サイバー犯罪フォーラムに、新たなマルウェア・アズ・ア・サービス(MaaS)「WARDEN」が登場しました。認証情報窃取、仮想通貨ハイジャック、ペイロード配信機能を、単一の高機能コントロールパネルにまとめたWindows向けインフォスティーラーとして売り込まれています。
「WardenStealer」というハンドルネームを名乗る運営者がこのプラットフォームを宣伝しており、運用の手間を最小限に抑えたデータ窃取・収益化の一連の仕組みを求める、トラフィッカーをはじめとする金銭目的の攻撃者を主なターゲットにしているとみられます。
KrakenLabsチームによると、WARDENはWindows向けの64ビット対応スティーラー・クリッパー・ローダーであり、単一の収益化手段に的を絞るのではなく、データ窃取とキャンペーンの自動化を組み合わせている点が特徴です。
販売者の主張によれば、各ビルドのサイズは500~600KBで、HTTPやJSONではなく独自の暗号化バイナリプロトコルで通信します。ビルドごとに異なる暗号鍵を用い、ログをチャンク単位でアップロードすることで、ネットワークセンサーによる検知を抑える設計になっているとのことです。
収集するデータの種類や、第2段階のペイロードに使用するURLといった設定は、バイナリを再ビルドすることなくリモートで変更できるとされています。また、Cloudflareを利用した「プライベート」および「共有」ゲートを備えており、主要エンドポイントがブロックされた場合には自動的にフェイルオーバーする仕組みも用意されています。
このスティーラーは、認証情報にとどまらず、クレジットカードや請求関連のデータ、さらにはメッセージングクライアント、VPNツール、加えて生産性向上ツールやゲームプラットフォームなどを含む330以上のデスクトップアプリケーションのデータも収集できると宣伝されています。
クリッパー機能は仮想通貨の窃取に特化しており、クリップボードを監視してBitcoin、Ethereumなどのウォレット形式を検知すると、攻撃者が管理するアドレスに置き換えます。さらに200を超える仮想通貨関連のブラウザ拡張機能も標的にし、ウォレット情報を直接抜き取ります。
このプラットフォームは、近年のスティーラー・ローダー系マルウェアのトレンドに沿った、より高度な攻撃手法も謳っています。
主張されている機能には、保護された認証情報ストアにアクセスするためのブラウザのApp-Bound Encryption(App単位の暗号化)の回避、ステルス性と永続性を高めるためのシステムプロセスへのコードインジェクション、そして解析者が使用する仮想マシンやサンドボックスを検知して早期発見を回避する機能が含まれています。
ローダーとしての機能も備えており、攻撃者が指定するURLから追加のマルウェアを取得・実行できるとされ、運用者は必要に応じてランサムウェア、リモートアクセス型トロイの木馬、あるいは別のスティーラーを連鎖的に展開できます。
運用者はログのフィルタリングと一括ダウンロードが可能で、価値の高い情報を捕捉した際にはTelegram通知を受け取れるほか、パスワード保護されたトラフィックレポートを生成でき、インターフェースは多言語対応となっています。
このマルウェアはWindows 7からWindows 11までの互換性が謳われている一方、CIS諸国とバルト諸国の被害者を除外するジオフェンシングポリシーがハードコードされており、これは東欧圏のサイバー犯罪エコシステム全般で繰り返し見られるパターンです。
価格設定は参入障壁を下げる方向で調整されており、運営者は3日間の無料トライアルに加え、公開レビューの投稿と引き換えにさらに4日間を提供するとしています。また「個人向け」サブスクリプションは月額349米ドルとされています。
すでに大量の侵害済みトラフィックを保有しているトラフィッカーにとって、認証情報窃取、仮想通貨に特化したクリッピング機能、ローダー機能を兼ね備え、さらに耐障害性の高いCloudflareホスト型ゲートやキャンペーン管理ツールまで揃うWARDENは、大規模な感染の収益化をワンストップで実現する選択肢となり得ます。
ただし現段階では、技術的な詳細、性能に関する主張、回避機能の保証はすべて脅威アクター自身のマーケティングに基づくものであり、第三者の研究者やインシデント対応チームによる独立した検証は行われていません。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への影響を削減しましょう。
翻訳元: https://cyberpress.org/new-warden-stealer-targets-330-apps/