされています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
最新のStealCバージョンでは、いくつかの改善が施されています。 この最新バージョンでは、さらなるステルス機能が追加されただけでなく、3月以降も新しいバージョンが次々とリリースされ、急速に進化を続けています。
Zscalerによると、StealCは他のマルウェアファミリーと組み合わせて使用されることが多く、そのためさらに危険性が高まっているとのことです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
