偽のXeno Executorインストーラーが、リモートアクセスを可能にし機密情報を盗み出すマルウェアを使って、無防備なRobloxプレイヤーに感染を広げています。
Xeno Executorは、プレイヤーが操作の自動化やチート行為を含むカスタムコードの実行に利用できる、Roblox向けの人気スクリプト実行ツールです。
このツールはゲームの公式機能ではないため、Robloxクライアント側が既存バージョンを定期的にブロックしており、開発者は検知を逃れる新バージョンのリリースを迫られています。
セキュリティ企業のBitdefenderは、年始からRobloxユーザーを狙うキャンペーンを確認しており、3月にかけて急増した後、落ち着きを見せています。
研究者らによると、偽のXenoはゲーミングフォーラムやDiscordコミュニティ、あるいは攻撃者が管理する乗っ取りアカウントやなりすましアカウントを通じてRobloxプレイヤーに宣伝されているとのことです。
攻撃者はこのマルウェアを「未検知」バージョンのXenoとして宣伝し、Robloxのアンチチート対策で検知されないバージョンを探しているユーザーを誘い込んでいます。
被害者は、偽のXenoインストーラーと説明書が入ったZIPアーカイブ、あるいは自動的にコンテンツを展開する自己解凍形式のアーカイブをダウンロードすることになります。
これらのパッケージを本物らしく見せるため、攻撃者は正規のXenoインストールと同じディレクトリ構造を再現し、本物のLuaスクリプトを一部含め、もっともらしいファイル名を使用しています。
被害者が指示通りに正規のXeno実行ファイルだと信じて「xeno.exe」を起動すると、実際には第一段階のマルウェアローダーが実行される仕組みです。
このペイロードはJava Runtime Environmentの有無を確認し、必要であれば展開した上で、攻撃者のコマンド&コントロール（C2）サーバー用の検証キーが記載されたローカルファイルを読み込みます。
続いて、「decompiler.exe」に偽装した難読化済みのJavaペイロードを起動し、環境チェックや被害者の登録処理を行った後、最終的なマルウェアペイロードをダウンロードします。
最終的なペイロードはJavaベースのRAT兼情報窃取マルウェアで、認証情報の窃取に加えて監視機能やリモート管理機能を備えています。
主な機能は以下の通りです。
- Chrome、Edge、Brave、Opera、Vivaldiからクッキーなどのブラウザデータを窃取
- Discord、Roblox、Minecraft、Microsoft Storeのトークンや、DiscordおよびMicrosoft Storeアカウントに紐づく決済情報を含む、オンラインアカウントや決済データを標的化
- 暗号資産ウォレットデータの窃取（Exodus Walletを専用に標的とする機能を持ち、他の多数の暗号資産ウォレットの識別にも対応）
- キーロギング、マウス操作の記録、スクリーンショット取得、デスクトップ映像のストリーミング、ウェブカメラアクセスといった監視機能
- ファイルのアップロード・ダウンロード、PowerShellコマンドの実行、対話型リモートシェルへのアクセスなど、完全なリモート制御機能
攻撃者に先んじて全レイヤーをテスト
セキュリティチームが記録できている攻撃成功事例は54%にとどまり、アラートが上がるのはわずか14%です。残りは検知されないまま環境内を通過しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションがSIEMやEDRのルールをどのようにテストし、脅威の見逃しを防ぐかを解説しています。
