変形した CryptBot 情報窃取型マルウェアが拡散中

CryptBot マルウェアは主に crack やツールの共有に偽装して配布される情報窃取型のマルウェアである。配布ページは Google 等の検索エンジンにおいて検索結果の上位に表示され、感染の危険度が高く、関連する検知の件数も多い方である。そのため、ASEC 分析チームでは過去にも複数の記事を通じて関連する脅威について注意を呼びかけてきた。

• 変形を続けて拡散している情報奪取 型マルウェアの CryptBot
• 異なるアウトラインで拡散している情報奪取 型マルウェアの CryptBot

CryptBot マルウェアは変形が非常に活発なマルウェアの一つであり、配布ページは常に新しいものが作成され続け、最近は変形バージョンの CryptBot マルウェアが拡散しているため、関連内容を紹介する。

攻撃者が作成したツールの紹介および共有に偽装したスレッドでダウンロードボタンを押すと、複数のリダイレクトを経て最終的に配布ページが表示されるが、新しいタイプが発生し続けている。以下は、比較的最近に作成された配布ページの様子である。

配布ページの変形だけでなく、CryptBot マルウェア自体の変形も活発な方であり、最近では大規模な変形が発生したバージョンが出回っている。このバージョンを過去と比較すると、いくつかの付加機能が削除されて簡素化され、最新ブラウザの環境に合わせて情報窃取コードを変更した様子を確認することができる。

まず、従来の CryptBot マルウェアに含まれていた特徴的な機能のうち一部が削除された。感染対象の CPU 名を確認して「Xeon」環境の場合、不正な振る舞いを行わずに終了するアンチサンドボックスルーティンが削除された。CPU コアの個数とメモリ容量をチェックするアンチ VM ルーティンは以前と同じく残されている。

窃取情報を2つのフォルダーに同じように保存した後、それぞれ異なる C2 に転送する振る舞いも削除された。したがって、これまでは情報窃取用 C2 が二つ、追加のマルウェアダウンロード用 C2 が一つずつ存在していたが、現在出回っている情報窃取用 C2 は一つに減った。

コードを調べてみると、ファイル転送時に転送されたファイルデータをヘッダーに直接追加する方法から、単純に API を使用する方式に変更され、転送時の User-Agent 値も変更された。過去バージョンの場合は当該関数を2回呼び出してそれぞれの C2 に転送していたが、変形バージョンでは一つの C2 アドレスが関数にハードコーディングされている。

また、窃取する情報の中でもデスクトップ画面に存在する TXT ファイルと画面のスクリーンショット収集機能が削除された。アンチ VM ルーティンに検知された場合、またはすべての不正な振る舞いを終えて終了する場合に実行していた自己削除も削除された。

機能の削除だけでなく、機能の改善パッチも存在する。過去バージョンの CryptBot の場合 Chrome ブラウザ情報の窃取時に旧バージョンの Chrome のパス名を使用するため、v96(2021年 11月リリース)以降のバージョンの Chrome ブラウザの情報窃取は不可能であった。最近の変形サンプルの場合、最新の Chrome のパス名をすべて含んでいる。

過去バージョンの CryptBot のコードでは、複数の窃取対象データリストのうち一つでも存在しない場合、当該ブラウザの情報窃取行為自体が失敗する構造であった。したがって、感染対象のシステムが Chrome ブラウザ v81～v95 バージョンを使用している場合にのみ情報窃取が可能であった。今回のコード改善により、バージョンに関係なく対象データが存在する場合は窃取が可能である。

このように、製作者は不正な振る舞いの機能改善パッチを適用すると同時に、不要な機能を複数取り除いている。CryptBot マルウェアはパック方式、内部コード、C2 等の変形が非常に活発で、配布ページがユーザーのもとに露出しやすいという特徴があるため、ユーザーの注意が必要である。

以下は、最近約1週間で拡散した CryptBot マルウェアの IOC 情報である。

[IOC 情報]

• MD5

• 転送 C2

• ダウンロード C2

関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム「AhnLab TIP」サブスクリプションサービスを通して確認できる。