NULLZEREPTOOLと名付けられた新たに発見されたTelegram制御型攻撃フレームワークは、実際に機能するDDoSエンジンと、WiFiパスワード抽出、無線通信の妨害、プロキシローテーション、ボットネット制御を行うコードを組み合わせています。
研究者らは、2026年4月29日にフラグが立てられたPastebinの投稿からPythonのソースコードを発見しました。その後、同じハードコードされたTelegramボットトークン、管理者ID、パスワードを共有する初期バージョンを特定し、両方のサンプルが1つの進化中のコードベースに由来することを確認しています。
このフレームワークは、低レベルのMaaS(Malware-as-a-Service)ツールが単純なサービス拒否機能から、より広範な認証情報窃取やエンドポイント制御機能へと拡張していく過程を示しています。
ただし研究者らは、いくつかの新しいモジュールはサーバー側のソースコードにのみ存在しており、対応するクライアントバイナリは見つかっていないと強調しています。したがって、これらのエンドツーエンドでの実際の使用については未確認のままです。
NULLZEREPTOOLはTelegramをコマンド&コントロールのインターフェースとして使用し、攻撃の開始、プロキシリストの更新、アクセスキーの作成、攻撃統計の閲覧といった認証済みコマンドを備えています。
DDoSコンポーネントには20種類の攻撃手法、専用のワーカースレッド、自動スケーリング、ウェブサイト監視機能(ウォッチドッグ)、プロキシ検証パイプラインが搭載されています。
最も高機能なルーチンである「combo_worker」は、ランダム化されたヘッダーとクエリ文字列を用いてHTTPのGET、POST、HEAD、OPTIONSリクエストを繰り返し送信します。
さらにUDPトラフィックの送信や、選択したターゲットに対する短時間のTCP接続の開始も行い、アプリケーション層とネットワーク層のフラッディングを1つの操作の中で組み合わせています。
このコードは最大1,000のワーカースレッドで動作を開始し、計測されたリクエストレートが攻撃者が設定した目標値の70%を下回った場合には2,000スレッドまでスケールアップします。
ウォッチドッグは5秒ごとにターゲットをチェックし、ウェブサイトが到達不能と判断した時点でフラッディングを停止します。
また、このフレームワークは複数のオンラインソースから公開プロキシを収集し、検証を行った上で応答のあったプロキシをローカルのproxy.txtファイルに保存します。
攻撃中はプロキシをローテーションさせ、失敗したプロキシは有効なプール(リスト)から除外します。この挙動により、単純なIPベースのブロッキングは効果を発揮しにくくなります。
研究者らは、Shopmuabancf[.]com、Bloomberg[.]com、ゲーム関連ドメインなど複数のウェブサイトに対する攻撃の試みを観測しました。
観測された結果には大きなばらつきがあり、実際のパフォーマンスはプロキシの品質、ローカル環境の帯域幅、ターゲット側の防御対策、攻撃者側の実行環境に依存することが改めて示されています。
より新しいNULLZEREPTOOLの変種には、侵害されたシステムから保存済みのWiFiパスワードを収集するためのコマンドが追加されています。
Windows環境では、netsh wlan show profile … key=clearというコマンドを使用して保存されている無線認証情報を取得します。Linux環境ではnmcliを呼び出してWiFi接続設定を照会し、事前共有鍵(PSK)を抽出するとflareは述べています。
さらに、WiFiの認証解除(デオーセンティケーション)機能やBluetoothの妨害機能も備えています。Linux版のルーチンはaireplay-ng、l2ping、hcitoolといったツールを呼び出すため、こうした攻撃には対応するアダプター、管理者権限、補助ユーティリティが必要になります。
WiFiクラッキングのワークフローではhcxdumptool、hcxpcapngtool、Hashcatが参照されており、ハンドシェイクの捕捉、変換、辞書攻撃によるクラッキングに対応していることが示されています。
ANY.RUNでSOC調査の盲点を解消し、脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/wifi-credential-theft-framework/
