Ghidra・dnSpy・SpiderFootを装った偽サイトでマルウェアを配布

攻撃者が検索結果を悪用し、Ghidra、dnSpy、SpiderFootといった人気のセキュリティツールを装ったプロフェッショナルな見た目の偽ダウンロードサイトを通じてマルウェアを配布しています。

これらのサイトでは、ユーザーが「ダウンロード」ボタンを最初にクリックした瞬間を捕捉し、トラフィック配布システム（TDS）に密かに誘導します。このTDSは、情報窃取マルウェア（インフォスティーラー）、クリッパー型マルウェア、そして「SessionGate」と名付けられた高度なローダーフレームワークへと被害者を振り分ける機能を持っています。

これらの偽サイトは精巧に作られており、GitHubなどの本物のリソースを参照している場合も多く、関連する検索クエリで驚くほど上位に表示されることもあります。

実際の感染ロジックは可視状態のHTMLには含まれておらず、ページに埋め込まれたCloudFront経由のJavaScriptステージングレイヤーに隠されています。

ユーザーが正規のダウンロードリンクに見えるものをクリックすると、このスクリプトがイベントをハイジャックし、ブラウザをTDSインフラへリダイレクトします。TDSはセッションごとに、正規のソフトウェア、迷惑プログラム（PUA）、または完全なマルウェアのいずれを提供するかを判断します。

偽サイトは元のダウンロードリンク（hrefの値）を保持しており、多くの場合は正規のプロジェクトの場所を指しているため、ステータスバーのプレビューや簡単な目視確認では正常に見えます。

同時に、注入されたCloudFrontスクリプトがブラウザ固有のハンドラ（Chromeではmousedown、Firefoxではclickなど）を通じて最初の有効なクリックを傍受し、キャッシュされたwindow.open、擬似クリック、一時的なブランクタブといった手法を用いてTDS管理下のURLへナビゲーションを差し替えます。

GBhackersと共有されたレポートでCheckpointが報告した内容によると、Ghidra、dnSpy、SpiderFootといったセキュリティ研究者が利用する高信頼性ツールを含む、オープンソースおよびフリーウェアプロジェクトのクローンサイトを中核とした大規模な攻撃基盤が発見されました。

ルーティングの判断はlocalStorageとアンチボットロジックによってステートフルに管理されており、最初のクリックのみが悪意ある挙動をし、繰り返しのアクセスでは表示上の正規リンクにフォールバックする仕組みになっています。これにより、分析者が再現しようとしても困難な状況が生まれています。

TDSはその後、複数のリダイレクターとコンテンツロッカーを経由して分岐し、正規ソフトウェアのアフィリエイトインストール、PUAバンドル、またはマルウェアペイロードへと振り分けられます。

確認されたエントリドメインには、同一のキャンペーンスクリプトを埋め込む100以上のアクティブなサイトの中に、ghidralite.comやdnspy.orgといった偽装ドメインが含まれています。

このTDSスタックの下流では、RemusStealer、AnimateClipper、そして新たに発見されたフレームワーク「SessionGate」を含む複数のマルウェアファミリーが研究者によって確認されています。

SessionGateは、Amazon S3バケットから被害者ごとに短命なURLで配信される多段階ローダーチェーンであり、Windowsの実行ファイルへのアクセスを許可する前に難読化されたJavaScriptで被害者を検証するという特徴を持っています。

SessionGateのローダーには7-ZipのSFXアーカイブが組み込まれており、ゲーティング条件を満たさない場合は無害なインストーラーUIへ切り替わる一方、高度に難読化されたコード、ジャンク命令、暗号化された文字列によって静的解析を困難にしています。

このローダーは広範な環境チェックおよびウイルス対策ソフトのチェックを実行し、署名付きリクエストで専用のC2インフラに接続します。また、最初のDLLが2つ目のコアペイロードモジュール用のワンタイム復号鍵を生成する「キーブローカー」として機能する、2DLLアーキテクチャを採用しています。

復号されたモジュールはサーバー主導のインストーラーフレームワークとして動作し、追加のソフトウェアを静かにダウンロード・実行する機能を持つため、将来的なマルウェアの柔軟な配信手段となっています。

別の経路では、TDSチェーンはパスワード保護されたアーカイブへと到達し、最終的にアンダーグラウンドフォーラムで宣伝されているMaaS（Malware-as-a-Service）型インフォスティーラーであるRemusStealerを起動します。

RemusStealerは暗号化されたタスキングプロトコルを使用し、ChromiumおよびFirefoxからCookie、パスワード、Vaultデータといったブラウザ情報を窃取します。また、数百種類のブラウザ拡張機能を標的としており、特に暗号資産ウォレット、パスワードマネージャー、2FAプラグインに重点を置いています。

3つ目の経路は、ClickFix型のフィッシングページへと誘導します。被害者を騙してmshtaベースの悪意あるダウンローダーチェーンを実行させ、最終的にAnimateClipperと呼ばれる暗号資産クリッパーへと到達します。

このクリッパーは、バンドルされたPython環境を通じてステージングされたシェルコードを使用し、BNBスマートチェーンのテストネット上のスマートコントラクトへのクエリによってC2を解決します。そしてクリップボード上のウォレットアドレスをハイジャックし、バイナリに埋め込まれた攻撃者制御のウォレットアドレスに差し替えます。

Ghidra、dnSpy、SpiderFootを装うことで、攻撃者はセキュリティ研究者、リバースエンジニア、技術に精通したユーザーという特に魅力的な被害者層にアクセスできます。これらのユーザーは多くの場合、高い権限を持ち、機密性の高い環境にアクセスできます。

関連サンプルに対するVirusTotalへの数千件の公開提出件数に反映されるこのキャンペーンの規模は、これが主にトラフィック獲得と収益化のパイプラインであり、そのフィードが選択的にマルウェア配布者に販売または転送されていることを示唆しています。

偽サイトは正規プロジェクトのブランドを忠実に模倣し、本物のリポジトリリンクを保持しているため、「Googleの上位検索結果かつ公式に見えるウェブサイト」はもはや安全の保証にはなりません。

防御側にとって、このキャンペーンはTDSベースのエコシステムがグレーな収益化活動と露骨なマルウェア配布の境界線をいかに曖昧にするかを示す事例であり、よく知られたセキュリティツールであっても、ダウンロード元の厳格な検証、DNSテレメトリー、スクリプトレベルの挙動監視が今や不可欠であることを示しています。

IOC（侵害の痕跡）

注意： IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にデファング処理（例：[.]）が施されています。MISP、VirusTotal、SIEMなどの管理されたスレットインテリジェンスプラットフォーム内でのみリファング（元の形式への復元）を行ってください。