ファイルレス型情報窃取マルウェアとPureRATがブラウザのパスワード、Telegramセッション、暗号資産ウォレットを狙う

ファイルレス型情報窃取マルウェアとPureRATを操るオペレーターが、WebDAVを使った「マルウェア配布ラボ」を悪用し、ブラウザのパスワード、Telegramセッション、暗号資産ウォレットを狙うキャンペーンを展開していることが分かりました。このキャンペーンは、ファイルレス型の情報窃取とモジュール式の.NET型RATを組み合わせたものです。

この事案は、あるユーザーがWebDAVサーバーからrundll32.exe経由で取得したコンテンツを実行したことに関するMDRアラートをきっかけに発覚しました。テレメトリでは、WebClientとdavclnt.dllがリモートリソースを取得している様子が確認されています。

調査担当者がこのアラートを起点に調査を進めたところ、単なるペイロード置き場ではなく、完全に機能するマルウェア配布・QA(品質保証)ラボと化した公開ディレクトリが見つかりました。

このインフラには1,048個のアーティファクトがホストされており、LNKランチャー、ファイル名偽装のテスト、URL/LOLBin実行の試行、暗号化されたドロッパー、代替コンテナ(search-ms、library-ms、.cpl)、WebDAV初期化スクリプト、ClickFix型のHTML誘導ページ、そして詳細なオペレーターのメモがまとめて分類されていました。

この構成のおかげで、個々のキャンペーンだけでなく、攻撃者の配布ワークフロー全体を最初から最後まで再現することが可能になりました。

この公開ディレクトリからは、攻撃者がまるでソフトウェア開発チームのように動いている様子がうかがえました。ペイロードや配布手法を細かく区分けし、ブラウザやExplorerでの表示テスト用にQAフォルダを分けていたのです。

Software

攻撃者たちは、Unicode偽装、RTLO文字、二重拡張子、パディングトリック、そしてWebDAV形式の実行パスにおけるLOLBinとしての複数のWindows信頼済みバイナリを、体系的に検証していました。

複数のフォルダには、CVE‑2025‑33053(Windowsインターネットショートカットの作業ディレクトリ・ハイジャック)、CVE‑2026‑21513(MSHTMLセキュリティ機能バイパス)、CVE‑2025‑24054(細工されたパス処理によるNTLMスプーフィング)など、特定の脆弱性への言及がありました。

最も作り込まれたテストセットはCVE‑2025‑33053を対象にしたもので、.urlファイルとiediagcmd.exeを悪用して子プロセスの解決先を攻撃者が管理するWebDAV共有にリダイレクトする、Stealth Falconの手口を再現していました。

このディレクトリには、構造化されたREADMEファイル、テストキット、誘導コンテンツ生成ガイド、マトリクス形式の出力結果が大量に存在しており、LLMが生成したとみられるドキュメントと非常によく似た特徴を示していました。

アーティファクトの中には、59件の.urlハイジャック候補、優先順位付けされたテスト段階、明確な成功基準の理論を含む「Working Directory Hijacking Comprehensive Test Kit(作業ディレクトリ・ハイジャック総合テストキット)」があり、いずれも絵文字入りでバイリンガルの体裁を取った、洗練されたテンプレート調の文章でまとめられていました。

ビルドアーティファクトからは、CodeRRRプロジェクトを軸に構築されたLLM支援ワークフローがうかがえ、PowerShellジェネレーター(generate_test_lnk.ps1)や_MAPPING.csvファイルが確認されました。

Rapid7の研究者らによると、この一連の活動は、生成AIが誘導コンテンツの生成、QA配布パイプライン、そして脆弱性悪用テストを大規模に工業化するために兵器化されている実態を示しているといいます。

誘導コンテンツのテーマは、契約書、請求書、給与明細、Labcorpのレポート、プライバシーポリシーなど、企業に馴染みやすい文書に偏っていました。また、偽のアイコンやRTLO偽装、ウィンドウの最小化・非表示化といった手口によって、安全そうに見せかける工夫が徹底されていました。

ファイルレス型情報窃取マルウェアとPureRATがブラウザを狙う

ClickFix型のHTML誘導ページは、Cloudflareのチェック画面、Adobeまたはワードのエラー、Microsoftのログインプロンプト、Chromeのアップデート通知、Discordの通知になりすましており、ユーザーにコマンドをコピー&ペーストするよう指示し、WebDAV/UNCパスに対してPowerShell、cmd.exe、rundll32、mshtaを実行させる仕組みになっていました。

「Simba Service」管理パネルは読み取り専用のWebDAV共有の上に構築されており、ファイルのオープン、訪問者のIPアドレス、位置情報、Windowsのバージョン、通信量、エラー、フォルダ単位のコンバージョン指標などをほぼリアルタイムで追跡できるよう作り込まれていました。

ボット・スキャナー検知ロジックは、404パターン、ディレクトリの列挙、WebDAVプローブに基づいてIPアドレスにスコアを付け、セキュリティツールとみられるものをブロックできるUIをオペレーターに提供していました。

ある大規模なキャンペーンでは、攻撃者がメキシコのCURP ID検索ポータルになりすました、作り込まれたフィッシングサイト(www[.]gobf[.]mx)を展開しました。このサイトは、国民IDのデータ入力を求めるシングルページアプリケーションを表示していました。

ComputerScience

被害者が「ダウンロード」をクリックすると、クライアント側のJavaScriptがsearch-ms: URIを発行し、.scrファイルに絞り込んだWebDAV共有ビューを開きました。具体的には、RTLOで偽装されたReportFinal.rcs.pdfという実行ファイルです。

このバイナリはDelphi/Inno Setupで作られており、ローダー(Fo-Binary.exe)を展開します。このローダーは埋め込まれた.NET型情報窃取マルウェアをAESとGZipで復号した後、Assembly.Load(byte[])を使ってリフレクション経由でメモリ上に読み込み、プロセスホローイングによってEV署名済みのQihoo 360プロセスに注入していました。

この結果誕生したのは完全なファイルレス型情報窃取マルウェアで、メモリ内の設定(バージョン4.4.3、タグは06x12x2026SantaEbash2)は、約20種類のデスクトップウォレットとブラウザ拡張機能、ブラウザの認証情報とCookie、Telegramのtdataセッション、Foxmailのデータ、デスクトップのスクリーンショットを標的にしていました。

アンチ解析ロジックはCOR_PROFILERとIsDebuggerPresentをチェックし、解析ツールの介在を検知するとFailFastを呼び出す仕組みでした。また、監視対象リストと収集プロファイルの復号は、C2とのハンドシェイクが成功するまで先送りされていました。

データの外部送信には、SNIを使わないSslStreamと生ソケットが用いられ、77[.]110.127.205(google.services.ug)の/c2に対してマルチパートデータをPOSTしていました。これにより、従来のネットワークベースの検知はさらに困難になっています。

Simba Service WebDAVパネルのアーキテクチャ、API、運用ガイダンスを説明するプレゼンテーション形式のHTMLも見つかっています。これは、手作業による場当たり的な手口から、AIによって加速されたパイプライン主導のマルウェア開発へと移行していることを示す証拠です。

DlrtyGamesディレクトリ配下で展開された2つ目の攻撃チェーンは、DLLサイドローディングとモジュール式RATの展開の典型例でした。まず、サイレント型の7‑Zip自己解凍ファイル(DlrtyGames.exe)が実行され、無害なUbisoftのバイナリ(Volt_Droid.exe)と、トロイの木馬化されたdiscord-rpc.x64.dllが展開されます。これがサイドローディングを利用して次の段階を起動する仕組みです。

この悪意あるDLLは設定をデコードし、ハッシュによってAPIを解決し、profiler16.dllをマッピングした後、loader-pool.db(暗号化されたモジュールをIDATチャンクに隠したPNGファイル)を解析します。そして45秒の遅延を挟んでコンテンツを再構成・復号し、永続化を設定、dllhost.exe経由でCOMの自動昇格を悪用し、x86プロセスホローイングの段階に備えていました。

このPIC(位置独立コード)シェルコードは、署名済みのホストプロセス(MegArray.exe、Crisp.exe)を起動してアンマップし、そのイメージを.NETベースのPureRATペイロードに置き換えていました。このペイロードは23[.]94[.]252[.]228:57666のC2に接続します。

PureRATのモジュール式アーキテクチャは、キーロギング、スクリーンショット、ウィンドウ監視、C2操作用のプラグインを備えており、金融・暗号資産関連の活動(銀行取引、決済、ウォレット、シードフレーズ)やブラウザウォレットに照準を合わせて調整されていました。

ファイルレス型情報窃取マルウェアのチェーンと組み合わさることで、この作戦は当初のデータ窃取から、完全なリモートアクセス、永続化、継続的なセッションハイジャックへと巧みに移行していました。

5.5日間(2026年6月20日〜26日、UTC)にわたるWebDAVのテレメトリでは、101か国の3,892のクライアントIPから77,098件のリクエストが記録され、転送されたデータ量は約45.9GBに上りました。

メキシコが全リクエストの82.5%、起動イベントの96.9%を占めており、CURPをテーマにした誘導ファイルReportFinal.rcs.pdfは、実行ファイル起動全体の97.7%、外向き通信量にして約14.6GBの原因となっていました。

UTCで16:00から19:00の間にトラフィックのピークが見られ、これはメキシコ中部の営業時間と一致します。このことから、純粋な自動スキャンではなく、実際のユーザーによる操作があったことがうかがえます。

起動イベントのすべてが実行の成功を意味するわけではありませんが、テレメトリは、メキシコのユーザーや組織を狙った集中的なキャンペーンであることを強く示しています。それ以外の国からの広範なトラフィックは、スキャナーや調査活動、日和見的な露出を反映しているとみられます。

防御側は、WebDAVおよびsearch-msを利用した配布を高リスクとして扱い、このラボのテストマトリクスに頻繁に登場するrundll32、mshta、bitsadmin、certutilなどのLOLBinに対して厳格な制御を適用する必要があります。

CVE‑2025‑33053や関連する作業ディレクトリ・ハイジャックのベクトルへのパッチ適用、NTLMの堅牢化、そして想定外のバイナリを呼び出す.urlショートカットの監視は、ここで悪用されたハイジャック経路を塞ぐ上で極めて重要です。

より広い視点で見ると、このキャンペーンは、ファイルレス型情報窃取マルウェアとPureRAT型バックドアの組み合わせが、AI生成のドキュメントやQAパイプラインと結びつくことで、従来のシグネチャベースの防御が対応できる速度を上回るペースで攻撃者が手口を改良できるようになっていることを示しています。

セキュリティチームは、露出管理と振る舞いベースの検知を組み合わせるべきです。具体的には、WebDAVの利用、search-msの呼び出し、メモリ上での.NETロード、SNIを伴わない異常なTLS通信といったテレメトリを監視することで、最新のペイロードだけでなく配布パイプラインそのものを捉えることができます。

IOC(侵害指標)

注記: IPアドレスとドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化(例: [.])しています。再度有効化する際は、MISP、VirusTotal、ご利用のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。

𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 2026年、どれが最適か? コスト、自動化、対応力を比較: 無料ガイドをダウンロード