ハッカーがCruciferra Crypterを悪用し、EDRを無効化してXWorm、Remcos、AsyncRATを展開

ハッカーがCruciferraというCrypter-as-a-Serviceを悪用し、エンドポイント検知・対応(EDR)ツールを組織的に無効化した上で、XWorm、Remcos、AsyncRATなどのコモディティマルウェアを、世界各地の複数業種を標的としたメール経由のキャンペーンでひそかに展開していることが分かりました。

Hacking& Cracking

Cruciferraは、BYOVD(Bring Your Own Vulnerable Driver)によるドライバ悪用、間接システムコール、そして90種類以上の組み合わせ可能な暗号化ルーチンを備えたポリモーフィック暗号化エンジンを組み合わせており、マルウェア・アズ・ア・サービス(MaaS)エコシステムにおいて急速に高価値なイネーブラーとなっています。

互いに無関係な複数のサイバー犯罪クラスターがこのサービスを利用し、AsyncRAT、XWorm、Remcos、Agent Tesla、Formbook/XLoader、Phantom Stealer、ValleyRAT、Snake Keyloggerといったリモートアクセス型トロイの木馬(RAT)や情報窃取型マルウェアを隠蔽しています。

このCrypterはMonoで記述されており、複数の関連Crypterをまとめた「アンブレラ」型プラットフォームとして機能しているようです。ただし、Proofpointの分析は、実際に最も多く観測されている亜種に焦点を当てています。

本番用ビルドと「テスト」用ビルドの両方が確認されており、活発な開発の様子がうかがえます。マルウェアリポジトリには新しいサンプルが頻繁にアップロードされており、デバッグのタイムスタンプからは、日によっては数分おきにCruciferraでパッキングされた新しいバイナリが生成されていることが分かります。

Cruciferraは現在、数十件のメール経由キャンペーンの基盤となっています。攻撃者は、一見無害な実行ファイルと悪意のあるDLLを組み合わせたZIPまたはVHDコンテナを配布します。

被害者がこの実行ファイルを起動すると、DLLがサイドロードされてCruciferraが呼び出され、環境チェック、ペイロードの復号、EDRの改ざん、最終的なマルウェアの実行を担います。

観測されたキャンペーンは金融サービス、医療、政府機関など複数の業種にまたがっており、標的選定は日和見的で、1回あたりのメール送信件数は数百件から数千件に及びます。

ペイロードの配信方法は柔軟です。Cruciferraは、復号したRATや情報窃取型マルウェアをディスクに書き込む方法、初期アーカイブ内の補助ファイルから読み込む方法、あるいはステージングサーバーからダウンロードする方法のいずれも取ることができ、攻撃者側の設定次第で切り替わります。

Proofpointの研究者らはCruciferraを追跡しており、これは2025年秋以降、アンダーグラウンドフォーラムのExploit[.]inで販売されている高度なCrypterサービスであるとしています。サブスクリプション料金は機能セットに応じて月額450ドルから2,000ドルに及ぶとされています。

2026年4月下旬から6月上旬にかけて、中国語話者のサイバー犯罪グループTA4922は、Cruciferraを基盤とするキャンペーンを少なくとも4件実行し、最終的にAsyncRATを配布していました。

Cruciferra Crypter-as-a-Service

このグループは、「Income Tax Department(所得税局)」や「Government of India(インド政府)」からの通知を装った税務関連のおとりを使用し、被害者を偽の政府ポータルへ誘導しました。このポータルには、Cruciferraの感染チェーンを開始するサイドロード用の実行ファイルとDLLのペアを含むZIPファイルがホストされていました。

このフィッシングページは正規の税務ポータルを巧妙に模倣しており、メールやPDFに埋め込まれたURLからクリックを誘導する構造でした。緊急性と正当性を演出しつつ、一貫したソーシャルエンジニアリングの手口を維持していました。

実行されると、Cruciferraはまず環境がペイロード実行に適した安全な状態かどうかを確認した上でAsyncRATを投下し、TA4922にデータ窃取や後続の攻撃活動のための持続的なリモートアクセスを与えていました。

Cruciferraは、米国社会保障局(SSA)関連のおとりを悪用してXWormおよびAdaptixC2を配布するキャンペーンとの関連性も指摘されています。これは、XWormとRemcosがRust製インジェクター「Freeze.rs」などを介して展開された、これまでの多段階攻撃と類似したパターンです。

Securityincident response

これらのCruciferraを基盤とする攻撃では、被害者は税務書類や期限に言及するSSAブランドを装ったメールを受け取り、埋め込まれたURLからVHDイメージのダウンロードへと誘導されます。

このVHDファイルを開くと、Cruciferraを起動する一連の処理が実行され、CruciferraがXWormを復号・実行します。これにより攻撃者は、キーロギング、認証情報窃取、ラテラルムーブメント、リモートコマンド実行が可能な、フル機能のRATを手にすることになります。

これと類似したツールチェーンは、これまでのキャンペーンでも確認されており、LNKファイルとPowerShellローダーが最終的にRust製インジェクターへとつながり、XWormとRemcosの両方を展開していました。これは、CrypterとインジェクターとEDR回避を組み合わせて出し抜くという、より広範な傾向を浮き彫りにしています。

6月下旬には、別のCruciferraキャンペーンが「宿泊客からの苦情」や南京虫関連をテーマにしたメールを使い、宿泊業や旅行業界を標的にしました。

このメールには、証拠写真へのリンクを装ったURLが含まれていましたが、実際には悪意のあるLNKファイルを含むZIPアーカイブが配布され、これがPowerShellコマンドを起動して、段階的に読み込まれるPowerShellスクリプトを実行する仕組みでした。

このスクリプトは、まず被害者のシステム情報を収集して攻撃者が管理するインフラへビーコン送信した後、最終的にCruciferraをインストールするZIPファイルをダウンロードしていました。今回のケースでは、CruciferraがzgRATを読み込む様子が観測されています。

この多段階の設計により、攻撃者はシステムのプロファイリング結果に応じてペイロード配信を制御できるうえ、Cruciferraの防御回避技術群によって、EDRやアナリストが最終的なRATの展開を検知できる可能性を最小限に抑えていました。

Cruciferraの核心的な価値は、その多層的な防御回避にあります。ユーザーモードとカーネルモードの両方の手法を組み合わせ、RATや情報窃取型マルウェアが実行される前にセキュリティツールを無力化します。

Securityincident response

このCrypterは、Windows APIのフック解除を積極的に行い、インポートアドレステーブル(IAT)を修復し、クリーンなコピーのntdll.dllから取得した間接システムコールを使用することで、EDRやサンドボックスが挙動監視によく用いるインラインフックを回避します。

カーネルレベルでEDRを無力化するため、CruciferraはBring-Your-Own-Vulnerable-Driver(BYOVD)方式を用います。GoFlyDrv.sysなど既知の脆弱なカーネルモジュールを頻繁に悪用し、IOCTLコマンドを発行してセキュリティプロセスを列挙・終了させます。

最終的なペイロードは、改変されたProcess Ghostingの手法によって実行されます。Cruciferraはマルウェアを、イメージセクションの裏付けに使われる一時的な(まもなく削除される)ファイルに書き込み、そのセクションを一時停止中のプロセスにマッピングした上で、ZwQueryVirtualMemoryとNtManageHotPatchにパッチを当てることで、EDRのメモリスキャナーが無害化された結果しか取得できないようにします。

埋め込まれたペイロードを保護するため、CruciferraはそれをPEファイルの.relocセクションに格納し、Keccak、Threefish派生構造、Feistel型、ARXベース設計、DES-CBCといったアルゴリズムの要素を組み合わせて構築された、90種類を超えるカスタム暗号ルーチンのいずれかで暗号化します。

ビルドごとに異なる、ポリモーフィックに生成されたルーチンが使われる傾向があり、これにより防御側にとって静的解析やシグネチャ作成が著しく困難になっています。

研究者らはまた、Cruciferraでパッキングされたバイナリには、日付スタンプ付きの意味不明な文字列で構成された著作権表示、製品名、説明文といった疑似ランダム化されたPEメタデータが含まれることが多いと指摘しています。これらは、Yaraシグネチャやアップロードパターンと組み合わせることで、このサービスの継続的な活動を追跡するためのテレメトリとして活用できます。

これらの痕跡、そしてCruciferraがXWorm、Remcos、AsyncRATなど各種ツールキットの展開に使われている実態は、このCrypterが異なるサイバー犯罪エコシステム間で共有される、中核的なインフラ要素としての役割を果たしていることを裏付けています。

IOC(侵害指標)

注: IPアドレスおよびドメインは、意図しない名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])にしています。実際のアドレスに戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 2026年、どちらが最適か? コスト、自動化、対応力を比較: 無料ガイドをダウンロード