Xenoの偽Robloxチートが、DiscordやフォーラムでJava製の強力な情報窃取マルウェアを配布

正規ツールを探すプレイヤーを直接狙うマルウェアキャンペーンが、人気のRobloxスクリプト実行ツール「Xeno」の「検出回避版」を装って拡散しています。

各種ゲーミングフォーラムやDiscordコミュニティを通じて宣伝されているこの偽チートは、多段階のJava感染チェーンを起動し、あからさまな場所に潜伏する形で発見を逃れようとします。構成要素は本物のXenoファイルを模倣し、Windows風のファイル名を使い、Xbox Game Bar（旧Microsoft GameDVR）に関連するフォルダを含む、信頼できそうなディレクトリの中に隠れています。

最終的なペイロードは、一般的な認証情報窃取の域をはるかに超えています。ブラウザのCookie、Discord・Roblox・Minecraftのアカウント、暗号資産ウォレットのデータ、決済情報まで盗み出すことが可能です。

より汎用的な情報窃取ツールとは異なり、このマルウェアはキー入力の記録、Webカメラへのアクセス、被害者のデスクトップのストリーミング、ファイル操作、PowerShellコマンドの実行も行え、攻撃者に感染端末への対話的な制御権を与えます。

新たに特定されたコマンド&コントロール(C2)インフラと機能の拡張は、以前Powercatとして報告されていたこのマルウェアが、依然として活発に開発が続けられていることを示唆しています。

Roblox関連のチートは子供や十代の若者を引き付けやすいため、このキャンペーンは特に懸念されます。家族で共有するパソコンに保存されたアカウント情報、プライベートな会話、Webカメラの映像、金融情報が流出する恐れがあるためです。

主な調査結果

• 攻撃者は、Robloxスクリプト実行ツールXenoの検出回避版を装い、ゲーミングフォーラムやDiscordコミュニティを通じてマルウェアを配布しています。
• このキャンペーンは、正規のWindowsコンポーネントやゲーミング関連コンポーネントを模倣したファイル、ディレクトリ、永続化の仕組みを備えた多段階のJava感染チェーンを使用しています。
• 最終的なペイロードは、情報窃取、監視、永続化、リモートアクセス、ファイル操作、コマンド実行を組み合わせたものです。
• 標的にはDiscord・Roblox・Minecraftのアカウント、ブラウザデータ、暗号資産ウォレット、決済関連トークンが含まれます。
• 研究者は新たなC2インフラと追加機能を確認しており、開発が継続されていることがうかがえます。
• セキュリティ上の知見によると、被害は年初から発生しており、3月後半にかけて活動が急増しています。

はじめに

ゲーミングコミュニティは、脅威アクターが潜在的な被害者にアプローチするうえで格好の環境となっています。プレイヤーはフォーラムやDiscordサーバー、ファイル共有サイトを通じて、MODやスクリプト、非公式ツールを頻繁にやり取りしているためです。

攻撃者はゲーマーのこうした習慣を熟知しています。限定機能や性能向上、アンチチートシステムの回避能力を謳うツールやチートにマルウェアを偽装することで、この行動パターンを悪用できるのです。

Bitdefenderのセキュリティ研究者は、Robloxなどのゲーム向けチートを探しているプレイヤーを狙ったマルウェアキャンペーンを発見しました。このキャンペーンは、アクションの自動化やカスタムスクリプトの実行に使われる人気のRobloxスクリプト実行ツール「Xeno」になりすましています。

こうしたツールはゲームクライアント側で頻繁に検出・ブロックされるため、「検出回避」を謳うバージョンは、この制限を回避したいユーザーにとって特に魅力的に映る可能性があります。

悪意あるパッケージは、運営者自身によって、あるいは乗っ取られたりなりすましたりしたアカウントを通じて、フォーラムやDiscordコミュニティで宣伝されています。

感染チェーン全体を通じて、マルウェアは正規ツールを装う体裁を保とうとします。構成要素はXenoのインストールファイルを模倣し、後続の段階ではWindows風のDLL名や信頼できそうなディレクトリ、画面表示関連の永続化エントリを使用します。

マルウェアの最終段階は、アンチ解析・アンチサンドボックス技術を用いる高度な情報窃取型リモートアクセス型トロイの木馬(RAT)であり、セキュリティ研究者による解析を強く回避しようとします。

ブラウザのCookie、Discord・Roblox・Minecraftといった個人アカウント、そして金銭的被害につながりかねない決済関連情報を盗み出すことができます。

ThreatLockerの研究者は、このキャンペーンを以前「Powercat」という名称で報告していました。今回の調査では、追加のC2ドメインと機能が新たに判明しており、このマルウェアが現在も活発に開発され、サイバー犯罪活動で使用され続けていることがうかがえます。

このキャンペーンは年初から利用者に影響を与えており、3月後半にかけて活動が大幅に増加、その後も比較的一定の感染率を維持しています。

初期アクセス：偽Xenoチートと第1段階の実行

初期アクセスの段階では、ユーザーはXenoなど、Roblox向けに広く使われているチートソフトを装った偽物をダウンロードするよう誘導されます。ソフトウェアパッケージは、展開・実行手順を含むアーカイブの形態、または自動展開・環境準備を行う自己解凍アーカイブの形態で提供されることが多いです。

これらのアーカイブは、正規のXenoインストール環境に似せたディレクトリ構造を採用しています。ファイル名は、Robloxチートソフトを期待するユーザーに対してパッケージを本物らしく見せるよう選定されています。一部のファイルは実際にXenoのインストールから取得したLUAスクリプトですが、RbxAnalytics.pngのような他のファイルは、ジャンクデータを含むわずか10バイトの小さなファイルにすぎません。

その後、ユーザーは%LOCALAPPDATA%\Xeno\workspace\cache\xeno.exeにあるメインの実行エントリーを起動するよう案内され、期待通りのゲームチートが起動すると信じ込まされます。しかし実際には、これは正規のXenoバイナリではなく、それになりすましたマルウェアの第1段階です。

まずxeno.exeは、%LOCALAPPDATA%\Java\jre\bin\javaw.exeにJava実行ファイルが存在するかどうかを確認します。ファイルが存在しない場合は、埋め込まれたPowerShellコマンドを使い、instance.exeという名前のアーカイブからそのパスへJavaランタイム環境(JRE)を展開します。

powershell -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -Command \"Add-Type -AssemblyName System.IO.Compression.FileSystem;[System.IO.Compression.ZipFile]::ExtractToDirectory(...)

この初期の探索フェーズの後、情報窃取マルウェアは主要な標的の一部に対して専用の関数を使用します。

情報窃取マルウェアは、Exodus暗号資産ウォレットに対して1つの、ウォレット固有の攻撃を実装しています。

このロジックは、メイン関数によって生成される2つのスレッドで処理されます。1つ目のスレッドは、Exodusバージョン26.1.5がシステムにインストールされているかを確認します。ウォレットが存在する場合、マルウェアはapp.asarファイルを展開し、アプリケーションのファイルに2つの小さなJavaScriptスニペットを注入したうえで再パッケージします。

一方のスクリプトはウォレットのサンドボックス化とコンテキスト分離の設定を変更し、もう一方はウォレット関連のバッファをユーザーのホームディレクトリにあるSquirrelInteractive.binという名前のファイルに記録します。

このアプローチから、マルウェアは単に静的なウォレットファイルを探しているのではなく、ローカルのExodusアプリケーションそのものに積極的に手を加え、実行時の機密データを露出させようとしていることがわかります。2つ目のスレッドは、SquirrelInteractive.binの存在を定期的にチェックします。

このファイルが存在する場合、記録された内容を解析し、有効なトークンを抽出してC2サーバーへ送信します。

ブラウザからの情報収集については、マルウェアは対応する各ブラウザ用にカスタムクラスを定義しており、CookieやユーザーデータなどのCookieなど価値の高い情報が保存されている固有のパスも把握しています。

マルウェアが認識対応するブラウザは、Brave Browser、Chrome、Edge、Opera、Opera GX、Vivaldiです。

Discordトークンの窃取は2段階で行われます。まず、マルウェアはブラウザのCookieをチェックし、discord[.]comに関連付けられた保存済みトークンを探すとともに、ブラウザのSQLiteデータベースに保存された情報を抽出します。

その後、Discord APIを使ってログイン中のアカウントに関する情報を取得しますが、これには保存済みの決済方法も含まれます。

RobloxとMinecraftのCookieも処理され、アカウント情報やログイン情報の取得に使われます。Minecraftについては、マルウェアは複数のランチャーを識別し、それぞれが保存する機密情報を抽出できます。

既知のランチャーはFeather、Lunar、Meteor、Modrinth、Prism、そして公式のMinecraftランチャーです。

最後に、このマルウェアはMicrosoft Storeのログイン情報からトークンを抽出し、保存されている決済情報の窃取を狙うこともできます。Token BrokerやCacheディレクトリ内の.tbresファイルを探し出し、その内容からトークンの開始を示すパターンを検索します。

発見された有効なトークンはすべてC2サーバーへ送信されます。

被害者への影響

このマルウェアは、攻撃者に保存済みの個人情報とリアルタイムの活動状況の両方へのアクセスを与えるため、被害者のプライバシーに深刻な影響を及ぼしかねません。

ブラウザのCookie、アカウント認証情報、暗号資産ウォレットのデータ、決済関連トークンを盗み出すことに加え、キー入力やマウス動作の記録、スクリーンショットの取得、デスクトップのストリーミング、Webカメラへのアクセス、ファイルのリモート閲覧・改変も可能です。

これらの機能が組み合わさることで、攻撃者はプライベートな会話を盗み見たり、機密性の高い画像や文書を収集したり、被害者になりすましたり、オンラインアカウントを乗っ取ったり、場合によっては金銭的損害を与えたりすることが可能になります。

リモートアクセスとコマンド実行の機能があるということは、情報窃取という初期段階を超えて侵害が継続しうることも意味しており、データ破壊につながったり、運営者が感染システムを他のサイバー犯罪活動に利用したりする恐れがあります。

結論

ゲーム関連のおとり手法は、優位性の獲得や制限された機能へのアクセス、アンチチート検出の回避といったユーザーの関心を突く手口であるため、依然として有効です。

今回のキャンペーンでは、攻撃者はRobloxスクリプト実行ツール「Xeno」を巧妙に模倣し、ゲーミングコミュニティで一般的に利用されるチャネルを通じて宣伝しました。見慣れたファイル名、コピーされたスクリプト、正規に見えるディレクトリ、Windows関連の永続化名称により、悪意ある目的を隠しつつ感染チェーンが本物らしく見えるようになっています。

配布されたマルウェアは、典型的な認証情報窃取ツールをはるかに上回る能力を備えています。最終段階では、ブラウザとアカウントの窃取に加え、暗号資産ウォレットの標的化、決済トークンの収集、キーロギング、スクリーンショット取得、Webカメラへのアクセス、デスクトップのストリーミング、ファイル操作、PowerShellコマンドの実行、対話型シェルアクセスが組み合わされています。

永続化と自己更新機能により、運営者は感染システムへの制御を維持し新バージョンを展開できるほか、新たに確認されたインフラや機能は、このキャンペーンが依然活発で、進化を続けていることを示しています。

ユーザーは、有効なセキュリティ対策と慎重なオンライン行動を組み合わせることで、リスクを低減できます。

最新のエンドポイント保護、レピュテーションベースのブロック、アプリケーション制御ポリシー、多要素認証、ソフトウェア実行の制限は、攻撃の多くの段階を防止または抑制できます。

しかし、最も効果的な第一の防御策は、非公式のチートや実行ツール、特に信頼できないウェブサイト、アーカイブ、フォーラム、あるいは望んでいないDiscordメッセージ経由で配布されるものを避けることに変わりありません。

実行前にこうしたおとり手口を見抜くことで、アカウントの乗っ取り、金銭的損失、システムの完全な侵害を防ぐことができます。若いユーザーとゲーム関連の一般的な詐欺について話し合うことも、感染リスクを大幅に下げる助けになります。

侵害指標(IoC)

本記事は情報提供および教育を目的として公開されています。記載内容はBitdefender Labsが実施した技術調査および公開されている情報源に基づいています。Bitdefenderは、ここで説明されている活動に関して法的な判断を下すものではありません。企業、ブランド、ドメイン、個人への言及は、違法行為への関与を主張するものではありません。読者は自身の判断で行動し、本記事に記載された活動によって被害を受けたと考える場合は、しかるべき機関または法律の専門家に相談してください。本記事に記載されているドメイン名およびURLは、消費者およびセキュリティ専門家が潜在的に有害なインフラを特定する助けとなることのみを目的として提供されています。Bitdefenderは、本記事の情報に基づいて取られた行動について一切の責任を負いません。