偽Xeno Roblox Executor、DiscordでPowercat Javaステーラーを配布

ゲームフォーラムやDiscordで現在出回っている「検出回避」を謳う偽Xeno Roblox Executorは、Powercat Javaステーラーを仕込む武器化されたローダーであることが判明しました。Powercatは多段階型のRAT兼インフォスティーラーで、Discord、Roblox、Minecraft、暗号資産ウォレット、決済トークンなどを標的とし、感染したWindowsシステムを完全に遠隔操作できるようにします。

攻撃者は、Roblox関連のフォーラムやDiscordコミュニティ、さらにはおそらく侵害または乗っ取られたアカウントを通じて、トロイの木馬化したXeno Executorを宣伝しています。アンチチート検知を回避できる未検出ビルドだとうたっているのです。

配布パッケージはZIPアーカイブまたは自己解凍形式で提供され、正規のXenoインストールを巧妙に模倣しています。本物のLuaスクリプトを流用し、もっともらしいリソース名や見慣れたディレクトリ構成を再現しているのです。

この巧妙な作り込みが重要な意味を持ちます。多くの場合子供や十代の若者であるプレイヤーたちは、単なるチートツールをインストールしていると思い込んでいますが、実際にはPowercatファミリーとして以前から報告されているJavaベースの感染チェーンを起動させてしまっているのです。

侵入の起点となるのは、%LOCALAPPDATA%\Xeno\workspace\cache配下に投下される偽のxeno.exeです。この実行ファイルは本物のRoblox Executorを起動する代わりに、ローダーとして機能します。

まず%LOCALAPPDATA%\Java\jre\bin\javaw.exeにJavaランタイム環境が存在するか確認し、存在しない場合はinstance.exeアーカイブから隠しPowerShellコマンドを使ってバンドル済みのJREを静かに展開します。これにより、通常のゲームユーティリティであるかのような外観を保ち続けます。

第1段階では、XenoIcon.jpgに埋め込まれた検証キーを読み取り、javaw.exeを呼び出してdecompiler.exeを装った第2段階のJARファイルを実行します。

このJARファイルはAllatoriによって強力に難読化されており、JVM引数やデバッガー、サンドボックスの痕跡を調べる解析回避ルーチンを備え、C2サーバーであるsolthere[.]netのエンドポイントに接続して被害者情報を登録し、暗号化されたペイロードを取得します。

環境が「安全」と判定されると、C2は第3段階のペイロードを返します。このペイロードは%LOCALAPPDATA%\Microsoft\GameDVR配下に、正規のWindowsコンポーネントに似せたDLL風の名前で書き込まれ、Xbox Game Bar/Microsoft GameDVRのディレクトリを悪用して紛れ込みます。

永続化は「Display Calibration」という名前のRunキーエントリを通じて確立され、Explorerのスタートアップ承認レジストリパス(StartupApproved)経由でスタートアップの許可が切り替えられます。これにより、ディスプレイ関連の名称の裏に隠れながら再起動後も生き残る仕組みになっています。

最終段階はJavaベースのステーラー兼リモートアクセス型トロイの木馬であり、単なる認証情報の窃取にとどまらない幅広い機能を備えています。

Discord、Telegram、主要ブラウザ、Roblox・Minecraftのランチャー、VPNクライアント、Exodus・Atomic・Cake Walletといった主要な暗号資産ウォレットなど「興味深い」ソフトウェアを体系的に列挙し、それぞれの標的に合わせた専用の収集ルーチンを展開します。

Powercat Javaステーラー

Bitdefenderのセキュリティ研究者らはマルウェアキャンペーンを特定しました。このキャンペーンは、Robloxなどのゲーム向けチートを探しているプレイヤーを標的としています。攻撃者は、自動化操作やカスタムスクリプトの実行に使われる人気のRoblox用スクリプトExecutor「Xeno」になりすましているのです。

セキュリティトレーニングコース

このマルウェアは、ディスクパーティションのサイズが20GBを超えているかどうかを確認し、エミュレートされたネットワークアダプターに関連する既知のMACアドレスを探し、レジストリやWMIから仮想マシンの痕跡がないかをチェックします。

Exodusウォレットのユーザーに対しては、バージョン26.1.5であるかどうかを特定してapp.asarを展開し、悪意のあるJavaScriptを注入してサンドボックス防御を弱体化させ、機密性の高いバッファをSquirrelInteractive.binに記録した上で、ウォレットトークンを解析してC2へ送信します。

ブラウザ関連のモジュールは、Chrome、Edge、Brave、Opera、Opera GX、Vivaldiからクッキーやユーザーデータを収集し、アカウント乗っ取りに再利用できる認証トークンやセッション情報を抜き取ります。

Discordのトークンはブラウザのストレージやローカルクライアントのデータから抽出され、Discord APIに対して使用されることで、アカウント情報や保存された決済手段を取得します。これにより、単なるステーラー機能とアカウントへの実際の侵入操作が事実上結び付けられます。

同様の仕組みはRobloxやMinecraftのアカウントにも存在し、Feather、Lunar、Modrinthといったサードパーティ製ランチャーにも対応しています。

このステーラーはさらに、Microsoft Storeのトークンブローカーファイル(.tbres)を探し出し、Microsoftアカウントに紐づく決済関連トークンを窃取します。これにより金銭的な被害の規模が拡大する恐れがあります。

監視機能やリモートアクセス機能により、この脅威は単なるデータ窃取にとどまらず、システムの完全な侵害へと発展します。

Java Native AccessやCOM/DirectShowのインターフェースを利用することで、このマルウェアはキー入力の記録、マウスの動きの記録、スクリーンショットの取得、500ミリ秒間隔でのデスクトップの継続的なストリーミング配信、さらにはウェブカメラへのアクセスによるライブ映像のC2への配信までも実行できます。

PowerShellベースのコマンド実行、WebSocket経由の対話型シェル、ファイルのアップロード・ダウンロード・リネーム操作、そして管理ドメインから配信されるその場でのJAR更新にも対応しています。

BitdefenderやThreatLockerなど各社の研究者による最近の分析では、このPowercat関連インフラは2026年初頭から活動しており、感染件数は3月後半に急増した後、その水準を維持し続けていることが示されています。

新たに確認されたC2エンドポイント、洗練されたサンドボックス回避チェック、ウォレット・ブラウザ・ゲームランチャーへの対応範囲の拡大は、いずれも単発のキャンペーンではなく、継続的な開発が行われていることを物語っています。

おとりとして使われているのがRobloxのチートであることから、被害者の相当数は家族共有のPCを使う未成年者である可能性が高く、これは事態の深刻さを大きく高めています。攻撃者は子供たちのゲームアカウントやチャットアカウントを密かに収集し、ウェブカメラを通じて監視できてしまうのです。

侵害指標(IOC)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無効化(defang)表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

2026年版Agentic SOC購入ガイドを活用すべき理由 8つの主要プラットフォームを比較 – 2026年版購入ガイドをダウンロード