情報窃取型マルウェア(インフォスティーラー)は今や現代サイバー犯罪をつなぐ結合組織となり、静かに認証情報やセッションデータを収集しています。ランサムウェア集団は後にこれを使って企業ネットワークへ易々と侵入しているのです。
Darkowlが報告したところによると、インフォスティーラー型マルウェアがすでに鍵を渡してしまっているため、ランサムウェアの実行者はもはやファイアウォールを突破する必要すらありません。
収集作業が完了するたびに、その成果は1件の「ログ」としてパッケージ化されます。これは侵害された1台のデバイスを表すもので、そのまま丸ごと転売されることもあれば、企業向け認証情報セットや暗号資産専用バンドルといったプレミアム区分に細分化されて売られることもあります。
Deepstrikの研究者らの推計によると、インフォスティーラーは2025年だけで18億件の認証情報を窃取しており、これは直前の半年間と比較して800%の急増です。この数字は、この犯罪パイプラインが工業的な規模に達していることを裏付けています。
DarkOwlの指摘によれば、こうしたトークンの窃取や再利用は、攻撃者が侵害済みアカウントのMFA強制設定を解除した後、ランサムウェア配備の直前に確認される事例が相次いでいます。
トークン窃取は暗号学的なMFAを破るのではなく、そもそも迂回してしまう手口であるため、防御側の間では「MFAはログインの瞬間を守るものであって、その後のセッションを守るものではない」という見方が広がりつつあります。
ステーラーログは、最初に端末へ感染させた買い手の手元にとどまり続けることはほとんどありません。初期アクセスブローカーは大量のログダンプの中から企業VPNのログイン情報、シングルサインオン(SSO)トークン、ドメイン管理者権限の認証情報などをふるいにかけ、条件に合致するアクセス権を上乗せ価格でランサムウェアの実行アフィリエイトに転売します。
Verizonの「2025年版データ漏洩調査報告書(DBIR)」では、Webアプリケーションを狙った侵害の88%で盗まれた認証情報が関与していたことが判明しており、SSOポータルやクラウドサービスへのクレデンシャルスタッフィング攻撃が、その後によく見られる手口となっています。
DarkOwlの分析はこれを構造的な転換だと説明しています。インフォスティーラーの運営組織はランサムウェアさながらの専門分化とアフィリエイトプログラムを取り入れつつあり、認証情報窃取からネットワーク侵入への受け渡しを事実上工業化しているというのです。
継続的な法執行機関の圧力をもってしても、このエコシステムを縮小させることはできていません。2025年半ばのLummaC2摘発の後、市場シェアは急速にRhadamanthysを含む代替ツールへ移行し、その後VidarやACRStealer(Acreed)へと移りました。これらはセキュリティベンダーによって、2026年に入ってもなお活動中の主要ファミリーの一角として追跡され続けています。
2026年6月には、複数のマルウェア発生源から収集された5,600万件のユニークなメールアドレスにまたがる、統合ステーラーログのコーパスが確認されました。これは、集約されたログが公開市場と犯罪市場の双方でいかに速く再流通するかを物語っています。
SOC調査の死角をなくし、脅威をより早期に封じ込めることで、ANY.RUNを使って対応コストと事業への影響を削減しましょう。
翻訳元: https://cyberpress.org/stealer-logs-fuel-ransomware-attacks/