新型クリプトクリッパー、Windows Script HostとActiveXObjectを利用してリモートコード実行を実現

2026年2月から活動が確認されている新種のWindowsベースの暗号資産クリッパーが発見されました。このマルウェアは、Windows Script Host（WScript）とActiveXObjectの呼び出しを活用し、リモートコード実行と持続的かつ高頻度のデータ窃取を実現しています。

このキャンペーンの特徴は、従来のインストーラーやIPアドレスベースのコマンド＆コントロール（C2）インフラを使用せず、代わりにポータブルなTorクライアントを同梱している点にあります。

すべてのC2通信はlocalhost:9050のローカルSOCKS5プロキシを経由し、JScriptベースのロジックを用いてクリップボードの内容を窃取するとともに、隠しサービスC2からランタイムコマンドを受け取る仕組みになっています。

確認された感染事例では、悪意のある.lnkショートカットファイルが初期アクセスに使用されており、USBリムーバブルメディアを介して広く拡散されています。

ユーザーがショートカットを開くと、段階的なワームコンポーネントが実行されます。このワームは正規のドキュメントに見せかけた追加の.lnkファイルを作成し、元のファイルを隠した上で、C:\Users\Public\Documents配下の5文字のフォルダに難読化されたJavaScriptペイロードを2つ投下することで感染を拡大させます。

ワームはスケジュールタスクを作成して持続性を確保します。1つは新たに接続されたUSBデバイスへの感染拡大用、もう1つは定期的にスティーラーコンポーネントを起動するためのものです。さらに、投下したペイロードの検出を回避するためにDefenderの除外設定を悪用します。

クリッパーの実行処理の大部分はスクリプト駆動で行われます。JavaScriptペイロードはWScriptとActiveXObjectを使用して環境を調査し（タスクマネージャーが実行中であれば終了するという簡易なアンチ解析チェックを含む）、隠しプロセスを起動し、名前を変更したTorバイナリ（ugate.exe）を実行します。

Microsoftの脅威インテリジェンスチームとMicrosoft Defender Expertsは、ユーザーに被害をもたらしているWindowsベースの暗号資産クリッパーを特定しました。

Torのブートストラップ完了まで約60秒待機した後、マルウェアは被害者のGUIDを生成して.onion C2に登録し、タイトなループ処理に入ります。具体的には、/route.phpへのコマンドのポーリング、約500ミリ秒間隔でのBIP39シードフレーズや秘密鍵パターンの検出、コピーされたウォレットアドレスを攻撃者管理のアドレスへの置き換え、そして/recvf.phpへのスクリーンショットの非同期アップロードを繰り返します。

Windows Scriptを悪用するクリプトクリッパー

C2がEVALコマンドを返した場合、クリッパーはランタイムに攻撃者が提供したJScriptコードを評価・実行します。これにより、金銭目的のスティーラーが実質的に軽量なバックドアへと変化します。

.lnkペイロードはUSBデバイス上の一般的なドキュメントファイル（.doc、.xlsx、.pdfなど）をスキャンし、元のファイルを隠した上で、同じファイル名の.lnkショートカットファイルを追加で作成します。

このアーキテクチャは、従来のネットワークベースの検出や無効化の取り組みを困難にします。同梱されたTorクライアント内で.onionアドレスを解決し、通信をlocalhost:9050のみに向けることで、攻撃者はDNSとIPのテレメトリの可視性を低下させています。

マルウェアは、ビーコン通信、シードや秘密鍵の窃取、ファイルアップロードのすべてに、（SOCKS5プロキシ経由のcurlを使用した）HTTP over Tor POSTリクエストを利用しています。

「3」で始まり32〜36文字の長さを持つBitcoin P2SHアドレスが検出された場合、スティーラーはそのアドレスを、元のアドレスの先頭2文字と一致する攻撃者のアドレスに置き換えます。

C2プロトコルには、ハートビート用GUID、SEED/PKEYの窃取アクション、アドレス置き換えのREPL通知、リモートコード実行用のEVALコマンドが含まれています。

防御側は行動ベースの検出を優先させる必要があります。具体的には、スクリプトインタープリター（wscript.exe、cscript.exe、wsmprovhost）が予期しない子プロセスを起動したり名前を変更したバイナリを実行する動作、localhost:9050への接続またはローカルSOCKSプロキシの作成、PowerShellやスクリプトベースの画面キャプチャコマンド、クリップボードの読み取りやアドレス置換の兆候などを監視してください。

Microsoft Defender for Endpointはこのキャンペーンの複数のコンポーネントを検出します（例：「Suspicious JavaScript process」や「Possible data exfiltration using Curl」など）。また、Microsoft Defender ウイルス対策は本ファミリーをTrojan:Win32/CryptoBandits.Aとして検出します。

推奨される緩和策としては、リムーバブルメディアのAutoRun/AutoPlayの無効化、GPOによるリムーバブルドライブからの.lnk実行のブロック、wscript.exeおよびcscript.exeの使用制限または監視、難読化スクリプトや不審な子プロセスチェーンをブロックするAttack Surface Reduction（ASR）ルールの有効化などが挙げられます。

localhost:9050上のローカルSOCKS5アクティビティを監視し、スクリプティングの動作とネットワーク、クリップボード、プロセスのテレメトリを相関させることで、資金が盗まれる前に感染を早期発見できます。

侵害の痕跡（IoC）

注意： IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にデファング処理（例：[.]）されています。MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内でのみ、元の形式に戻してご使用ください。