AhnLab SEcurity intelligence Center (ASEC) は最近、違法な HTS (Home Trading System) を通じてランサムウェアが拡散された事例を確認した。ランサムウェアの拡散に使用された HTS プログラムは 「UBP エセット」 という名称で、以前からオンライン投資詐欺に悪用されてきた。2025年9月に公開された韓国国内の法律事務所のブログ記事でも同一の HTS の画像が確認されていることから、投資詐欺組織が最近になって被害者を対象にランサムウェアを拡散したものとみられる。

1. 違法な HTS (Home Trading System)

HTS とは、投資家が株式を売買するために証券会社の店舗に出向いたり電話をかけたりする代わりに、自宅やオフィスに設置した PC から取引できるシステムを指す [1]。以前とは異なり、現在では一般的に、個人が株式やファンド、先物などの金融商品を取引する際、スマートフォンや PC に HTS をインストールしてオンラインで取引している。

多くの場合、ユーザーは取引を行う正規の金融会社が提供する HTS をインストールし、その金融会社を通じて金融取引を行う。しかし最近では、違法な金融投資業者が合法的な金融会社を装って自社で制作した HTS をインストールするよう誘導し、その後、投資金をだまし取る事件が多数発生している。

多くの無認可金融投資業者は、インターネット広告や SMS 広告などを通じてユーザーをだました後、KakaoTalk などの SNS のグループチャットへの参加を誘導する。一般的に、少額の証拠金だけで海外先物取引が可能であることや、手数料無料、融資などをうたった広告を利用するとされている。グループチャットの運営者は、このように集めたユーザーに違法な  HTS をインストールさせ、投資金を入金するよう誘導する。

違法な HTS を利用する詐欺グループは、さまざまな方法でユーザーの投資金をだまし取る。例えば、利益が発生しているように見せかけ、投資家が出金を要求すると姿を消すケースがある。また、投資家に預託金を入金させた後、預託金の全額を取引手数料名目でだまし取るケースも存在する。このような詐欺行為に使用される HTS は、ユーザーに正常な取引が行われていると認識させるため、証券会社が提供する HTS と見分けがつかないほど類似したデザインで制作されていることが特徴である。

2. 過去の類似攻撃事例

違法な HTS プログラムを通じてマルウェアを拡散する事例は以前から存在している。ASEC は2023年と2024年に 「HPlus」 という名称の HTS を介して Quasar RAT が拡散された事例を公開した [2] [3]。検索結果や利用規約から業者の名称が確認できないことから、被害者は正規の金融会社が提供する HTS ではなく、無認可または偽装された金融投資業者を通じて HPlus HTS をインストールしたものと推定される。

[図1] マルウェアとともにインストールされた違法な HTS

この事例では、アップデートサーバーのアドレスを設定する 「config.ini」 ファイルに、マルウェアがアップロードされた FTP アドレスが記載されており、これを通じて Quasar RAT がインストールされた。Quasar RAT はオープンソースの RAT マルウェアで、基本的な遠隔操作機能に加えてキーロギングやアカウント情報の収集機能を備えている。そのため、ユーザー環境の情報を窃取できるほか、リモートデスクトップを利用して感染システムをリアルタイムで操作することも可能である。このため、HPlus HTS をインストールしたユーザーは、攻撃者によってアカウント情報を含むさまざまな個人情報をいつでも窃取される可能性があった。

3. 最新の攻撃事例

3.1. UBP エセット – 詐欺組織

2025年9月、韓国国内のある法律事務所のブログに 「UBP エセット詐欺サイトub900[.]org の偽装サイトによる被害に注意」 というタイトルの記事が掲載された。この記事によると、この詐欺組織は、実在するスイスの金融機関 「Union Bancaire Privee (UBP)」 の名称とロゴを無断で使用していた。また、多くの場合、Telegram の投資情報グループや BAND のグループへの参加を誘導されたという。被害者は実際の投資だと思って資金を入金するが、追加送金の要求を拒否するとサイトへのアクセスを遮断するという手口で詐欺を行っていた。

3.2. UBP エセット HTS

今回、ランサムウェアの拡散に使用された HTS プログラムは、上述した UBP エセット HTS と同一の UI を備えている。また、バージョン情報にも UBP に関連する文字列が存在することから、上記の詐欺事例で使用された HTS とみられる。

[図2] UBP エセット HTS のログイン画面

UBP エセット HTS は、基本的にドライブのルートパスにある 「UBP-Asset」 というフォルダーにインストールされる。デスクトップに作成されたショートカットファイルを実行すると 「UBPUpdater.exe」 が実行され、これが 「UBPPatch.psh」 ファイルを実行する。「UBPPatch.psh」 ファイルは、拡張子とは異なり実行ファイルとして動作し、HTS のアップデートサーバーに接続してアップデート対象が記載された設定ファイル 「Update.lst」 をダウンロードする。その後、「Update.lst」 ファイルを参照してアップデートを実行する。ただし、現在は HTS のアップデートサーバーに接続できないため、設定ファイルの内容を確認することはできない。

[図3] UBP エセット HTS のインストールフォルダー

しかし、ASD ログを確認すると、「UBPPatch.psh」 は HTS サーバーからランサムウェアのダウンロード設定が含まれた 「Update.lst」 をダウンロードした後、ランサムウェア 「HTSPnew.exe」 をインストールしたものとみられる。

[図4] ASD ログで確認されるランサムウェアのインストール動作

なお、「UBP.exe」 は 「UBP.dll」 をロードして Main() 関数を実行する動作のみを行い、HTS の実質的なメイン機能は 「UBP.dll」 に含まれている。
今回の攻撃事例で使用された 「UBP.dll」 には、過去のバージョンとは異なる点が存在する。それは、同一パスに存在する 「HTSPnew.exe」、すなわちランサムウェアを実行するコマンドが追加されている点である。
つまり、攻撃者は HTS サーバーにランサムウェアをアップロードして設定ファイルを変更したほか、「UBP.dll」 にもランサムウェアを実行する機能を追加したものとみられる。

[図5] 最新の UBP.dll ファイルに追加されたルーチン

3.3. KRSID ランサムウェア

攻撃に使用されたファイル 「HTSPnew.exe」 はランサムウェアであり、Rust 言語で作成されている。また、ランサムノートの内容から、AI を活用して作成されたものと推定される。ここでは分類上、ランサムウェアの拡張子を基に 「KRSIDランサムウェア」 という名称を使用する。

項目	内容
拡張子	.krsid
ランサムノート	README_KRSID.txt
暗号化アルゴリズム	AES-256 / RSA-2048
暗号化除外フォルダー	windows, program files, program files (x86), programdata, $recycle.bin, system volume information, $winreagent, winre, boot, efi, recovery, windowsapps, accountpictures, node_modules, target, .git, .cargo, .rustup, appdata
暗号化対象拡張子	下記項目に記載
攻撃者情報	Telegram を使用

[表1] KRSID ランサムウェア

KRSID ランサムウェアは、引数なしで実行された場合、すべてのドライブを対象として暗号化を実行する。暗号化除外フォルダーおよびランサムノートのファイル名 「README_KRSID.txt」 を除き、指定された拡張子のファイルを暗号化する。
また、引数によって特定のパスにあるファイルのみを暗号化したり、暗号化する代わりに対象ファイルの一覧をログに出力したりすることもできる。
このほか、他のランサムウェアとは異なり、ボリュームシャドウコピーを削除する機能を備えていない点も特徴である。

引数	機能
–path	暗号化するディレクトリを指定
–batch	1バッチで処理する最大ファイル数
–pause	バッチ間の待機時間
–dry-run	暗号化せず、暗号化対象ファイルをログに記録
-h, –help	ヘルプをログファイルに出力

[表2] サポートされる引数

ログファイルは、同一パスに生成される 「ransomware-silent.log」 に保存され、ファイルが暗号化された対象フォルダーにはランサムノートが生成される。
ランサムノートには以下のように韓国語が使用されており、Telegram を通じて連絡するよう説明されている。

[図6] ランサムノート

• ランサムウェアの対象拡張子 : txt, md, log, json, xml, yml, yaml, toml, ini, cfg, conf, csv, html, htm, css, js, py, rs, go, c, cpp, h, java, sh, bat, ps1, sql, env, properties, config, rst, markdown, doc, docx, xls, xlsx, ppt, pptx, rtf, odt, ods, odp, epub, mobi, pdf, zip, rar, 7z, png, jpg, jpeg, gif, bmp, tif, tiff, webp, svg, heic, ico, mp3, mp4, wav, flac, aac, ogg, m4a, mkv, avi, mov, wmv, webm, db, mdb, accdb, sqlite, sqlite3, dbf, frm, myd, myi, pem, key, crt, cer, bak, backup, old, orig, cs, ts, tsx, jsx, vue, kt, swift, dart, csproj, sln, scss, less, dockerfile, makefile, php, aspx, jsp, asp, cshtml, vb, vbs, rb, pl, lua, r, m, scala, hs, ml, ex, erl, clj, groovy, gradle, coffee, mjs, cjs, pug, twig, ejs, hbs, psd1, psm1, eml, msg, psd, ai, dwg, dxf

4. 結論

攻撃者は以前、被害者から投資金をだまし取る手段として違法な HTS を利用していたが、最近では被害者の PC にマルウェアをインストールする目的でも利用している。
これにより、被害者は以前であれば単に投資金を取り戻せないだけで済んでいたものが、現在ではランサムウェアによってシステム内のファイルを暗号化され、復旧のために金銭を要求されることになる。
今回の攻撃者が HTS を利用して行っていた詐欺行為を考慮すると、仮に身代金を支払ったとしても、実際にファイルを復旧できるかどうかは分からない。

金融監督院によると、「正規の金融会社であれば、メッセンジャーなどを通じて HTS を配布することはない」という。
ユーザーは、正規の金融会社が提供する HTS を公式ホームページからインストールする必要がある。
また、インストールされているソフトウェアを常に最新バージョンにアップデートして脆弱性攻撃を事前に防止するとともに、V3 も最新バージョンにアップデートし、マルウェアへの感染を未然に防げるよう注意する必要がある。

MD5

6d2cd65dbd0df30404b08ff007359e54

a9cce44c4d42b07f114dd2b340f0046a

f86b2ece324cfd36e832a3b48cc3719b

 

URL

https[:]//phf-ubp[.]com/UBPA/_hts_tv/user

 

FQDN

phf-ubp[.]com