ランサムウェアのハッカー、マルウェアの司令サーバーをEthereumスマートコントラクト内に隠蔽

ランサムウェア攻撃者集団が、Ethereumのスマートコントラクトをステルス性の高いコマンド&コントロール(C2)解決手段として悪用する手口が確認されました。Gentlemenランサムウェアの関連攻撃者が、EtherRATバックドアを使い、マルウェアにC2ドメインをハードコードするのではなく、ブロックチェーンから直接ローテーション式のC2ドメインを取得していたことが判明しています。

マルウェア除去サービス

今回確認されたツールキットからは、明確な攻撃の進行段階が見て取れます。PowerShellを起動させるスケジュールタスクの設置に始まり、特権アカウント(「support2」、パスワード「Supp0rt2@2026!」)の作成が行われています。

さらにLSASSおよびレジストリハイブのダンプ、ESETサービスの改ざん、そして横展開や最終的なランサムウェア展開に向けて準備された複数のトンネリング・リバースシェル型ペイロードも確認されました。

同一サーバーおよび77.110.122[.]にある副次的なオープンディレクトリについて、Huntressは以前、137番をThe Gentlemenの防御回避TTPにおけるプロキシインフラとして指摘していました。

Hunt.ioのIOC HunterおよびAttackCaptureのテレメトリは現在、これらのエンドポイントをSliverビーコン、SOCKSプロキシ、EtherRATの配信元と関連付けています。

このキャンペーンの中核をなすのがEtherRATです。これはNode.jsベースのリモートアクセス型トロイの木馬(RAT)で、MSIペイロード(cons_c1.0.1.msiおよびcons_1.0.1.msi)経由で配信され、リモートのスケジュールタスクを通じて大規模に展開されます。

cu.msiがcertutil.exeおよびmsiexec.exeを経由して実行されると、EtherRATはポータブル版Node.jsランタイムが未導入であればそれを準備し、XORエンコードされたバックドアを復号します。その後、「WindowsHost」という名前でRunキーによる永続化を確立し、ヘッドレスモードでconhost.exe経由でペイロードを起動します。

EtherRATは固定インフラを埋め込む代わりに、Ethereumスマートコントラクトと検索キー、セレクタをハードコードしておき、Tenderly、Flashbots、MEVBlocker、BlastAPI、PublicNode、drpc.org、merkle.ioといった複数の公開Ethereum RPCエンドポイントのプールに問い合わせを行うことで、現在のC2ドメインを解決します。

C2のローテーションはすべてブロックチェーン上に恒久的に記録されます。これにより攻撃者側は低コストでテイクダウンに強い機動力を得られる一方、防御側にとっては過去のすべてのドメインを記録した履歴台帳が手に入ることになります。

今回の攻撃では、コントラクトから5つの連続したC2(publisherresolution.com、resumeacceptable.com、simultaneouslypower.com、wiselystarting.com、itemrange.com)が明らかになっており、これはnpmエコシステムのサプライチェーン攻撃や他のEthereum活用型マルウェアで過去に確認されているEtherHiding型キャンペーンと同様の手口です。

Hunt.ioの研究者らによると、193.233.202[.]17上で発見された露出済みのオープンディレクトリから、Gentlemenランサムウェアの関連攻撃者が活動中の様子が捕捉されました。ここには82個のローカルアーティファクト(容量145MB)が含まれており、Windowsドメインに対する侵入の全経路を再構築することができました。

EtherRATのC2プロトコルは、従来型のコマンド体系を採用していません。ビーコン通信は無害な静的アセットへのリクエストを装い、パスや拡張子(png、jpg、gif、css、ico、webp)もランダム化されています。

Ethereumスマートコントラクト

パラメータ(「id」「token」「key」「b」「q」「s」「v」)が使用される一方、カスタムのX-Bot-Serverヘッダーが解決済みのコントローラーを識別する指標となっており、これは他のEtherRATや北朝鮮関連のキャンペーンでもすでに確認されているものです。

10文字を超えるHTTPレスポンスはすべてJavaScriptのソースコードとして扱われ、require、process、Buffer、ファイルシステムのパス、consoleへのアクセス権を持つ動的に構築された非同期関数を通じて実行されます。

この設計により、攻撃者は感染ホスト上で任意のコード実行が可能になるほか、インプラントを再配備することなく機能を継続的に拡張でき、さらに挙動面での特徴も一段と分かりにくくなっています。

EtherRATはまた、ローカル設定ファイルおよびsvchost.logのテレメトリに保存されたUUIDベースのボットIDを通じて識別情報を永続化しており、これにより侵害されたホストはセッションをまたいで一貫して追跡可能な状態が維持されます。

このオープンディレクトリから明らかになったのは、EtherRATが密に構築されたC2網の一層に過ぎないという事実です。inject_sliver.ps1経由で動的に取得されメモリ上で実行されるSliverのシェルコードは、TLS経由で193.233.202[.]17へビーコン通信を行います。

VOCATIONAL_GORILLAプロファイルが使用される一方、複数のGoバイナリ(pb39_new.exe、update.exe、ws_stable.exe、ws35.exe、ws36.exe、ws_3srv.exe)が193.233.202[.]17、146.103.127[.]44、77.110.126[.]46への並行リバースシェルを実装しています。

ChiselおよびLigolo-ngは、C:\ProgramData\csvc.exeから193.233.202[.]17:22673へのSOCKS形式のトンネリングを提供しており、これにより攻撃者は市販のツールを使って被害者ネットワーク内をピボットすることが可能になっています。

回収されたバイナリとHunt.ioのテレメトリを手がかりにたどると、今回のキャンペーンはAS203273(NetCrafters OU)を中心にクラスタ化されており、過去にAEZAのASN範囲との関連も確認されています。さらに、同一のスマートコントラクトとMSIの命名規則を用いる第三のEtherRATクラスタが77.110.122[.]58上にも存在しています。

38.110.228[.]43および38.110.228[.]125にある追加のEtherRAT C2は、Gambit Securityが米国拠点のGentlemen事案で被害者のアーティファクトを露出させたVPSエンドポイントとして指摘した38.110.228[.]33と同一の/24ブロック内に位置しており、この点は帰属の裏付けとなるとともに、ブロックチェーンに固定されたC2と特定のランサムウェアエコシステムとの結び付きを補強するものです。

セキュリティ監査サービス

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、または自社のSIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。

2026年版 Agentic SOCバイヤーズガイドを活用すべき理由とは? 主要8プラットフォームを徹底比較 – 2026年版バイヤーズガイドをダウンロード