新たに確認されたRemus情報窃取型マルウェアのキャンペーンでは、クラック版ソフトウェアを謳うSEOポイズニングされたウェブサイトを利用して感染を広げており、トルコ語のダウンロード誘導文言から、トルコの被害者を主なターゲットにしている可能性が高いとみられています。
このマルウェアはブラウザデータ、ゲームセッション、FTP認証情報、クリップボードの内容、スクリーンショット、メールストレージファイルなどを窃取します。
今回のキャンペーンが注目される理由は、Remusがハードコードされたコマンド&コントロール(C2)ドメインのみに依存していない点にあります。代わりに、イーサリアムのスマートコントラクトに問い合わせて現在のC2アドレスを取得する「EtherHiding」と呼ばれる手法を用いています。
この手法により、攻撃者はインフラを柔軟にローテーションできるようになり、従来型のドメインテイクダウンの効果を弱めることが可能になります。Remusはこれまでも、Lummaから派生した64ビットの情報窃取型マルウェアであり、ブロックチェーンベースのC2解決を利用することが報告されてきました。
研究者のDor Levy氏とBrian Janower氏は、クラック版の生産性向上ソフトウェア、ゲーム、アプリケーションになりすました悪意あるウェブサイトのネットワークを通じてRemusが配布されているのを観測しました。
ある誘導サイトはクラック版PDFリーダーのアーカイブを装い、その名前に「İndir – Full」という文言を使用していました。「İndir」はトルコ語で「ダウンロード」を意味し、「Türkçe」や「Yama」もトルコの海賊版関連の検索語やソフトウェア一覧でよく使われる言葉です。
これらのウェブサイトは、単一目的のマルウェア配布ページというより、本格的な偽海賊版販売サイトとして機能しているようです。
クラック版とされるゲームやパッチ適用済みアプリケーション、その他のソフトウェアのカタログをホストしており、検索エンジン経由でユーザーに発見される可能性を高めています。
配布元となっているドメインの中にはオープンディレクトリになっているものが複数あり、報告によれば2026年7月27日という直近の日付でも新しいマルウェアサンプルがアップロードされていました。
被害者がZIPファイルを解凍し、実行ファイルを起動すると、RemusはCREATE_REMOTE_THREADという手法を使って、実行中のChromiumベースのブラウザプロセスにコードを注入します。
パスワードマネージャー、仮想通貨ウォレットのブラウザ拡張機能、一般的なFTPクライアントに属するローカルデータを探索します。
このマルウェアはGetClipboardDataを通じてクリップボードの内容を取得し、CreateDesktopWで作成した隠しデスクトップからBitBltを使ってスクリーンショットを撮影します。
このステーラーはさらに、Documentsフォルダ内にあるOutlookのPSTファイルなど、企業のメールストレージファイルも列挙します。この挙動はデータ窃取を目的としている可能性がありますが、既知のテストファイル名を通じてRemusがサンドボックス環境やハニーポット環境を識別する手助けとなっている可能性もあります。
さらに、このマルウェアは侵害したシステムからユーザー名、コンピューター名、ドメイン情報、権限情報を収集します。
Remusは固定のC2アドレスを埋め込む代わりに、ethereum-rpc[.]publicnode[.]comエンドポイントを通じてイーサリアムのスマートコントラクト0x999941b74F6bbc921D5174A5b29911562cd2D7CFに問い合わせます。
githubによると、返されるデータには稼働中のC2 URLが含まれており、これにより攻撃者は新しいマルウェアサンプルを配布することなくバックエンドインフラを更新できるとのことです(github)。
Remusに関する公開分析でも同様の仕組みが説明されており、マルウェアはハードコードされたイーサリアムコントラクトに対してJSON-RPCのeth_callリクエストを送信し、16進数エンコードされたレスポンスをデコードして、稼働中のC2サーバーを特定するとされています。
これより前の調査でも、記載されているコントラクトがfightwa[.]bizやchalx[.]liveを含むRemusのローテーション型インフラと関連していることが指摘されていました。gendigital+1
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/remus-hides-c2-on-ethereum/
