今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、ランサムウェアグループの間で急速に広まっている新しい「パッカー・アズ・ア・サービス（PaaS）」である「Shanya」について取り上げます。 次に、当チームは「GrayBravo」について調査を行います。これは、 フィッシング、マルウェア広告、および偽のソフトウェア更新などを通じて、物流やホスピタリティ業界などを積極的に標的としている、高度な脅威アクターです。 最後に、 では、 を締めくくるにあたり、エンドポイント検出・対応（EDR）ツール の悪用へと転じた最近の Storm-0249’s の事例の概要をご紹介します。。
Shanya PaaSがランサムウェアグループの間で広まっています
ソフォスは、サイバー犯罪のエコシステムにおいて、HeartCryptなどの旧来のサービスに取って代わると思われる新しいPaaSツール「Shanya」の詳細を、 で公開しています。
パッカーサービスとは、マルウェアを暗号化または難読化して、検出を回避するためのツールです。 現在、攻撃者は「Shanya」を利用して、ランサムウェアを による難読化レイヤー（）で包み込み、マルウェア対策ソフトの防御を回避できるようにしています。
アンダーグラウンドのプロモーション
Near the end of 2024, Sophos discovered references in underground forums for an offering called VX Crypt. 投稿者のIDとは無関係であったにもかかわらず、その投稿は「Shanya」によるものとされました。 しかし、その作成者のTelegramのユーザー名には「shanya」という文字が含まれていました。
その投稿によると、この製品にはAMSIバイパス機能、実行時保護機能、およびサイドローディング機能が搭載されていたとのことです。 このパッカーの機能は、ソフォスが観測した別のパッカーの機能と一致しており、ソフォスはこれが同一のPaaSであると判断しています。
初期のサンプルにおいて、ソフォスは、「shanya」という文字列またはその派生形が使用された実行ファイルやDLLの名前を発見しました。 また、EDRキラーとCastleRATマルウェアの両方が、Shanyaサービスによって作成された悪意のあるファイルを使用していた事例も確認されました。
シャニャは、 2025年を通じて世界中で観測されてきました。
圧縮された実行ファイル
ソフォスは、EDRキラーの亜種であるサンプルを分析しました。このサンプルには大量のジャンクコードが含まれていましたが、最終的には「メモリ領域内に復号器とローダーを構築し、それらがペイロードを復号化する」ものであると判明しました。
- まず、シャニャは、実行時の主要な詳細情報を格納するテーブルを作成します。
- このテーブルへのポインタは、プロセス環境ブロック（PEB）内のGdiHandleBufferフィールドに格納されています。
- そこから、マルウェアの各段階では、PEBを取得するだけで構成テーブルへのポインタを復元できるため、フットプリントを小さく抑えることができます。
- また、Shanyaは必要なWindows API関数を動的に解決し、解析防止チェックを実行することも可能です。
代表的な活用事例
ソフォスによると、Shanyaによって保護されたEDRキラーが、DLLのサイドローディング事例で使用されていたとのことです。
また、ソフォスは、この「EDRキラー」が2つのカーネルドライバをドロップすることにも言及しています。そのうちの1つは正規のものですが脆弱性があり、もう1つは悪意のある署名なしのドライバです。
このレポートには、対象となるサービスやプロセスの長いリストが掲載されています（ ）。。 デバイス上でこれらのいずれかが検出された場合、そのデバイスは利用停止となります。
ソフォスはまた、Shanyaを利用した、特にホテルを標的とした実際の攻撃キャンペーンについても解説しています。 このキャンペーンは 2025年9月 によるもので、Booking.comを活用したClickFixキャンペーンでした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Shanya PaaSは、防御機能を無力化することで、EDRキラーからランサムウェアに至るまでのプロセスを体系化しています。 これは本質的に、攻撃の成功率を高めたいと考える攻撃者にとって、高度な回避手法を定期的なサービスとして提供するものと言えます。
ソフォスの見解にもある通り、この問題はすぐには解消される見込みはなく、今後も進化し続けるでしょう。
GrayBravoが事業拠点を拡大しています
Recorded Future（）によると、GrayBravo（旧称 TAG-150）は、おそらくマルウェア・アズ・ア・サービス（MaaS）モデルに基づいて活動しており、フィッシング、マルウェア広告、偽のソフトウェア更新などを通じて、物流およびホスピタリティ業界を標的とした複数のクラスターにCastleLoaderを展開しています。
このグループのインフラストラクチャとツールは、認証情報の窃取、リモートアクセス、多層的なコマンド＆コントロール（C2）システムといった高度な機能を備えており、高い適応性を示しています。
GrayBravoとはどのような存在でしょうか？
GrayBravo（旧称 TAG-150）は、少なくとも 2025年3月の頃から活動している、高度な脅威アクターです。 このアクターは、その迅速な開発能力と、CastleLoader、CastleBot、CastleRATなどを含むカスタムマルウェアファミリーで知られています。
Recorded Future社は、このグループが、多層的なインフラストラクチャと高度な検知回避技術を駆使し、4つの異なる活動クラスターを持つ「マルウェア・アズ・ア・サービス（MaaS）」のエコシステムを運営していると見ています。
GrayBravoは、マルウェアのエコシステムを支えるために、複雑で多層的なインフラストラクチャを運用しています。 ティア1のサーバーは、そのマルウェアファミリーにおいて、被害者を標的とするコマンド＆コントロールノードとして機能し、その他のティアは多層的な機能を提供しています。
CastleRATの亜種
Recorded Futureのレポートには、C言語版とPython版の2つの亜種を持つCastleRATマルウェアに関する詳細が記載されています。 どの亜種であっても、リモートでのコマンド実行、ファイルのダウンロードおよび実行、ならびに対話型リモートシェルの確立が可能です。 C バリアントには、いくつかの追加機能が備わっています。
[CastleRATの進化し続ける機能について詳しく解説した記事をご覧ください。このカスタムマルウェアが、標的型攻撃の新たな時代の到来を告げる理由をご確認ください]
インフラに関しては、Recorded Future社は、 RC4 の主要な「NanuchkaUpyachka」を共有する複数のノード間で、運用上の重複が著しいことを突き止めました。 また、CastleRATとCastleLoaderに共通の展開フレームワークが存在する可能性を示唆する相互関連性の程度も特定されました。
アクティビティのグループ
Recorded Futureは、CastleLoaderの展開に関連する4つの活動クラスターを特定しました：
- クラスター1： Recorded FutureがTAG-160として追跡している最初の活動クラスターは、物流セクターを積極的に標的にしています。 このクラスターは、DAT Freight & Analytics や Loadlink Technologies といった正規の貨物マッチングプラットフォームを悪用しつつ、CastleLoader を展開し、脆弱性を悪用するために「ClickFix」という手法を用いていることが確認されています。
- クラスター 2：クラスター 2 (TAG-161) は、Booking.com を装っていることが知られています。 このグループは、CastleLoaderやMatanbuchusを展開する際にも、ClickFixという手法を用いています。
- クラスター 3： このクラスターもBooking.comを装い、ClickFixの手法を活用し、Steamのページを利用してCastleRATとCastleLoaderの両方を配信しています。 現時点では、Recorded Futureは、第2クラスターと第3クラスターの間に技術的な重複は確認できていません。
- クラスター 4： 最後のクラスターでは、マルウェア広告や偽のソフトウェアインストーラーを利用して、CastleLoader および NetSupport RAT を配布しています。 このマルウェアは、偽のGitHubリポジトリを利用してCastleLoaderのペイロードを配布しており、そのペイロードは通常、電子署名付きのMSIインストーラーとして配信されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
GrayBravoは、サイバー犯罪の産業化を象徴する存在であり、そこで攻撃者は、提携先にモジュール式のマルウェアやインフラストラクチャを提供しています。
CastleLoaderが柔軟な配信メカニズムとして果たす役割は、単一目的のマルウェアから、ランサムウェア、情報窃取型マルウェア、RATなどを可能にする多段階ローダーへの広範な移行傾向と一致しています。
同グループは、多層的で冗長化された C2 システムを採用しているため、1つのドメインやIPが発見されてブロックされても、運用を継続することができます。
Storm-0249は、EDRプロセスを悪用して悪意のある活動を隠蔽します
ReliaQuest（）によると、初期アクセスブローカー「Storm-0249」は、大規模なフィッシングキャンペーンからEDRツールの悪用へと移行したとのことです。 このグループは、DLLのサイドローディングや信頼済みプロセスの悪用といった手法を用いて、検知されにくい永続化を実現しています。
こうした進化により、ランサムウェアのアフィリエイトは、従来の防御策を回避し、悪意のある活動を正当なセキュリティ運用に紛れ込ませながら、長期にわたってアクセス権を維持することが可能になります。
[横方向の移動を防ぎ、攻撃者がネットワーク内を自由に動き回るのを阻止するための、実証済みの3つの戦略をご紹介します]
Storm-0249’s の新しい戦術
最近発生したStorm-0249’s 件の攻撃は、ClickFixを介して開始されています。 また、MicrosoftドメインのなりすましやCurlからPowerShellへのパイプ処理、さらにはDLLのサイドローディングなど、さまざまな手法を用いて、SentinelOneエージェントを標的にしています。
Storm-0249がアクセス権を取得すると、このグループは curl.exe （ITチームの間で信頼されているツール）を使用します。 この悪意のあるスクリプトは、Microsoftのドメインを装ったURLにホストされており、ユーザーにそれが正当な送信元からのものであると錯覚させるよう仕組まれています。
Curlは、偽のMicrosoftドメインから悪意のあるスクリプトをダウンロードし、それらをPowerShellのメモリに流し込むことで、シグネチャベースの検知を回避します。 ReliaQuestが指摘しているように、「完全にメモリ上で実行されるため、従来のシグネチャベースの検知では、その活動を完全に見逃してしまいます。」
セキュリティソフトウェアを逆手に取る
ReliaQuestによると、Storm-0249は、正規のSentinelOne実行ファイルを改ざんすることで、自身の悪意のあるコードをロードする能力を示しています。
この攻撃では、ユーザーを騙して、偽のマイクロソフトのサイトからダウンロードした悪意のあるMSIパッケージを実行させなければなりません。 ダウンロードされたパッケージにはシステム権限が必要であり、これにより攻撃者は実際の悪意のあるコードを実行するために必要な権限を得ることになります。
このMSIパッケージには、SentinelOne EDRコンポーネントを装ったDLLが含まれており、これをユーザーのAppDataフォルダに配置します。 DLLのサイドローディングを利用することで、SentinelOneの起動時に、正規のDLLの代わりに悪意のあるDLLが読み込まれます。
偽装された通信チャネル
In addition to updating some of their tactics, the group has also changed its C2 communication approach.
このマルウェアは以前、直接的な C2 通信を確立していましたが、これにより送信トラフィックが発生し、発見されやすくなっていました。 現在、このグループは、SentinelOneの信頼されているソフトウェアを悪用して、 C2 通信を確立しています。ReliaQuestは、これがホワイトリストに登録されたソフトウェア内で発生していることから、懸念すべき事態であると指摘しています。
偽装偵察
また、ReliaQuestは、この攻撃者が「IT運用に支障をきたさずにブロックすることはほぼ不可能」な正規のWindowsユーティリティを使用して、偵察活動を行っていることも確認しました。
SentinelAgentWorker.exe という実行ファイルが侵害されると、攻撃者は reg.exe などのコマンドを実行し、システム識別子を入手することができました。 ReliaQuestは、これがランサムウェアのアフィリエイトへの備えとして行われている可能性があると指摘しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この例が示すように、攻撃者は検知を回避するために、信頼されているセキュリティツールを悪用するケースが増えています。
正当なEDRプロセスの悪用は、ソフトウェアへの信頼がいかにしてリスクとなり得るかを浮き彫りにするとともに、 サプライチェーン型攻撃 がますます巧妙化していることを示しています。 これは、シグネチャベースの防御よりも行動分析が必要であることを示す、また一つの例です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ へアクセスし、Taniumのディスカッションフォーラム へお進みいただき、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
