Lampionマルウェア、多段階フィッシングと750MBのRATペイロードでポルトガルのユーザーを標的に

ポルトガルのユーザーを侵害するために、現地化されたフィッシングの手口を悪用する高度な標的型のLampionマルウェアキャンペーンが確認されました。

この活動は、2019年に初めて確認されたブラジル発祥のバンキング型トロイの木馬が継続的に進化していることを示しており、同マルウェアは一貫してブラジル国内の標的ではなく、ポルトガル語話者の被害者を狙ってきました。

最新のキャンペーンでは、攻撃者は支払い領収書や事務連絡といった日常的な業務連絡を装った、説得力のある金融機関を騙るフィッシングメールを悪用しています。

メールはポルトガル語で作成されており、信憑性を高めるために本物らしい業務署名、機密保持に関する免責事項、ブランド要素が含まれています。

感染は、約1.3MBに膨張したHTMLファイルを含むZIPアーカイブの添付から始まります。このファイルは、静的検出の仕組みを回避するために、意図的に無意味なマークアップとランダムな文字列で水増しされています。

ファイルを開くと、HTMLはポルトガルで広く利用されているオンラインサービスポータル「SAPO」のブランドを悪用した偽のファイル転送インターフェースを表示し、被害者にコンテンツを操作させるよう仕向けます。

このインターフェースの裏側では、埋め込まれたJavaScriptが攻撃者の管理下にあるインフラストラクチャからリモートペイロードを取得することで、次の段階を開始します。

確認されたURLの一つは、難読化された文字列から復元されたもので、hxxps://fat-contabislitaca[.]com/js/1898.phpを指しています。このスクリプトは、ダウンロードしたコードをブラウザセッションに動的に注入するため、すぐに不審と判断されるファイルをディスクに書き込むことなく実行できます。

第2段階では、大幅に難読化されたVisual Basic Script(VBS)のペイロードが導入され、そのサイズはしばしば7MBを超えるにもかかわらず、実際に機能するコードはごくわずかしか含まれていません。

これらのスクリプトは、「Comprovativo_Junho」のように、フィッシングの手口に合わせた命名規則を維持しており、正規のものであるという錯覚を強めています。

実行されると、VBSはスケジュールタスクを作成して永続化を確立し、システムの一時ディレクトリ内にさらなるダウンローダースクリプトを生成します。

感染チェーンの最終段階は格段に複雑で、難読化を解除したロジックは約1,000行に及びます。WMIを介して単一インスタンスでの実行を強制し、競合するスクリプトを削除したうえで、BIOSやGPU、ホスト名といったシステム属性から導出される固有の被害者識別子を生成します。

Acronis Threat Research Unit(TRU)は、GBhackersと共有したレポートの中で、CheProマルウェア系統に由来する活動中のLampionを確認したと述べています。同マルウェアは、モジュール式の多段階感染アーキテクチャと、解析回避のための難読化への強い依存で知られています。

このマルウェアは、上記の識別子を用いてコマンド&コントロール(C2)サーバーと通信し、アンチウイルスソフトの有無やシステムのメタデータを含む符号化されたテレメトリを送信します。

Lampionマルウェア、ポルトガルを標的に

この段階の重要な特徴は、ペイロードを分割配信する仕組みです。マルウェアは、HTTPレンジリクエストを使用して、DLLベースのリモートアクセス型トロイの木馬(RAT)である最終ペイロードを10MBのセグメント単位でダウンロードします。

これらの断片は、ADODB.Streamを使ってローカルで再構成された後、rundll32経由で実行され、エクスポートされた関数「jangadeiro」が呼び出されます。これはマルウェアがブラジル発祥であることと一貫性のある名称です。

特筆すべき点として、最終ペイロードは約750MBという異例の大きさに達します。分析によれば、これは主に機能の複雑さではなく過剰な無意味データの水増しによるものであり、サンドボックス解析や自動解析システムを妨害するための手法とみられます。

セキュリティチームは、ZIPで配信される不審なHTML添付ファイル、異常なVBS実行チェーン、そして大容量のHTTPレンジベースのダウンロードを監視する必要があります。

同様の巨大化したローダーは過去のLampionキャンペーンでも確認されており、一貫した解析対策戦略がうかがえます。

テレメトリデータによると、検出の94.6%がポルトガルに集中しており、スペインと英国でもわずかな波及が確認されています。

Dictionaries& Encyclopedias

この地理的な偏りは、現地の言語と信頼されたブランドへのなりすましを活用することで感染成功率を最大化する、高度に標的を絞ったキャンペーンであるという評価を裏付けています。

今回のLampionキャンペーンは、金銭目的のマルウェア活動における広範な傾向、すなわち精緻なソーシャルエンジニアリングと多層的な技術的難読化を組み合わせる手法を浮き彫りにしています。

実行を複数の段階に分割し、ペイロードのサイズを膨張させることで、攻撃者は従来型の検出手法に依存する防御側の可視性を大幅に低下させています。

SAPOのような信頼されている地域ブランドの悪用が続いていることは、技術的な対策と並んでユーザーの意識向上の重要性を浮き彫りにしています。

侵害指標(IoC)

注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐために意図的に無害化(defang)されています(例: [.])。再有効化(re-fang)は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。

2026年のAI SOCに求められる機能とは?完全チェックリスト : AI SOC機能チェックリストをダウンロード