監視されると動作を停止する? 新種インフォスティーラーの不審な挙動

違法ソフトウェアやクラックプログラムがマルウェアの拡散に悪用される可能性があることはすでによく知られている。最近、アンラボは違法プログラムを装った新たな情報窃取型マルウェア (インフォスティーラー) を確認した。このマルウェアは8月中旬に初めて発見され、その後、実行方式を変更しながら9月から大規模な拡散が始まった。特に、ブラウザや業務用プログラムに保存された情報を収集するだけでなく、追加のマルウェアまでインストールできるため、情報窃取にとどまらず二次被害につながる可能性もある。新種インフォスティーラーの拡散方法、主な動作、対策について見ていこう。

実行方式の変更による拡散の拡大

今回確認された新種インフォスティーラーは、違法プログラムを装って拡散されており、一部は別のダウンローダーを介して実行されることが判明した。

実行方式も拡散時期によって変化している。初期段階では、テスト目的と推定される小規模な配布が行われており、その際には Windows の自動化スクリプトツールである AutoIt が使用されていた。その後、Windows エクスプローラーのプロセスにマルウェアを注入して動作させるプロセスインジェクション (Process Injection) 方式や、独立して実行する方式へと変更された。こうした変化を経て、9月初旬から大規模な拡散が本格化した。

このように、今回のインフォスティーラーは拡散時期やサンプルによって実行方式が異なるため、特定の実行ファイルを検知するだけでなく、正規のプロセスで発生する不審なコード注入行為にも注意を払う必要がある。

[図1] 拡散ページの例

悪意のある動作を隠すさまざまな回避手法

今回のインフォスティーラーは Rust プログラミング言語をベースに開発されており、マルウェアの内部構造や実行プロセスを容易に把握できないよう複数の手法を使用している。代表的なものとして、動的 JMP を利用したアンチディスアセンブル (Anti-Disassembly)、CPU メモリキャッシュの参照を利用したアンチサンドボックス (Anti-Sandbox)、DLL インジェクションなどが挙げられる。これらは、従来のインフォスティーラーではあまり使用されていなかった手法である。

• アンチディスアセンブル：マルウェアの機械語を解析可能なコードに変換する処理を妨害する手法。
• アンチサンドボックス：マルウェアが隔離された解析環境で実行されているかどうかを検知し、解析環境であると判断した場合に悪意のある動作を隠す手法。

実際に、このインフォスティーラーは実行環境がサンドボックスや仮想環境であると判断すると、情報窃取を行わずに終了する。この際、”I love stealing cookies, but not on this machine. Sorry!” というメッセージを表示した。
最近拡散された一部のサンプルでは、内部に暗号化された状態で保存されている DLL ファイルを復号した後、Explorer プロセスに注入する手法が使用された。

[図2] 仮想マシン (VM) 環境の検知時に表示されるメッセージボックス

文字列を隠す方法にも特徴がある。内部で参照する文字列をすべて暗号化した状態で保存し、使用する直前にのみ復号する。復号処理では、変形されたインデックステーブルを使用しており、テーブルの構成は拡散されたサンプルごとに異なる。

また、復号関数の呼び出し時に渡される整数値をキーとして使用し、インデックステーブルを回転させることで、テーブルをさらに変形させる。このため、同じ平文文字列であっても使用するキーの値によって異なる形式で暗号化される可能性がある。さらに、暗号化された文字列の末尾に任意の文字列を付加し、元の文字列の長さを容易に推測できないようにしている。

[図3] 変形された Base64 インデックステーブル

[図4] 文字列の復号コードの例

このように、今回のインフォスティーラーはさまざまな解析妨害手法を使用しているうえ、拡散時期やサンプルによって適用する手法も継続的に変化しているため、実際の動作を把握することが一層困難になっている。

PC 情報の収集後、C&C の指示に従って情報を窃取

インフォスティーラーが実行されると、まず感染対象の PC に関する基本情報を収集し、攻撃者が制御する C&C サーバーに送信する。収集対象には、インストール済みプログラムの一覧、CPU 名、グラフィックスドライバー情報、CPUID 命令の実行データ、Windows OS のバージョンなどが含まれる。

その後、C&C サーバーから設定データを受信し、その設定に従って後続の悪意のある動作を実行する。つまり、攻撃者から送信された設定に基づいて情報収集の対象や追加の実行処理などが決定される仕組みである。

[図5] 設定データの例

C&C との通信では、XOR 暗号化と Windows 環境で使用される LZNT1 圧縮アルゴリズムを組み合わせている。C&C サーバーに送信するデータは XOR 方式で暗号化した後、LZNT1 アルゴリズムで圧縮する。一方、サーバーから受信したデータは XOR 方式で復号して使用する。また、XOR 暗号化に使用するキーの値はサンプルごとに異なるよう設定されており、これはネットワーク通信の内容に基づく検知を回避する意図があるものと推定される。

今回のインフォスティーラーで注目すべき点は、情報収集の対象が非常に広範囲に及ぶことである。確認された C&C 設定データでは、以下のようなプログラムやファイルが情報窃取の対象として指定されている。

• Web サービスおよび個人情報：Web ブラウザ、メッセンジャー、メールクライアント、パスワード管理ツール、メモアプリケーション
• 業務およびリモートアクセス環境：VPN、リモートアクセスプログラム、データベース管理ツール、FTP・SSH ツール
• 開発およびクラウド環境：クラウドストレージ、AI および開発ツール
• その他のサービス：暗号資産ウォレット、ゲームプラットフォーム
• 主なファイル：証明書、SSH キー、暗号資産ウォレットファイル、各種設定ファイルおよび文書ファイル

このように、プログラムに保存されたアカウント情報だけでなく、証明書やSSH キー、文書ファイルそのものも収集対象となっている点に注意が必要である。特に、VPN やリモートアクセスプログラムの認証情報が漏えいした場合、攻撃者がそれらを悪用して企業内部のシステムに不正アクセスしたり、追加の攻撃を試みたりする可能性がある。ただし、実際の情報収集範囲は、C&C サーバーから送信される設定によって異なる場合がある。

情報窃取にとどまらず、追加のマルウェアもインストール

今回のインフォスティーラーには、情報窃取機能に加えて、追加のマルウェアをダウンロードして実行する機能も搭載されている。C&C サーバーから受信した設定で指定された外部 URL にアクセスし、追加のペイロード (Payload) をダウンロードして実行する仕組みである。

このように、ほかのマルウェアをインストールする悪意のあるプログラムはドロッパー (Dropper) と呼ばれる。今回のインフォスティーラーも感染対象のシステムに別のマルウェアを配布するドロッパーとして利用される可能性がある。実際に、分析された設定データでも、追加のマルウェアをダウンロードする機能が有効になっていることが確認された。

したがって、今回の脅威は個人情報の漏えいにとどまらず、追加のマルウェア感染へと被害が拡大する可能性がある。窃取された認証情報が後続の攻撃に悪用されれば、個人だけでなく、企業内部のシステムにまで影響が及ぶおそれがある。

感染予防と侵害の痕跡の確認

今回の事例は、違法ソフトウェアやクラックプログラムを通じたマルウェア感染が広範囲にわたる情報窃取や追加のマルウェアのインストールにつながる可能性があることを示している。特に、拡散規模が拡大し、解析回避手法も継続的に変化していることから、感染予防と不審な挙動の点検を並行して実施する必要がある。

ユーザーは、公式サイトなどの信頼できる経路から正規のソフトウェアをダウンロードする必要がある。出所が不明な圧縮ファイルや実行ファイルを安易に開かないことも重要である。

企業や組織では、信頼できない配布元から大容量の ZIP 圧縮ファイルをダウンロードしたり、解凍後に内部の実行ファイルを実行したりした履歴がないか確認する必要がある。特に、autoit.exeやexplorer.exe に関連する不審なコード注入行為、疑わしい C&C サーバーとの通信、情報窃取や追加のマルウェアのインストールの痕跡を併せて確認する必要がある。

さらに、エンドポイントセキュリティソリューションを活用して不審なプロセスの実行や外部との通信を監視するとともに、確認された侵害指標 (IOC) に基づいて関連する脅威の検知・対応体制を強化する必要がある。