Astarothの運用者はバンキング型トロイの木馬の配布手法を拡大し、WhatsApp Webを悪用することで被害者の信頼済み連絡先に悪意あるZIPファイルを自動送信するようになりました。
この新たに確認された機能は、感染したユーザーのWhatsAppアカウントをスパム配信チャネルへと変え、ブラジルを標的とするAstarothキャンペーンの信憑性と拡散力を高めています。
Astaroth(別名Guildma)は、少なくとも2015年から活動している長期にわたるラテンアメリカのバンキング型トロイの木馬兼情報窃取マルウェアです。
このマルウェアは従来、被害者を標的にする際にメールスパムと多段階の感染チェーンに依存していました。
しかし研究者らは、2025年第4四半期にAstarothのコマンド&コントロール(C2)サーバーがWhatsApp Web専用のスパムボットコンポーネントの配信を開始するという大きな変化を確認しました。
このコンポーネントは被害者のアクティブなWhatsApp Webセッションに密かにアクセスし、連絡先を収集した上で、各連絡先にZIP添付ファイル付きの個別化されたメッセージを送信します。このZIPアーカイブは、Astarothの追加コンポーネントを配信するよう設計されています。
今回のキャンペーンは主にブラジルを標的としています。研究者らは、ポルトガル語のメッセージテンプレート、ブラジル特有の電話番号フィルタリング、ポルトガル語話者向けに設定されたブラウザのリクエストヘッダーを確認しました。
既知の連絡先の侵害されたWhatsAppアカウントから悪意あるファイルを送信することで、攻撃者は通常のフィッシングメールよりも正当性の高いメッセージに見せかけることができます。
Astarothのスパムボットは32ビットのDelphi実行ファイルで、Astarothのコアマルウェアと関連する同一のDelphiEncryptionCompendiumライブラリを使用してAESで暗号化されています。
また、Astarothの過去のサンプルで確認されていた複雑な多段階の文字列難読化ルーチンも使用されており、この機能がAstarothの既存の運用者によって開発されたものであり、別の攻撃者から入手したものではないことがうかがえます。
動作を開始する前に、スパムボットは暗号化された設定ファイルを検証します。
このファイルにはマジックバリュー、Base64エンコードされた暗号化コンテンツ、そしてHMAC-SHA256による整合性チェックが含まれています。計算されたハッシュ値がファイルに埋め込まれた値と一致しない場合、マルウェアは動作を停止します。
検証が完了すると、設定ファイルは主要な動作設定を提供します。これには、ボットの有効/無効、メッセージ送信間隔、挨拶文テンプレート、メッセージ本文、ZIPペイロードのURL、ヘッドレスブラウザモードを有効にするフラグなどが含まれます。
このマルウェアはPowerShell経由で正規のブラウザ用WebDriverユーティリティをダウンロードします。Google ChromeとMicrosoft Edgeに対応しており、ブラウザのUser Dataプロファイルディレクトリを C:\Users\Public\Temp\ChromeAuto_<BROWSER_ID><DATE> のようなフォルダにコピーします。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(defang、例: [.])としています。再有効化(re-fang)は、MISP、VirusTotal、あるいは自社のSIEMなど、管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNでSOC調査の死角を減らし、脅威をより早い段階で封じ込めることで、対応コストと業務への影響を抑えましょう。
翻訳元: https://cyberpress.org/whatsapp-hijacks-spread-astaroth-malware/
