Cruciferraクリプター、プロセスゴースティングで検知を回避

複数の無関係なサイバー犯罪グループが利用しているクリプターサービスが、プロセスゴースティングやカーネルドライバの悪用、さらには90種類以上の組み合わせ可能な暗号化ルーチンを用いてコモディティマルウェアを隠蔽していることが明らかになりました。

Proofpointが7月20日に公開した新たな調査結果によると、Cruciferraという名称で販売されているこのクリプターは、2025年秋にExploitフォーラムで初めて売りに出され、現在ではAsyncRAT、Agent Tesla、Remcos、XWorm、ValleyRAT、Snake Keyloggerを配布する数十件のキャンペーンの基盤となっています。料金プランは月額450ドルから2,000ドルの階層制です。

Proofpointは、実運用サンプルとテスト用とみられるサンプルの両方を確認しており、活発な開発が続いていることを示しています。

ダークウェブのフォーラムでは、Cruciferraは自らを「アンダーグラウンド最凶のクリプター」と称しています。

クリプターサービスの関連記事: 新型クリプターを使用したマルウェアキャンペーンが会計事務所を標的に

カーネルドライバと独自暗号方式

観測されたキャンペーンでは、Cruciferraは常にDLLサイドローディングを通じて実行されていたとProofpointは述べています。

被害者は、正規の実行ファイルと悪意のあるDLLをペアにしたZIPファイルを受け取ります。実行ファイルを起動するとDLLがサイドロードされ、環境を確認した上でペイロードをドロップします。このDLLには数百個のおとりのエクスポート関数が含まれており、いずれも無意味なコードを指していますが、実際のルーチンを呼び出すのはそのうち1つか2つだけです。

実行前に、このクリプターは複数のレベルでエンドポイント検知・対応(EDR)の監視を解除します。インポートアドレステーブル(IAT)にパッチを当て、正規のntdll.dllのクリーンなコピーを読み込んで間接システムコールの供給元とし、GoFlyDrv.sysなどの脆弱な署名付きドライバをロードすることでカーネルレベルのテレメトリを無効化した上で、IOCTLコマンドを発行してセキュリティプロセスを終了させます。

この「持ち込み脆弱ドライバ」(BYOVD)方式は、Gentlemenランサムウェアギャングがアフィリエイトに配布しているGentleKillerフレームワークで見られる手法と類似しています。

ペイロードはバイナリの.relocセクションに格納されており、Keccak、Threefish、Feistel系など既存のアルゴリズムの一部を組み合わせて構築された90種類以上の暗号化ルーチンのいずれかを使って展開されます。そのため、あるサンプルに使われている暗号方式が次のサンプルと一致することはほとんどありません。

カーネルレベルの覗き見防止機能を備えたプロセスゴースティング

最終的な実行段階では、Cruciferraは改変版のプロセスゴースティング手法を採用しています。従来のこの手法は、削除マークが付いた一時ファイルを作成してそこにペイロードを書き込み、それを一時停止中のプロセスのバッキングイメージとして使用することで、ディスク上にスキャン可能な形で存在しないPEイメージに支えられたプロセスを実行状態のまま残すというものです。

Cruciferraはこれに2段階の検査回避機能を追加しています。ZwQueryVirtualMemoryにパッチを当てることで、ゴースト化されたメモリに対するEDRのクエリがサニタイズされた結果を返すようにし、さらにロード済みイメージをディスク上の対応するファイルと照合検証できるカーネル関数であるNtManageHotPatchを無効化しています。

Proofpointは、このマルウェアを使用した複数のキャンペーンを、中国語話者のグループTA4922によるものと特定しました。同グループは4月下旬から6月上旬にかけて、インド所得税局を装った税金関連のおとりを使い、Cruciferra経由でAsyncRATを配布していました。

別の5月のキャンペーンでは、米国社会保障局(SSA)を装ってXWormが配布されたほか、6月下旬の作戦では、宿泊施設の運営組織を標的に南京虫の苦情を装ったおとりを使ってzgRATがドロップされていました。

観測された標的のうち、金融サービス業界が34%を占め、次いで医療分野が25%、政府機関が10%となっていますが、Proofpointはこの標的選定について「日和見的なもの」と評価しています。同社によると、7月9日には新たなCruciferraでパッキングされたサンプルが数分おきにVirusTotal上に出現していたということです。