悪意あるキャンペーンが、Xenoスクリプトエグゼキューターの偽の「検出回避」版を使ってRobloxプレイヤーを狙っています。ゲーミングフォーラムやDiscordコミュニティを通じて拡散されているこのインストーラーは、チート機能を提供するように見せかけながら、実際にはJavaベースの情報窃取型マルウェアおよびリモートアクセス型トロイの木馬(RAT)を送り込みます。
研究者らの調査によると、このマルウェアは500ミリ秒ごとにスクリーンショットを撮影し、攻撃者が制御するサーバーへ送信できることが判明しています。これにより、デスクトップの様子がほぼリアルタイムで送信され続ける状態が作られます。
さらに、キーストロークの記録、マウス操作の監視、Webカメラへのアクセス、アカウント情報の窃取、そしてリモートコマンドの実行も可能です。
攻撃者は、正規版Xenoのディレクトリ構造とファイル名をそのまま模倣した、説得力のあるXenoテーマのパッケージを使用しています。
一部のファイルは本物のLuaスクリプトですが、それ以外は無害に見えるおとりファイルで、アーカイブ全体を本物らしく見せる役割を果たしています。
被害者は、%LOCALAPPDATA%\Xeno\workspace\cache配下のフォルダにあるxeno.exeを実行するよう指示されます。
しかしこのファイルは、Robloxのチートツールを起動するのではなく、マルウェアの第一段階のローダーとして動作します。まずJavaがインストールされているかを確認し、必要であればJavaランタイム環境(JRE)をローカルディレクトリへひそかに展開します。
続いてローダーは、XenoIcon.jpgというファイル内に隠されたデータを読み込み、decompiler.exeに偽装した第二段階のJavaアーカイブを起動します。
この段階では、コンピューターに関する情報の収集、デバッグツールの有無の確認、セキュリティサンドボックスや仮想マシンの検出が試みられます。
マルウェアは、システムのディスク容量、ネットワークアダプター情報、レジストリエントリ、実行中のプロセスなど、分析環境でよく見られる痕跡をチェックします。
対象システムがサンドボックスであると判断した場合、マルウェアはそれ以上の実行を停止することがあります。
これらのチェックを通過すると、第二段階のプログラムはコマンド&コントロール(C2)インフラに接続し、別のペイロードを取得します。
最終的なJavaコンポーネントは%LOCALAPPDATA%\Microsoft\GameDVRに書き込まれます。これはWindowsのゲーム関連コンポーネントに似せたディレクトリ名です。またDLLに似せたファイル名を用いることで、不審に見えないよう工夫されています。
このマルウェアは、Windowsの「Run」レジストリキーに「Display Calibration」という名前で登録し、永続化を実現します。これにより、ユーザーがログインするたびに再起動される仕組みになっています。
研究者らはまた、運用者が既存のペイロードを新しいバージョンに差し替えられるアップデート機能も確認しています。
新たに確認されたインフラや機能拡張から見て、以前Powercatとして追跡されていたこの攻撃活動は、現在も活発に開発が続けられているとみられます。
最終的なペイロードは、一般的な認証情報窃取マルウェアよりも危険性が高いものです。
Discord、Roblox、Minecraftのアカウント情報も標的にしています。このマルウェアは、ブラウザのデータベースからDiscordのトークンを検索し、アカウント詳細を取得したうえで、決済関連の情報も収集できます。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的にディフェング処理(例: [.])を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。
ANY.RUNのブラウザ内データ解析で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを短縮
翻訳元: https://cyberpress.org/fake-roblox-cheats-stream-desktops/
