Cruciferra Crypterが検知を回避してマルウェアを配布

Proofpointの研究者は、複数のサイバー犯罪グループがリモートアクセス型トロイの木馬(RAT)や情報窃取型マルウェアを配布するために使用している高度なクリプターサービス「Cruciferra」を特定しました。

Proofpointによる分析は、Malware-as-a-Serviceの提供形態が進化を続けており、悪意あるペイロードの検知をより困難にする一方で、より幅広い脅威アクターが攻撃キャンペーンを成功させられるようになっている実態を浮き彫りにしています。

Cruciferra crypterの要点

• Cruciferraは、複数のサイバー犯罪グループがRATや情報窃取型マルウェアを配布するために使用している高度なクリプターサービス
• BYOVD、Process Ghosting、そして90種類を超える暗号化バリエーションを含む高度な回避技術を用いてセキュリティツールを迂回
• ProofpointはCruciferraが複数のフィッシングキャンペーンを通じてAsyncRAT、XWorm、AgentTesla、Remcos、zgRATなどのマルウェアを配布しているのを観測
• 観測されたキャンペーンで最も頻繁に狙われたセクターは金融サービス、医療、政府機関
• 高度なマルウェア配布キャンペーンによるリスクを低減するには、高度なメールセキュリティ、振る舞い検知型のエンドポイント検知、迅速なパッチ適用、フィッシングに対する意識向上を組み合わせるべき

Cruciferra crypterとは何か

クリプターは、実行前にペイロードを暗号化または難読化することで、マルウェアをセキュリティツールから隠すよう設計されています。

Proofpointによると、Cruciferraは高度な防御回避技術、広範なペイロード保護、そして継続的な開発を組み合わせることで、従来型のクリプターをはるかに超える存在になっています。

研究者は本番用とテスト用の両方の亜種を確認しており、運営者が新機能を追加し既存機能を改良し続けることで、このサービスが積極的に進化していることがうかがえます。

Cruciferraは2025年後半にアンダーグラウンドのサイバー犯罪フォーラムで初めて販売が確認され、サブスクリプション料金は利用可能な機能に応じて月額約450ドルから2,000ドルの幅がありました。

このサービスは、Windows Defender、SmartScreen、Chromeのセキュリティ保護機能、そしてアンチウイルスソフトウェアを回避できる点を売りにしています。

Cruciferraが用いる高度な防御回避技術

Proofpointの調査により、Cruciferraは.NET向けランタイムであるMonoで記述されており、エンドポイント検知・対応(EDR)製品、アンチウイルス製品、サンドボックス、フォレンジック解析を迂回するよう設計された複数の技術を組み込んでいることが判明しました。

その機能には、間接的なシステムコール、APIおよびImport Address Table(IAT)のアンフッキング、権限昇格、永続化メカニズムなどが含まれます。

また、Bring Your Own Vulnerable Driver(BYOVD)技術を用いて、正規だが脆弱なドライバーを悪用し、セキュリティソフトウェアを無効化します。

Cruciferraはさらに、コンソールウィンドウを隠し、セキュリティ監視用のフックを除去し、改変されたシステムテーブルを修復するほか、独自にカスタマイズしたProcess Ghostingを用いて、フォレンジック上の痕跡を最小限に抑えながらペイロードを実行します。

最も注目すべき発見の一つが、Cruciferraのペイロード保護に関するものです。

研究者は、ペイロードや埋め込まれた文字列を保護するために使用されている90種類を超える暗号化バリエーションを特定しました。

標準的な暗号アルゴリズムを使用する代わりに、複数の暗号化手法の要素を組み合わせることで、非常にばらつきの大きいサンプルを生成し、シグネチャベースの検知を回避しつつ解析を複雑化させています。

Cruciferraは複数のキャンペーンで多様なマルウェアファミリーを配布

研究者は、AsyncRAT、AgentTesla、XLoader、XWorm、Formbook、Phantom Stealer、Remcos、zgRATなど、幅広いコモディティマルウェアを配布するためにCruciferraを使用した数十件のキャンペーンを観測しました。

観測されたキャンペーンの多くは、受信者を攻撃者が管理するウェブサイトや悪意あるアーカイブへ誘導するフィッシングメールに依存していました。

キャンペーンの目的に応じて、Cruciferraはステージングサーバーからペイロードをダウンロードするか、あるいは被害者のシステムに直接ドロップしていました。

キャンペーンの規模は数百通から数千通のメールに及び、複数の無関係な脅威アクターに帰属するものと判明しており、このサービスが広範に採用されている実態を示しています。

キャンペーンの多くは日和見的なものでしたが、Proofpointは金融サービス、医療、政府機関のセクターに属する組織が繰り返し標的にされていることを確認しました。

複数のキャンペーンは、ユーザーの反応を高めるために信頼できるとされるテーマに大きく依存していました。

中国語話者の脅威アクターTA4922に帰属するとされるキャンペーンでは、攻撃者が政府の税務当局になりすまし、偽の所得税局(Income Tax Department)通知を送りつけていました。

被害者は、正規の政府ポータルを模した説得力のあるランディングページへ誘導され、Cruciferraの感染チェーンを含むZIPアーカイブをダウンロードするよう促され、最終的にAsyncRATが配布されていました。

研究者はまた、米国の社会保障局(Social Security Administration)のブランドを悪用してXWormを配布するキャンペーンや、宿泊客からのトコジラミ(ベッドバグ)苦情を記録したものだと主張するホスピタリティ業界を装ったフィッシングメールも確認しました。

これらのメッセージは、受信者にファイルをダウンロードさせ、最終的にCruciferraをインストールした上でzgRATを読み込ませるよう仕向けるものでした。

これらのキャンペーンは、高度なマルウェア配布サービスであっても、初期アクセスの獲得には説得力のあるソーシャルエンジニアリングへの依存が続いていることを示しています。

組織はCruciferraマルウェアにどう対抗すべきか

今回の調査は、マルウェアの配布と侵害後の活動の両方に対応する多層防御の重要性を改めて示しています。組織は以下を実施すべきです。

• 高度なメールセキュリティソリューションを導入し、フィッシングキャンペーンや悪意ある添付ファイルがユーザーに届く前に検知する。
• 不審なDLLサイドローディング、PowerShellの活動、権限昇格の試み、BYOVDの挙動を監視する。
• 従来型のシグネチャでは検知できない悪意ある活動を特定できる振る舞い検知機能でエンドポイント保護を強化する。
• ドライバー悪用の機会を減らすため、ソフトウェアのパッチ適用を徹底する。
• 政府機関、税務当局、顧客対応を装ったフィッシングキャンペーンに焦点を当てたユーザー意識向上トレーニングを実施する。
• インシデント対応計画をテストし、フィッシング攻撃を想定したシナリオでシミュレーションツールを活用する。

これらの対策を組み合わせることで、組織のレジリエンスを高め、被害の拡大範囲を抑えることができます。

まとめ:Cruciferraが浮き彫りにするマルウェア脅威の進化

Malware-as-a-Serviceが進化するにつれ、Cruciferraのようなサービスは高度な回避技術とスケーラブルなフィッシングを組み合わせることで、マルウェア配布の効果を高めています。

配布されるマルウェアファミリー自体はよく知られたものですが、Cruciferraの高度な回避能力は検知をより困難にしており、多層的なセキュリティ制御と振る舞い監視の重要性を改めて示しています。

マルウェアの配布手法がより回避的になるにつれ、ゼロトラストアーキテクチャは攻撃者のアクセスを制限し、侵害されたエンドポイントによる被害を軽減するのに役立ちます。