高度な難読化プロトコル
悪意あるペイロードは、ディスク上でもメモリ上でも見破られにくいほど長く潜伏できます。不正なCruciferra暗号化サービスは、複数の難読化手法を巧みに一つの枠組みへと統合しています。Proofpointがまとめたフォレンジックデータによると、複数の異なる脅威グループがこの仕組みを数十件のキャンペーンで積極的に活用しているといいます。これらの攻撃活動では、AsyncRAT、Agent Tesla、Remcos、XWorm、ValleyRAT、Snake Keyloggerなど、多様な脅威が拡散されています。
このツールは2025年秋以降、Exploitフォーラムで積極的に販売されており、悪意あるペイロードをコンパイル形式で内包します。そのため、セキュリティ製品はその内部構造を解読し、実行プロセスを無力化するのに大きな困難を強いられます。Proofpointの研究者は、実際の侵害から回収された実動サンプルに加え、動作確認用と見られる開発中の検体も発見しています。
侵入経路の内訳
初期侵害の経路としてよく見られるのは、正規の実行ファイルと悪意あるダイナミックリンクライブラリ(DLL)を含むZIP圧縮アーカイブです。正規のアプリケーションを実行すると、隣接するライブラリが意図せずサイドロードされます。このコンポーネントは実行環境を入念に検査したうえで、本来の動作ロジックを何百もの無意味な関数の中に隠蔽し、主要なペイロードの実行準備を整えます。
BYOVDによる侵害戦略
主要なペイロードを実行する前に、Cruciferraはエンドポイント保護ツールが持つ複数のテレメトリ層を系統的に無効化します。具体的には、このサービスはGoFlyDrv.sysという名称の、脆弱性を抱えた正規署名済みドライバーを投下します。そして、このコンポーネントを利用してセキュリティ関連プロセスを強制終了させます。業界のアナリストは、この手法を「Bring Your Own Vulnerable Driver(BYOVD)」攻撃と分類しています。この手口では、攻撃者は正規ではあるものの欠陥を抱えたドライバーを持ち込み、その高い権限を悪用して防御壁を回避します。
暗号の複雑性とプロセスゴースティング
基礎となるペイロードは、ファイル構造の目立たないセクション内に安全に格納されています。これは90種類以上のモジュール式かつ組み合わせ可能な構造スキームのいずれかによって復号されます。Cruciferraは、Keccak、Threefish、Feistelという各暗号アルゴリズムファミリーの構造的要素を組み合わせて、これらの暗号レシピを生成します。そのため、コンパイルされた個々の検体が同一の暗号署名を示すことはほとんどありません。
最終的な実行段階において、このプラットフォームは大幅にカスタマイズされたプロセスゴースティングの手法を実装しています。ソフトウェアは悪意あるコードを含む一時ファイルを生成し、その内容に基づいて新規プロセスを起動した直後に、ストレージ上の元ファイルを削除します。その結果、プロセスは揮発性メモリ領域上で存続し続ける一方、ディスク上には標準的なマルウェア対策製品が検査できるファイルが一切残りません。さらに追加の改変により、セキュリティシステムには無害化されたメモリレポートを読み込ませ、実際のメモリイメージと元の検体を照合する試みを効果的に妨害しています。
標的とキャンペーンの帰属
Proofpointは、一連の標的型攻撃活動を中国語圏の脅威グループ「TA4922」に帰属するとしています。4月下旬から6月上旬にかけて、この攻撃者はインド所得税局(Income Tax Department of India)を装った偽の誘導文言を用いてAsyncRATを配布しました。並行して展開された別のキャンペーンでは、米国社会保障局(Social Security Administration)からの公式通知を模倣したり、害虫混入に関する虚偽のホテル苦情を利用したりする手口も確認されています。
これまでに確認された標的は、主に銀行機関、医療ネットワーク、行政システムに集中しています。7月9日には、Cruciferraによって新たにパッキングされた検体が数分おきにVirusTotalデータベース上に出現しており、その運用規模の大きさを物語っています。
翻訳元: https://meterpreter.org/cruciferra-crypter-service/
