ハッカーがEthereumスマートコントラクトを悪用、Amatera StealerのC2サーバーを隠蔽

ハッカーが検知を回避するために分散型インフラや正規の開発フレームワークを悪用するケースが増えており、新たに確認されたキャンペーンでは、情報窃取マルウェア「Amatera Stealer」の指令サーバー(C2)エンドポイントを隠すためにEthereumのスマートコントラクトが利用されていることが明らかになりました。

これらの誘導手段は、悪意あるウェブサイトや、Google Driveなどのファイル共有プラットフォーム、MEGA、GoFile、Wormhole、さらには正規の配布チャネルを装った偽ダウンロードサイトを通じて拡散されています。

感染の連鎖は、Setup.exeというバイナリを含むトロイの木馬化されたアーカイブから始まります。被害者には一見無害に見えるインストール画面が表示される一方で、裏では悪意あるプロセスが密かに実行されます。

このローダーは、ビジュアルノベルやインタラクティブフィクションでよく使われる正規のRen’Pyエンジンを悪用し、悪意あるPythonコードを組み込んで実行することで、ペイロードの正当性を装っています。

このキャンペーンは、BunやDenoといったフレームワークを使った過去の事例と同様の傾向を示しており、攻撃者は信頼された開発エコシステムを武器化することで、セキュリティ対策を回避し、疑いを持たれにくくしています。

セキュリティインシデント対応

同様の手法は、BunによるNwHStealer配布キャンペーン(https://www.malwarebytes.com/blog/threat-intel/2026/05/attackers-adopt-javascript-runtime-bun-to-spread-nwhstealer)でも確認されています。

Denoベースのリモートアクセス型トロイの木馬(RAT)についても同様です(https://www.malwarebytes.com/blog/threat-intel/2026/05/fake-software-on-github-and-sourceforge-distribute-deno-rat)。

実行されると、RenPy Loaderは難読化されたペイロードの配信と防御回避を伴う多段階の感染連鎖を開始します。

Malwarebytesの研究者らは、複数の進行中のキャンペーンを特定しました。これらは、偽のゲームやクラック版ソフトウェア、Modのダウンロードを装い、RenPy Loader(RenEngine Loaderとしても追跡されている)というマルウェアローダーを配布しています。

Amatera StealerのC2サーバー

第1段階のローダーは、XORで保護された設定ファイルやZIPアーカイブなど、組み込みリソースから暗号化されたコンポーネントを抽出します。

サンドボックス検知チェックを行うほか、代替データストリームを利用してMark-of-the-Webフラグを削除し、Windows SmartScreenによる保護を回避します。

続いてローダーは、forfiles.exe経由でBATスクリプトを実行します。これにより隠されたconhost.exeインスタンスが起動し、悪意あるプロジェクトファイル(Nancy.csproj)を指定してMSBuild.exeが呼び出されます。

この手法により、MSBuildのプロパティ関数を用いたインライン.NETペイロードの実行が可能になります。これは、環境寄生型バイナリ(LOLBIN)の悪用手口としてよく知られています。

その後、トロイの木馬化されたNancy .NETフレームワークが再構築され、メモリ上で実行されます。このペイロードは、独自のバイトコード解釈、多層のXOR暗号化、API名のハッシュ化、間接的な関数解決など、高度な難読化を施しています。

さらに、システムのネットワーク設定を変更し、TLS証明書の検証を無効化するほか、フォレンジック対策の処理も行います。

このキャンペーンで最も注目すべき点は、ブロックチェーン上のデータを悪意あるインフラの詳細情報の保存・取得に利用する「EtherHiding」という手法が使われていることです。

用語集& 百科事典

マルウェアにC2アドレスを直接埋め込む代わりに、ローダーは公開ブロックチェーンのエンドポイント(bsc-dataseed.binance.org)に対してEthereumのJSON-RPCリクエストを発行し、スマートコントラクトに問い合わせて暗号化されたC2情報を取得します。

ブロックチェーン上のデータは改ざん不可能で分散されているため、この手法は検知や摘発を大幅に困難にします。

取得されたC2エンドポイントは、その後、PavinWide、GollopDevest、LanoseThripといった複数の難読化された.NETおよびネイティブDLLを含む追加のペイロードのダウンロードに使用されます。

これらのコンポーネントは最終的に、最終ペイロードである「Amatera Stealer」を復号して実行します。

Amateraは、感染したシステムから機密情報を抽出するために設計されたデータ窃取型マルウェアであり、ブラウザに保存された認証情報、暗号資産ウォレットのデータ、メッセージングアプリのコンテンツ、ブラウザ拡張機能、ローカルファイルなどを標的とします。

窃取されたセッショントークンや認証情報は、複数のプラットフォームにまたがるアカウント乗っ取り攻撃を可能にする恐れがあります。

特筆すべき点として、RenPy Loaderは、Lumma StealerやHijackLoaderといった別のペイロードを配信する事例も確認されており、柔軟なマルウェア・アズ・ア・サービス(MaaS)型の配布モデルであることがうかがえます。

ClickFix活動を含め、複数のキャンペーンでEtherHidingインフラが使い回されていることも、この見解を裏付けています。

ブロックチェーンを利用したC2の隠蔽、正規ツールの悪用、そしてメモリ上での多段階実行を組み合わせたこの手口は、耐性が高くステルス性を重視したマルウェア配布への傾向の高まりを示しています。

攻撃者が分散型技術と信頼された正規のソフトウェアフレームワークを組み合わせ続ける中、従来の検知メカニズムは、こうしたキャンペーンを特定し阻止する上でますます困難な課題に直面しています。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化(defang)表記(例: [.])としています。再有効化する場合は、MISP、VirusTotal、あるいは自組織のSIEMなど、管理された脅威インテリジェンス基盤内でのみ行ってください。

𝗔𝗜 𝗦𝗢𝗖 𝘃𝘀 𝗠𝗗𝗥 𝘃𝘀 𝗠𝗦𝗦𝗣 2026年版:どちらが最適か? コスト、自動化、対応力を比較: 無料ガイドをダウンロード