独占 300以上のアプリケーションを標的とするWindows向け情報窃取型マルウェアに、斬新な監視ツールが搭載されていることが分かりました。感染した被害者をランク付けし、犯罪者にどの標的から狙うべきかを教えるAIプロファイラーです。
Varonis Threat Labsは、Dolphin Xと呼ばれるこの新しい情報窃取型マルウェア兼リモートアクセス型トロイの木馬(RAT)がサイバー犯罪フォーラムで販売されているのを発見し、その調査結果を独占的にThe Registerに提供しました。
このマルウェアの広告によれば、最大300以上のアプリケーションを標的にでき、ブラウザのパスワードを回避して企業の認証情報、暗号資産ウォレット、.envファイル、SSHキー、クラウドトークン、DevOps関連のシークレットを盗み出す能力を備えているとされています。
Dolphin Xはさらに、「AIプロファイラー」と呼ばれる非常に巧妙な監視機能もユーザーに提供すると謳っています。この機能は感染したユーザーをアプリの使用状況、閲覧履歴、インストール済みソフトウェアに基づいてスコアリングし、攻撃から得られそうな利益に応じて被害者をランク付けした日次サマリーをサイバー犯罪者に送信します。
「際立っている点が2つあります」と、Varonisのシニア脅威リサーチャーであるダニエル・ケリー氏はThe Registerに語りました。「一つ目はAIプロファイラーです。これは今まで見たことのないものです。そしてもう一つは、窃取対象となるアプリケーションの幅の広さです。アプリケーションだけにとどまりません。あらゆるものが対象です。ファイル、認証情報、暗号資産、何でも盗みます。私がこれまで見た中でも最大級の情報窃取ツールの一つで、攻撃対象領域という点でも最大級と言えるでしょう」
「Kontraktnik」というエイリアスを使うマルウェア販売者がDolphin Xを出品し、次のように謳っています。「情報窃取ツールとしても、HVNC(隠しバーチャル・ネットワーク・コンピューティング)としても、DDoSボットネットとしても、ローダーとしても使用できます」
この犯罪用ソフトウェアは現時点ではWindowsでのみ動作しますが、Kontraktnik氏によれば「Debian対応も進めている」とのことです。また、対応言語は英語とロシア語のみだといいます。
私がこれまで見た中でも最大級の情報窃取ツールの一つで、攻撃対象領域という点でも最大級
ケリー氏は開発者がロシア語話者である可能性が高いとみています。同氏によれば、この情報窃取ツールには独立国家共同体(CIS)諸国のユーザーには感染しないようにするオプションが備わっており、これはロシア系のランサムウェアやサイバー犯罪グループによく見られる選択だといいます。
ケリー氏のチームはマルウェアのビルダー、オペレーターパネル、およびそのネットワークトラフィックを入手・分析しましたが、マルウェアの検体そのものは調査していません。そのためVaronisは、開発者の主張がすべて事実であるとは保証できないとしています。
それでも、「ビルダーを見た限りでは、うたわれている機能が本物であることを示す要素がすべて揃っていました」と同氏は述べています。「マルウェア自体を実際にテストすることはできませんでしたが、おそらく謳い文句の大部分に見合った性能を発揮すると思います」
このマルウェアが販売されているフォーラムに寄せられたフィードバックも、この分析を裏付けています。取材によれば、火曜日時点で販売スレッドの閲覧数は3,000件を超えており、Kontraktnik氏は少なくとも2件の取引成立を確認しています。いずれの取引についても、購入者から好意的なフィードバックが寄せられているとのことです。
3段階のサブスクリプションモデル
Dolphin Xが標的とする300以上のアプリケーションに加え、そのオペレーターパネルには10のカテゴリーにわたり329の機能が並んでいます。購入者は3段階の料金プランのいずれかに加入して新機能を利用できるほか、買い切りの永久ライセンスを購入することも可能です。
最も低価格なプランは月額約80ドルで、Windowsのポータブル実行形式(PE)のタイムスタンプ、Richヘッダー、セクションのパディングを書き換え・改変する機能が利用できるほか、脆弱なYARAルールやハッシュベースのブロックリストを回避する機能も含まれます。
中位プランではインポートテーブルのシャッフルが謳われており、これによりビルドごとにバイナリのインポートハッシュが変化します。最上位プラン(月額約230ドル)では、コードの制御フローの書き換え、命令の置換、埋め込み文字列の毎回異なるランダムキーによる再暗号化が謳われており、これにより安定したバイトシーケンスの識別が困難になるとしています。
永久ライセンスの価格は、基本プランで約1,140ドル、中位プランのマルウェアで2,280ドル、プロレベルの永久破壊力を持つプランで3,420ドルとなっています。
「参入障壁を大きく下げるものです」とケリー氏は述べ、それほど遠くない過去には、サイバー犯罪者が様々な種類のマルウェアを開発・利用するには一定の技術力が必要だったと付け加えました。「今ではまるでSaaSのような形で提供されています。誰でも購入でき、誰でもパッケージから取り出してそのまま使えるのです」
セキュリティ調査担当者によれば、これらすべてから防御側にとって2つの教訓が導き出されるといいます。まず、可能な限り長期利用の認証情報をディスク上に保存しないことです。「情報窃取ツールは一度の実行であらゆるものをかき集めるよう設計されているため、ローカルに保存されているものはすべて漏洩の可能性があると考えるべきです」と報告書は警告しています。
誰でも購入でき、誰でもパッケージから取り出してそのまま使える
第二に、脅威検知の焦点をファイルシグネチャではなく振る舞いに当てることです。このマルウェアをはじめ他の多くのマルウェアも、シグネチャベースの検知を回避する機能を備えているためです。「例えば、explorer.exeがデフォルト以外のデスクトップ上で実行されている場合、マルウェアのバイナリがどのようにパッキングされていようと、どのハッシュを使っていようと関係なく、HVNCセッションが行われている強力な兆候となります」と著者らは記しています。
Varonisの脅威ハンターはこれまでにも、AIを活用した他のマルウェアを発見しています。オールインワン型のフィッシングキット「Bluekit」や、メール攻撃ツール「SpamGPT」などです。
「これは大きなトレンドです」とケリー氏は語ります。「サイバー犯罪者はAIを組み込むための独自の手法を数多く見出しており、それによって自分たちの作業を大幅に楽にしています。これは非常に厄介な問題です」 ®
