TELEPUZウェブインジェクター「TELEPUZ」、Cookie窃取・JavaScript実行・IBAN情報改ざんが可能に

「TELEPUZ」と名付けられた急速に進化するマルウェアファミリーが確認されています。これはモジュール構造を持つ軽量な脅威で、ClickFix-VIDAR感染チェーンを通じて勢いを増しています。

コマンド&コントロール(C2)基盤の規模は比較的小さいものの、開発と拡散のペースからは、大規模な運用へと発展しつつある兆候がうかがえます。

感染はClickFixのソーシャルエンジニアリングから始まります。被害者はウェブコンテンツにアクセスするためと偽られ、悪意あるPowerShellコマンドを実行するよう仕向けられます。

この初期段階でhxxps://memshowblob[.]forum/api/index.php?a=grabから第2段階のペイロードが取得され、VIDARの亜種が展開されます。

続いてVIDARがTELEPUZの各コンポーネント、すなわちステージャー(install.exe)とメインペイロード(telepuz.dll)をダウンロードします。これらは通常、hurgadatour[.]shopのようなドメインでホストされています。

TELEPUZのペイロードはC言語で書かれた64ビットDLLで、隠密性・モジュール性・効率性を重視して設計されています。ガベージ命令、独自のRC4ベース文字列暗号化、インポートハッシングなど、複数の難読化技術を採用しています。

さらに、クリーンなntdll.dllのコピーをマッピングしシステムコールトランポリンを構築することで間接システムコールを利用し、APIフックやエンドポイント検知の仕組みを効果的に回避しています。

永続化は「CipherAllocator」という名前のサービスとしてマルウェアをインストールすることで実現され、多くの場合svchost.exeのコンテキスト内でrundll32.exe経由で実行されます。

TELEPUZは、仮想マシン検知、NtQueryInformationProcessやThreadHideFromDebuggerを用いたデバッガ回避、CIS諸国での実行を避けるジオフェンシングなど、広範なアンチ解析チェックも実施します。

さらに、AmsiScanBufferやEtwEventWriteといった主要な関数にパッチを当てることで、AMSIとETWを無効化します。

Elastic Security Labsの研究者らによると、TELEPUZはすでにMalware-as-a-Service(MaaS)として提供される可能性を示す特徴を見せており、更新が頻繁に行われ、VirusTotalに提出されるサンプル数も増加しているとのことです。

Securityconsulting services

TELEPUZの注目すべき特徴の一つは、その堅牢なC2通信アーキテクチャです。HTTPまたはTLS経由のWebSocketsを使用し、ビーコニングには/cdn/health?sid=のようなエンドポイントを利用します。

主要なC2が機能しなくなった場合、マルウェアはTelegramプロフィール(hxxps://t[.]me/chanadarkpart)やSteamプロフィール(https://steamcommunity.com/profiles/76561199705801219)など、通常とは異なる経路を通じてフォールバック用インフラを取得します。

TELEPUZウェブインジェクター

codebasecode[.]comへのDNSクエリ、さらにはスマートコントラクト0xf55Bea1FdCf1c3ABb39ab92567C09aC1BFf6753Eを対象としたJSON-RPC呼び出しによるPolygonブロックチェーンの利用も確認されています。

これらのフォールバック手法は、cal.snehamumbai[.]orgのような更新済みC2ドメインを隠すために、XORまたはAES-256-CBC暗号化を使用しています。

AppInfo ALPCとDebugObjectsを利用した別系統のUACバイパス手法も確認されています。マルウェアはまず、非昇格状態のwinver.exeをRAicLaunchAdminProcess経由でデバッグモードで起動し、そのデバッグオブジェクトハンドルを取得します。

機能面では、TELEPUZは30種類以上のコマンドに対応しており、ファイル操作、プロセスインジェクション、権限昇格、モジュール実行などが可能です。モジュール構造により、オペレーターはキーロギングや認証情報窃取、ブラウザデータ抽出といった機能を動的にロードできます。

特に懸念されるコンポーネントの一つが、WebInjectorモジュールです。これはChrome DevTools Protocol(https://chromedevtools.github.io/devtools-protocol/)とWebDriver BiDiを利用して、Chromiumベースのブラウザおよびキonoxを標的にします。

従来型のブラウザインジェクションとは異なり、TELEPUZはブラウザのデバッグインターフェースと直接やり取りすることで、通信を傍受しウェブセッションを操作します。

これにより攻撃者は、Cookieを窃取し、任意のJavaScriptを実行し、機密性の高い取引データをリアルタイムで改ざんすることが可能になります。

Dictionaries& Encyclopedias

例えば、オンラインバンキングのセッション中にIBANのフィールドを差し替えることができ、ユーザーが気づかないうちに資金を事実上リダイレクトできてしまいます。

このモジュールはルールベースの動作にも対応しており、URLマッチング、フィールドの入れ替え、レスポンスのフィルタリングなどが可能で、金融詐欺への高い適応力を備えています。

インフラの分析からは、限定的ながらも戦略的なC2の利用実態が明らかになっています。主にcal.joycedoula[.]com[.]brやcal.snehamumbai[.]orgといった侵害された正規ドメインが使用されています。

一方、ステージング用インフラの多くはCloudflareによって保護されており、バックエンドのホスティング元は隠されています。

VirusTotalのテレメトリ(例:https://www.virustotal.com/gui/file/58aec6e3835aaf20f7b4a7e308b36a19e7454673a6f71783871e9bcf6cae8eed)によると、2026年6月上旬以降、TELEPUZのサンプル提出件数が急増しています。

総じてTELEPUZは、最新の回避技術、モジュール式のペイロード配信、高度なブラウザ操作機能を組み合わせた、洗練された柔軟性の高い脅威プラットフォームだといえます。

正規のプロトロや公開インフラをC2の耐性確保のために利用できる能力と、金融データの傍受機能を兼ね備えていることから、サイバー犯罪エコシステムにおける重大な新興リスクとして位置づけられます。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的にディファング処理(例: [.])されています。MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ再ファング処理を行ってください。

𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 2026年に最適なのはどれか?コスト、自動化、対応力を比較: 無料ガイドをダウンロード