新種の情報窃取マルウェア、クラックツールに偽装して拡散中

ASEC 分析チームは、ソフトウェアのクラックツールおよびインストーラーに偽装して拡散するマルウェアを多数紹介してきた。CryptBot、RedLine、Vidar マルウェアが代表的なものとしてあげられる。最近では単一マルウェアの形態をとる RedLine マルウェアが自身を隠して拡散している。(Dropper タイプとして拡散中)さらに新種の情報窃取マルウェアが活発に配布されている。5月20日ごろから本格的に配布され始め、韓国国外では当該マルウェアを「Recordbreaker Stealer」とカテゴライズしており、Raccoon Stealer の新たなバージョンであるとの解析結果もある。

検索エンジンで商用ソフトウェアのクラックツール、シリアル、インストーラーなどを検索して配布ページにアクセスし、圧縮ファイルをダウンロードおよび解凍するとマルウェアが生成される。

このマルウェアは主に大容量のパディング領域を追加して、異常にファイルサイズを大きくして配布される。構造を見ると、最後のセクションと証明書の領域の間に大容量のパディングが挿入されている。

そのため、配布元からダウンロードした圧縮ファイルのサイズは 3～7MB であるが、解凍時に生成されるマルウェアは 300～700MB まで増加する。マルウェアのアイコンは、主にインストーラーを連想させるものであり、有名なソフトウェアのアイコンを使用することもある。このような方法以外にも、典型的なパック形式として Dropper もしくはダウンローダーによって配布されるケースもある。

マルウェアを実行すると、C2 のコマンド(設定値)によって追加ライブラリをダウンロードし、ユーザー PC にある各機密情報を収集し、C2に転送する。この時、情報窃取の対象も C2 の設定によって決定され、追加のマルウェアをインストールする場合もある。全体的な実行フローに対するネットワークの振る舞いは以下の通りである。

初回 C2 接続時は、ユーザー名、MachineGUID 値、サンプル内のハードコーディングされたキー値を転送し、マルウェアの設定データを受信する。設定データは情報窃取対象リスト、情報収集に必要なライブラリのダウンロードアドレスが明示されている。

初期サンプルでは C2 用のドメインと、ライブラリダウンロード用のドメインがそれぞれ異なっていたが、最近配布されているサンプルでは同じアドレスを使用している。C2 の寿命は非常に短く、1日の間に2～3個の新たな C2 ドメインを持つサンプルが拡散している。C2 通信時、User-Agent 値として「record」の文字列を使用するのが特徴である。

設定データに存在する窃取対象は、Web ブラウザのウォレットプラグイン、オープンソースウォレットなど、仮想通貨関連の文字列が大半であり、Web ブラウザの Cookie、アカウントおよびパスワードなどの基本的な情報の窃取行為については、基本的にそれと関連するライブラリが存在する場合に行われるものと見られる。以下は解析対象のサンプルの設定データの例である。

このサンプルは、システムの基本情報およびインストールプログラムのリスト、スクリーンショット、Web ブラウザの保存データ、各暗号通貨ウォレット情報などを窃取する。窃取対象は C2 の返しに応じて異なることがあり、スクリーンショット窃取機能ではなく、デスクトップとマイ ドキュメントの下位に存在するすべての txt ファイルを窃取するコマンドを持つ C2 も確認されている。

また、6月17日からは、C2 では情報窃取に使われるライブラリ以外に、追加でマルウェアをダウンロードして実行する設定値を返している。現時点でインストールされるマルウェアは ClipBanker (74744fc068f935608dff34ecd0eb1f96)である。これは、タスクスケジューラーに登録することでシステムに常駐し、クリップボードの仮想通貨ウォレットアドレスの文字列を攻撃者のウォレットアドレスの文字列に変更する行為を行う。関連サンプルの発生履歴を見ると、拡散初期にもこのような追加マルウェアのインストールプロセスがあったことが把握できた。

情報窃取後、ClipBanker マルウェアをインストールする行為は、本記事で取り上げたマルウェアと同じ方式で配布される CryptBot マルウェアと類似している。現在、CryptBot マルウェアや本記事で取り上げたマルウェアは活発に配布されている。

• 変形を続けて拡散している情報奪取型マルウェアの CryptBot

攻撃者のウォレットアドレスの一部は以下の通りである。

Record Stealer コード内部の特徴としては、自身で使用する文字列を復号化する際に、意味のある文字列をキーとして使用することがあげられる。初期は「credit19」文字列をキーとして使用しており、5月28日以降に配布されているサンプルは「edinayarossiya」文字列を使用している。

また、サンプル内にはユーザーのシステムロケール(言語)がロシアであるかを確認するコードが存在するが、この結果によって振る舞いに差は起こらない。

本記事の場合と同じく、クラックツールに偽装して拡散するマルウェアは変形が活発に行われ、配布量も多いため、ユーザーは注意する必要がある。信頼できるページからダウンロードする必要があり、特に何度もリダイレクションしてダウンロードされる実行ファイルは、大半が不正なファイルである確率が高い。また、圧縮ファイル解凍時、容量が異常に大きい場合、本記事のマルウェア拡散のケースを疑わなければならない。

AhnLab 製品群では、本記事のマルウェアのタイプを以下のような検知名で検知している。

• Infostealer/Win.RecordStealer.R498039
• Infostealer/Win.RecordStealer.R500009
• Infostealer/Win.PassStealer.R496906
• Trojan/Win.ClipBanker.C5166957
  その他多数

配布されるサンプルの IOC 情報は以下の通りである。

[IOC 情報]

関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム「AhnLab TIP」サブスクリプションサービスを通して確認できる。