今週、CTIは「StilachiRAT」と呼ばれる新しいリモートアクセス型トロイの木馬（RAT）マルウェアについて調査を行います。 続いて、CTIでは、Redditの投稿を通じて情報窃取型マルウェアがどのように拡散されているかを検証します。 最後に、CTIはCloudflareのデータを分析して締めくくっており、ログインに成功したケースの 41％で、流出したパスワードが使用されていたことが明らかになりました。
新たな「StilachiRAT」マルウェアは、暗号資産の窃取や情報収集を可能にします
マイクロソフトは、 （新しいタブで開きます） において、「StilachiRAT」と呼ばれる新しいRATマルウェアを発見しました。このマルウェアは、ブラウザの認証情報、デジタルウォレットのデータ、クリップボードの情報、およびシステム情報を盗み出すためのさまざまな手法を備えています。
現時点では作成者が特定されていませんが、StilachiRATは、検知を回避し、システムへの定着を図り、データを外部へ流出させるために、高度な手法を用いています。
システムの偵察
StilachiRATは、標的システムに関する情報を収集するために、基本的な偵察を行います。 主にWMIクエリ言語を使用して、BIOSのシリアル番号、カメラの有無、システム情報など、さまざまな詳細情報を収集します。
デジタルウォレットをターゲットに
StilachiRATは、Chromeブラウザ内の数多くの仮想通貨ウォレット拡張機能を標的としています。 そのために、特定のレジストリキーの設定にアクセスし、指定された拡張子がインストールされているかどうかを確認します。 の標的となったウォレット拡張機能の完全なリストは、マイクロソフトのレポート『 』（新しいタブで開きます） に掲載されています。
認証情報の盗難
多くのRATと同様に、StilachiRATは の認証情報を盗み出すことができます。 （新しいタブで開きます）。 マイクロソフトは、このマルウェアがユーザーディレクトリ内のローカル状態からChromeの「encryption_key」を抽出していることを確認しました。
[関連記事：Active Directoryのセキュリティとは？ リスクとベストプラクティス] （新しいタブで開きます）
このキーはインストール時に暗号化されており、Windows API を使用して復号化する必要があります。 これにより、攻撃者はパスワード保管庫内に保存されている認証情報を取得できるようになります。 また、このマルウェアは、ソフトウェアのインストール履歴や実行中のアプリケーションなどの情報も収集します。
粘り強さ
マイクロソフトによると、StilachiRATはWindowsサービスとして動作することも、スタンドアロンコンポーネントとして独立して動作することも可能であるとのことです。 ウォッチドッグスレッドが、マルウェアが使用するファイルを監視し、それらが削除されないようにするとともに、万が一ファイルが欠落した場合には、それらを再作成します。
リモートデスクトッププロトコル（RDP）の監視
また、StilachiRATはRDPセッションを監視してユーザーになりすますこともありますが、この手法は、管理者セッションをホストしているサーバーにとって重大なリスクをもたらします。
このマルウェアは、現在のセッションを取得し、フォアグラウンドウィンドウを起動し、すべてのRDPセッションを列挙します。 識別された各セッションについて、その権限またはセキュリティトークンを複製し、アプリケーションを起動できるようにします。
[関連記事：ロシアの「アース・コシェイ」が最近、大規模なRDP攻撃を仕掛けた経緯] (新しいタブで開きます)
クリップボードの監視
また、このマルウェアには、クリップボードのデータを監視する機能も備わっています。 このプログラムは定期的にクリップボードを読み取り、情報漏洩のために必要なテキストを抽出します。 関連するテキストを特定するために、パスワード、キー、個人識別情報（PII）などに対して正規表現を用いた検索を行います。
フォレンジック対策
ほとんどのマルウェアと同様に、StilachiRATも自身の痕跡を隠蔽し、分析を困難にしようとします。 イベントログを消去し、サンドボックスのタイマーなどの要素について特定のシステム状態を確認し、API呼び出しを難読化します。
コマンド
コマンド＆コントロール（C2）サーバーには、2つの異なるアドレスが設定されています。1つのアドレスは難読化されており、もう1つのアドレスはバイナリ形式に変換されています。 このマルウェアは、TCPポート 53、 443、または 16000 を使用して通信チャネルを確立します。 その後、システムの再起動、ログの消去、アプリケーションの実行、ウィンドウの操作など、さまざまなコマンドを実行することができます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
現時点では、StilachiRATがどのように端末に侵入しているかについては、ほとんど情報が得られていません。 とはいえ、RATマルウェアはさまざまな方法で拡散される可能性があり、 基本的な監視と検知 (新しいタブで開きます) は、こうした一般的な初期侵入経路を防ぐ上で極めて重要です。 このマルウェアは現時点ではまだ大規模に拡散されてはいませんが、その機能性から、注視しておく価値があります。
また、マイクロソフトは、 が推奨する緩和策 （新しいタブで開きます）、ハンティングクエリ、およびDefenderのアラートについても公開しており、これらは本脅威に関連する活動を特定する際に役立つ可能性があります。
AMOSやLummaの窃盗犯は、Redditの投稿を通じて拡散しています
Malwarebytesの （新しいタブで開きます）によると、macOS向けの情報窃取型マルウェア「AMOS」およびWindows向けの情報窃取型マルウェア「Lumma」が、現在Redditの投稿を通じて拡散されているとのことです。 このキャンペーンの餌となるものは、多くの場合、クラックされたソフトウェアです。
Redditの投稿にはどのような内容が含まれているのでしょうか？
このキャンペーンの仕掛け人たちは、特に仮想通貨トレーダーが頻繁に利用するサブレディットをターゲットにしており、TradingViewという人気の取引ツールを無料で利用できるという内容の投稿を作成しています。
この投稿では、当プラットフォームのプレミアム版への無期限アクセス権をご提供いたします。 このスレッドをさらに興味深いものにしているのは、投稿者が残したコメントで、必要であればサポートすると申し出るとともに、「Macに本物のウイルスが感染したら、とんでもないことになるだろう」と述べている点です。
ダウンロード
Malwarebytesは両方のリンクを調査した結果、このマルウェアがドバイの清掃会社が所有するウェブサイトにホストされていることが判明しました。 このウェブサイトはPHPバージョン 7.3.33であることが判明しました。Malwarebytesによると、このバージョンは 2021 年にすでにサポート終了となっており、セキュリティ上の脆弱性が生じやすい状態にあるとのことです。
[関連記事：重要なスケジュールと、間もなく終了するWindows 10 のサポート終了に向けた準備方法] (新しいタブで開きます)
二重に圧縮されたマルウェア
AMOSもLummaも二重にZIP圧縮されており、2つ目のZIPファイルを開くにはパスワードが必要です。 これは一部の被害者にとって警戒すべき点となるはずです。なぜなら、正規のソフトウェアのダウンロードファイルは、通常、二重にZIP圧縮されていることはないからです。
Malwarebytes社は、AMOS macOS向け情報窃取型マルウェア (新しいタブで開きます) についても詳しく調査したところ、最新バージョンには仮想マシンの存在を確認する機能が含まれており、検出された場合は実行を終了することが判明しました。
このWindows向けマルウェアは、悪意のあるAutoItスクリプトを実行するBATファイルによって読み込まれます。 このマルウェアの C2 サーバーは、ごく最近登録されたドメインです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンの仕掛け人は、 ソーシャルエンジニアリング (新しいタブで開きます) を用いて、被害者が抱くかもしれない疑念を和らげようとするコメントを盛り込むことで、多くのクラック版ソフトウェアキャンペーンよりも一歩先を行く手法をとっています。
このコメントでは、ソフトウェアのダウンロード時にデバイスが警告を表示する理由について説明しているだけでなく、実行時に問題が生じた場合の直接的なサポートも提供しています。 このコメントは、「ヒント」を提供しないキャンペーンに比べ、より多くの被害者を騙すのにちょうど十分な効果があるかもしれません。
ユーザーのログインのほぼ 41％で、流出したパスワードが使用されていました
Cloudflareの最新のテレメトリ「 」（新しいタブで開きます） によると、ログインに成功したケースの 41％で、流出したパスワードが使用されています。
これは主にパスワードの流用によるもので、多くのユーザーが複数のアカウントで同じパスワードを使用しているため、「認証情報が漏洩した際に、リスクが連鎖的に広がる」ことにつながっています。
[関連記事：パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう] (新しいタブで開きます)
分析範囲
Cloudflareは、9月から2024年11月にかけて、Cloudflareで保護されているウェブサイトからのログイントラフィックを分析しました。
Cloudflareで保護されているサイトでは、入力されたパスワードはハッシュ化され、既知の漏洩・流出した認証情報のデータベースと照合されます。 Cloudflareが「漏洩した認証情報」と言う場合、それは「既知のデータ侵害や認証情報のダンプで公開されたユーザー名とパスワード」を指します。
ログインの41％が危険にさらされています
Cloudflareが最初に直面した課題は、正当なログインと悪意のある攻撃者によるログインを区別することでした。
そのためには、ログインに成功したケースに焦点を当て、人間の行動を理解する必要がありました。 このデータから、認証に成功した人間の試みのうち、およそ 41％が流出した認証情報を使用していたことが判明しました。 その後、Cloudflareは分析対象を人間およびボットによるトラフィックにまで拡大し、漏洩したパスワードが含まれる割合を 41％から 52％に引き上げました。
流出したパスワードの利用
Cloudflareの調査によると、漏洩したパスワードを用いたクレデンシャルスタッフィング攻撃におけるログイン試行の 95％が、ボットによるものであることが判明しました。
ボットは、特に盗まれた認証情報を悪用し、大規模にサイトを標的にすることがあります。 多くの場合、ボットは1つのアカウントへの侵入に成功すると、その認証情報を他の複数のサービスに対しても悪用します。これは、パスワードの流用がもたらすリスクを改めて浮き彫りにしています。
[関連記事：ログインにおける生体認証の新たなジレンマ：それは私たちの安全を守るのか、それとも後悔を招くのか？] (新しいタブで開きます)
WordPressに対するブルートフォース攻撃
Cloudflareは、こうした攻撃の標的となることが多いWordPressサイトを標的としたブルートフォース攻撃について、特に調査を行いました。 WordPressサイトにおいて、流出したパスワードを使用したログイン試行の 76％が成功したことが判明しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Cloudflareの分析は、同社のサービスを利用しているサイト（全サイトの約 20％）に限定されていますが、これらの結果は、インターネット全体における傾向を反映していると考えられます。
これは、ある重要な事実を示しています。すなわち、認証情報の漏洩リスクは極めて高く、パスワードの流用はこのリスクをさらに高めてしまうということです。 特に情報漏洩が発生した後は、パスワードを頻繁に変更することが有効ですが、Cloudflareが推奨するように、 多要素認証（MFA） （新しいタブで開きます） および認証情報の漏洩検知は、リアルタイムの監視を強化するために不可欠です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。 （新しいタブで開きます）。
