今週は、Taniumのサイバー脅威インテリジェンス（CTI）チームが、2つの悪意のあるPythonパッケージが関与した高度なサプライチェーン攻撃について解説し、今週のまとめをスタートさせます。 次に、私たちのチームは、ChatGPTのデスクトップアプリに偽装されたモジュール式のバックドアフレームワーク「PipeMagic」について調査します。 最後に、急速に進化を続けているマルウェアキャンペーン「Noodlophile Stealer」の概要をご紹介して、締めくくりたいと思います。
研究者らが悪意のあるPythonパッケージを発見しました
Zscaler ThreatLabzは、 において、Pythonパッケージである （termncolor： ）および（colorinal：）を利用した、高度な サプライチェーン攻撃 を明らかにしました。この攻撃では、CBCモードを用いたAES暗号化ペイロードおよびDLLインジェクションを通じて、多段階のマルウェアが展開されていました。
この事件は、オープンソースのエコシステムにおける悪意のある依存関係のリスクが高まっていること、およびパッケージの審査に細心の注意を払う必要性を浮き彫りにしています。
[IT資産の可視化が、サプライチェーンのセキュリティを「死角」から「戦略的優位性」へと変革する方法をご覧ください]
悪意のあるパッケージの発見
Zscalerの調査によると、 termncolor（ ）は、colorinal（）という追加のパッケージをインポートしていたことが判明しました。
Zscaler社によると、 termncolor は、「悪意のある動作を一切示さず、Python用のカラーユーティリティとして機能する」とのことです。 のcolorinal という依存関係が含まれていたため、不審に思われました。
ファイルの調査
Zscalerは、 colorinal パッケージ内に、「 unicode.py」および「 」という名前のファイルを発見しました。 一見するとカラー調整用のユーティリティスクリプトのように見えますが、実際には埋め込まれたDLL（terminate.dll）を読み込み、マルウェアのペイロードを展開します。 このマルウェアは、検出や分析を妨げるために、 のterminate.dll（ ）と、のunicode.py（ ）の両方を削除します。
攻撃は次のように進行します：
- 第1段階： 第1段階は、
terminate.dllが実行されたときにトリガーされます。 このDLLの主な機能の一つは、埋め込まれたペイロードを復号し、その復号されたペイロードを%LOCALAPPDATA%\vcpacketディレクトリに保存することです。
Zscalerによると、この場所は、後でDLLのサイドローディングに使用される2つの実行ファイルを含む、追加のネクストステージファイルの一時保存場所としても使用されているとのことです。 このマルウェアは、レジストリの作成を通じて永続性を確保し、クロスプラットフォーム対応の能力を示しており、Linux向けに特別に調整された亜種も存在します。 - 第2段階： 第2段階は、
、libcef.dll、というファイルが実行された時点で始まります。 Zscalerによると、これは「第1段階でドロップされる主要な悪意のあるコンポーネント」とのことです。 このDLLは、マルウェアがコマンド＆コントロール（C2）サーバーと通信するのを支援します。 このマルウェアは、Zulipというチーム向けメッセージングプラットフォームを利用して、その活動を一見正当な通信であるかのように偽装していることが確認されています。 このマルウェアは、収集したデータをZulipのチャンネルに送信した後、APIを解決し、脅威アクターから取得したシェルコードを実行します。
このマルウェアは、低レベルのマルウェア操作においてDLL名やAPI名を難読化することを目的としたと思われる、独自のハッシュ化手法を用いてAPIを解決しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃は、サプライチェーンに対する脅威、とりわけPyPIやその他のリポジトリといった信頼されているエコシステムを悪用する脅威が、ますます頻繁に発生し、その手口も高度化していることを如実に示しています。
Zscalerは、DLLのサイドローディングに正規のバイナリを利用したり、暗号化されたペイロードを使用したりといった手法を指摘しています。こうした手法は検知を困難にすることがあり、シグネチャベースの検知だけでは不十分な場合が多く、行動分析や脅威ハンティングが必要となることがよくあります。
これらのパッケージはその後PyPIから削除されましたが、こうした攻撃は、組織の依存関係を把握することがいかに重要であるかを改めて認識させるものです。
[Tanium HuntIQを活用して、専門家が主導する脅威ハンティングの力を解き放ち、ステルス性の高いサイバー脅威に先手を打つ]
PipeMagicは、ChatGPTのデスクトップアプリを装っています
マイクロソフトは、 に対し、脅威アクター「Storm-2460」が使用するモジュール式のバックドアフレームワーク「PipeMagic」について警告を発しました。このフレームワークは、ChatGPTのデスクトップアプリに偽装し、Windowsのゼロデイ脆弱性を悪用してランサムウェアを展開するものです。
PipeMagic uses encrypted named pipes and linked lists to manage payloads, execution, and C2 communication, making it highly evasive and dangerous.
Storm-2460 と PipeMagic
マイクロソフトによると、Storm-2460という脅威グループは、PipeMagicを何度か使用しており、具体的には CVE-2025-29824に関連する攻撃の事前準備段階において使用していたとのことです。
このグループは、攻撃者のマルウェアをホストしている、侵害されたものの正規のウェブサイトからファイルをダウンロードしているのが確認されています。 このダウンロードしたファイルは、PipeMagicをメモリ上に展開して実行する役割を担うMSBuildファイルです。 デバイス上で実行されると、攻撃者はWindowsの共通ログファイルシステム（CLFS）の脆弱性を悪用して権限を昇格させ、ランサムウェアを起動します。
PipeMagicは、ChatGPTのデスクトップアプリケーションを装ったインメモリ型ドロッパーとして動作を開始します。 これを行うために、攻撃者は、PipeMagicを埋め込みペイロードとして含むGitHubプロジェクトの改変版を使用します。 PipeMagicはTCP経由で C2 と通信し、名前付きパイプを通じてモジュールを受け取ります。
[ChatGPTがサイバーセキュリティをどのように変革しているかをご覧ください――AIが駆動する脅威環境において、攻撃者と防御者の双方に新たな力を与えています]
内部連結リストの構造
マイクロソフトは、PipeMagicがメモリ内のモジュールを管理するために使用している、4つの異なる両方向連結リスト構造を特定しました：
- ペイロードモジュールを格納する、ペイロード連結リスト です。
- 正常に読み込まれ、実行可能な状態にあるペイロードモジュールを格納した、実行用リンクリスト です。
- C2 通信用のネットワークモジュールを含む、ネットワーク連結リスト です。
- という、機能がはっきりしない未知のリストです。 マイクロソフトは、「これは、バックドアの中核となるロジックそのものではなく、読み込まれたペイロードによって動的に活用されるものである」と考えています。
ペイロードの連結リストへのデータ格納
前述の通り、ペイロード連結リストはペイロードモジュールを管理するために使用されます。 リストを初期化する前に、マルウェアはホスト用のランダムなボット識別子を生成し、その後、ペイロードを送信するための名前付きパイプを作成します。
この双方向パイプでは、マルウェア本体とペイロード配信メカニズムとの間で、読み取りおよび書き込み操作が行われます。 このマルウェアは、名前付きパイプをリッスンしてペイロードモジュールを受信し、メモリを割り当てて、それらをペイロードのリンクリストに追加します。
マルウェアの設定
PipeMagicでは、ステージングモード、 C2 アドレス、およびその他の運用パラメータを管理するために、構造化された設定を採用しています。
アクティブなネットワーク接続を必要とせずに、 C2 種類のやり取りを再現するステージングモードが搭載されています。 このマルウェアには、 C2 アドレスなどが含まれるさまざまな設定ブロックがあります。
ネットワークモジュール
C2と通信するために、このマルウェアはネットワーク連結リスト内のネットワークモジュールを使用します。 この機能は、リストにモジュールのメモを追加します。各メモには、 C2 通信用の実行可能モジュールが含まれています。
マイクロソフトは、ネットワークモジュールのデータがバックドアのバイナリに直接埋め込まれていることを突き止めました。 ネットワークモジュールが起動すると、3つの関数をエクスポートして登録します。1つは C2にデータを送信するためのもの、1つは定数値を返すためのもの、そしてもう1つは「バックドアとネットワークモジュールの両方に、 C2 とのすべての通信を終了させる」よう指示する停止信号を設定するためのものです。
情報の収集
このマルウェアは、 C2 サーバーへ送信するために、多岐にわたる情報を収集します。 この情報には、コンピュータ名、ドメインのNetBIOS名、ユーザーのドメイン名、ホストのIPアドレス、およびマルウェアの現在の作業ディレクトリなどが含まれます。
すべての情報は C2へ送り返されます。 マルウェアが C2からの応答を受信すると、そのデータを解析してコマンドを解釈します。 このコマンドは、バックドアに対して、中核機能の実行、通信を停止するためのネットワークモジュールのシャットダウン、およびすべてのモジュールの起動など、次に実行すべき操作を指示します。
バックドア機能
マイクロソフトが最も重要だと考えているコマンドの一つが、コード 0x1です。 ここには、PipeMagicがバックドア操作を実行するために必要な情報を提供するコマンドと引数が含まれています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Storm-2460’s ペイロードの管理、実行、および通信に連結リストを活用している点は、高度な洗練さと規律の徹底を示しています。 このグループは、相当なリソースを背景に活動していると思われます。
PipeMagicは、ChatGPT用の信頼できるデスクトップアプリを装っています。 これは、脅威アクターが感染成功の可能性を高めるために、その時点で流行しているものに関連したおとりやテーマを頻繁に利用しているという事実を改めて示しています。 今回のケースでは、AI がその例です。
いつものように、Microsoftの「 」では、Defenderによる検知情報に加え、役立つ緩和策や保護に関するガイダンスが提供されています。
[エージェント型AIが自律性をどのように再定義しているかを探ってみましょう――知能システムは単に反応するだけでなく、自ら率先して行動するのです]
「Noodlophile Stealer」は、ソーシャルメディアを通じて企業を標的にしています
Morphisec（ ）が最近発表したレポートでは、「Noodlophile Stealer」について分析しています。これは、標的を極めて絞り込んだ多言語の著作権をテーマとしたフィッシングメール（ ）を用いて、ソーシャルメディアでの存在感が強い企業を標的に攻撃を行う、急速に進化を続けるマルウェアキャンペーンです。
Morphisecによると、「Noodlophile Stealer」は、高度な検知回避技術とTelegramを利用したペイロード配信を活用し、認証情報、金融データ、システム情報を窃取するとともに、キーロギングやファイル暗号化といった将来の機能に向けた準備を進めているとのことです。
「Noodlophile」キャンペーンは、1年以上も活動しています。 このキャンペーンでは、著作権侵害の通知を装ったスピアフィッシングメールが使用されており、その内容には、FacebookページのIDや所有者情報など、個別に調整された情報収集の詳細が含まれています。
このキャンペーンは、主に米国、欧州、バルト諸国、およびアジア太平洋地域の組織を対象としています。 メールは、特定の従業員や、通常「info@」や「support@」で始まる汎用アドレス宛てに送信されます。
その魅力
このキャンペーンでは、Facebookページに関連する著作権侵害の通知メールを送信し、組織がFacebookに対して抱いている信頼――特にソーシャルメディアでの存在感が大きい組織の信頼――を悪用しようとしています。
こうしたメールは、Gmailアカウントから送信されることが多く、緊急性を煽るとともに法的措置をちらつかせて、被害者に悪意のあるリンクやファイルをクリックするよう圧力をかけてきます。 Morphisecによると、このキャンペーンでは、英語、スペイン語、ポーランド語、ラトビア語など、多言語のコンテンツが活用されているとのことです。
送達メカニズム
以前のNoodlophileのキャンペーンでは、偽のAIプラットフォームが使用されていました。 しかし、最新の亜種は、DLLのサイドローディングに対して脆弱な、正当な署名付きアプリケーションを介してペイロードを配信します。
ペイロードは、TinyURLによるリダイレクトで難読化されたDropboxのリンクを介して配信されます。 アーカイブには、.docx ファイルという名前がついたバッチスクリプトや、.png ファイルを装った SFX アーカイブなど、偽装されたアーティファクトが含まれています。
中間病期
DLLのサイドローディングを実行した後、このキャンペーンでは中間段階を経て、「初期の実行と最終的な情報窃取ツールの展開」をつなぐようにしています。
事前にサイドロードされたDLLは、アーカイブファイルの名前を.pptx、.docx、または.pdf形式に見せかけるように変更し、本来のBATスクリプトやPythonインタプリタを露わにします。 BATスクリプトは、レジストリエントリを作成したり、リモートサーバーから追加のファイルをダウンロードしたりすることで、持続性を確立するために使用されます。
ペイロード解析
Morphisec社は、これらのスクリプトが以前よりもさらに高度に難読化されていると指摘しています。 次のステージを直接ダウンロードする代わりに、彼らは「Telegramグループの説明文からURLを抽出し、ペイロードの動的な実行を可能にします」。 この最後のステラーは、検出や削除を困難にするため、無料のプラットフォーム上でホストされています。
「Noodlophile Stealer」の変遷を詳しく見てみましょう
Noodlophile Stealerのコードベースを分析した結果、Morphisecは、このマルウェアが急速に進化している実態や、将来的な機能強化の計画を示す関数を特定しました。
彼らが確認した、実装されていない機能には、スクリーンショットの撮影、キーロギング、ファイルの抽出、プロセスの監視、ブラウザ拡張機能のチェックなどが含まれており、他にも多数あります。
現在、このマルウェアは、Chrome、Brave、Edge、Operaなどのブラウザに対応しており、認証情報、システム情報、環境詳細といったブラウザ関連のデータを収集しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃者は、一般的なフィッシングから、 のような、個別に仕組まれたソーシャルエンジニアリングの手法へと移行しています。。 この手法では、説得力のあるおとりを作るために、さらなる偵察が必要となります。
また、このキャンペーンでは、さまざまな言語でローカライズされたフィッシングコンテンツが使用されており、攻撃者がAIツールを活用して自動翻訳やパーソナライゼーションを行っている可能性が示唆されています。 これらの手口を組み合わせることで、フィッシング攻撃は間違いなく、より大規模な範囲で、より簡単かつ効果的に行えるようになります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム へアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の サイバー脅威インテリジェンスのまとめ をご覧ください。
