AtlasRATが4段階のメモリ内ローダーでキーロギングとWeChatへのマルウェア注入を実行

AtlasRATは、モジュール式のWindowsリモートアクセス型トロイの木馬です。4段階の完全メモリ内ローダーチェーンを使い、TLSとChaCha20で保護されたコマンド&コントロール通信を静かに確立し、オフラインでキーストロークを記録します。

攻撃者は悪意のあるDLLをWeChatに注入し、このチャットクライアントを侵害済みホスト上で長期間持続する監視・制御の足がかりへと事実上変えてしまいます。

起動されると、この第1段階は暗号化された第2段階のPEを、従来型のディスク上の痕跡を残すことなく復号・ロードします。これにより、静的なアンチウイルス検知の難易度が直ちに高まります。

続いて第2段階では、Base64、XOR、AES-256-CBCを用いて複数の暗号化フラグメントから1,374バイトのx86ダウンローダー・シェルコードを再構築し、チェーンの次のステップを完全にメモリ上で組み立てます。

このダウンローダー・シェルコードは、ハードコードされたC2エンドポイントに接続します。公開されている報告によれば、このエンドポイントは香港と韓国周辺に集中するIPアドレスとして特定されています。そして次のローダーをメモリへ手動でマッピングします。

そこからチェーンはServiceRunというエクスポート関数を呼び出し、最終的にAtlasRATの最終ペイロードであるMainDll.dllへ実行権を渡します。

全段階を通じて、ディスク上の活動は最小限に抑えられています。各コンポーネントはRAM上での展開・復号・制御の受け渡しに徹しており、これは従来型のファイル中心の検知を回避するために明確に設計されたものです。

MainDll.dllは32ビットのRATコアであり、AtlasRATの侵害後の各種機能を支える中核です。埋め込まれた自己署名証明書を使ってTLSクライアントセッションを初期化しますが、この証明書は「CN=update.microsoft.com, O=Microsoft Corporation」になりすましたもので、さらにChaCha20暗号化でラップし、ネットワーク検査ツールからの通信解析をより困難にしています。

この暗号化されたチャネル上で、マルウェアはモジュール式のプラグインアーキテクチャを実装しています。攻撃者はリモートからプラグインをロード・実行したり、任意のファイルをダウンロード・実行したり、プロセスの一覧を取得したり、プロセスの終了操作を行ったりできます。

アンチマルウェアソフトウェア

ASECの研究者によれば、分析対象となったAtlasRATのチェーンは、AGE Flash Playerのインストーラー（FlashPlay.exe）を装ったDelphi実行ファイルから始まります。これは無害に見えるよう設計されており、メモリ内PEローダーとして動作します。

このペイロードはオフラインでのキーロギングに対応しており、ホストがネットワークから切断されている状態でもキーストロークをローカルに保持し続けます。また、被害システムの防御態勢を把握するため、セキュリティ関連の実行ファイル33種を列挙します。

AtlasRATが用いる4段階のメモリ内手法

注目すべき点として、AtlasRATはWeChat.exeに対してリモートのLoadLibraryWベースのDLL注入を行い、CreateRemoteThreadを使ってこの人気メッセージングクライアントを乗っ取り、その長時間持続するセッションに便乗して隠密の監視やデータ窃取の可能性を実現します。

persistence86.dllという専用の永続化プラグインは、WindowsのBITSデータベースを改ざんしたり、ログオン時の永続化のためにNTUSER.MANを悪用したり、CMSTPLUAとレジストリハイジャックを通じてUACをバイパスしたりできます。これにより、標準的な対策への耐性がさらに強化されています。

AtlasRATに関する公開情報による分析は依然として限られており、確認されている技術的な報告は主にAhnLabのASECチーム、Hexastrike、Proofpointによるものです。これに加えて、Mallory.aiによるAtlasファミリーの追跡や、地域の脅威インテリジェンスブログでの言及があります。

180日間のVirusTotalレトロハントでは、146個のユニークなサンプル、6つのバージョン管理されたPDBビルド、開発環境の2つのユーザー名、27種類のヒューリスティック系統が発見されました。これは、単独の攻撃者による使い捨てツールというより、ビルダーに支えられた商業的または非公開で配布されるマルウェアフレームワークにより近いエコシステムであることを示しています。

ProofpointはAtlas RATの使用を、人事・財務をテーマにした誘導手法を展開する中国語話者のサイバー犯罪クラスターであるTA4922に帰属させており、RomulusLoaderやSilentRunLoaderといったローダーとの関連も指摘しています。

一方Hexastrikeは、武器化されたVPNインストーラーを経由したSilver Foxの犯罪クラスターと、AtlasRAT類似の手口、および関連するAtlasCross/AtlasCRキャンペーンとを結びつけています。

ただし、現時点の証拠は状況証拠にとどまっており、Silver Foxとこの4段階ローダーチェーンの背後にいる攻撃者が同一であると断定するには不十分です。

参照元のレポートは明確な防御策の手順書までは示していませんが、豊富な検知の手がかりを提示しています。BFuckまたはSFuckという8バイトのハンドシェイクマーカーを含むTLSセッション、150.158.50.175:443のようなAtlasRATのC2ノードへの接続などです。

そのほか、Microsoftを装った埋め込み自己署名証明書のフィンガープリント、offline.ini、MODIf.html、AtlasPro.ini、Wxfun.dll、persistence86.dllに関連するパスといったファイルシステム上の痕跡も手がかりとなります。

エンドポイントのテレメトリは、WeChat.exeへのリモートLoadLibraryW注入、信頼されていないプロセスからのCreateRemoteThreadの活動、BITSおよびNTUSER.MANに対する不審な操作を検知できるよう調整すべきです。

したがってAtlasRATは、単一のペイロードとしてではなく、モジュール式のビルダーベースのフレームワークとして理解すべきです。x86/x64の並行した系統、反復的な再コンパイル、専用の永続化モジュール、バージョンをまたいだ段階的な証明書の導入といった特徴を備えています。

こうした状況を踏まえると、狭い範囲での攻撃者特定を急ぐよりも、その開発・配布インフラや、TA4922および潜在的なSilver Fox関連キャンペーンとの接点を把握するほうが、戦略的にはるかに価値があります。特に、このフレームワークが東アジアや欧州の標的にわたって進化・拡散を続けている現状ではなおさらです。

IOC（侵害指標）

注記： IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無害化表記（例: [.]）にしてあります。再度有効な形式に戻すのは、MISP、VirusTotal、SIEMなどの管理された脅威インテリジェンスプラットフォーム内に限定してください。

100万ドルのデータ侵害保証は本物の補償なのか？： 無料の「AI SOC侵害保証ガイド10のポイント」をダウンロード

データ侵害対応