新型Abyssos RAT、ブラウザセッションを乗っ取り認証情報を窃取——攻撃者にVNC経由の遠隔操作権限を付与

Abyssosは、認証情報の窃取、ブラウザセッションの乗っ取り、ファイル窃取、そして隠しVNCによる遠隔操作を一つの侵害後フレームワークに統合した、モジュール式のC++製リモートアクセス型トロイの木馬（RAT）です。

ThreatLabzの技術分析によると、Abyssosは日和見的な単機能の窃取ツールではなく、実際の侵入活動における手動操作を前提に設計されています。

最も懸念される機能は、隠しVNC機能です。HVNC_STARTコマンドはリモートの仮想デスクトップを開き、HVNC_INPUTによって攻撃者はキーボードとマウスの操作をシミュレートできます。

Abyssosは、この隔離されたセッション内でChrome、Edge、Firefox、Brave、Opera、Vivaldi、メールクライアント、コマンドシェルなどのアプリケーションを起動できます。

これにより攻撃者は、被害者に見える通常のデスクトップに依存することなく、侵害したWindows端末上に対話的な足場を確保できます。

ブラウザの乗っ取りは、このマルウェアの価値の中核をなす機能です。HVNC_CLONE_STARTを通じて、Abyssosはブラウザデータ（Cookieを含む）をWindowsの一時フォルダ配下のfontconfigsディレクトリにコピーします。

chrome_cdpオプションは、ポート9222でリモートデバッグを有効にした状態でChromeを起動し、ブラウザのWebSocketインターフェースとNetwork.setCookie APIを使ってcookies.jsonから窃取したCookieを注入します。

このメカニズムにより、攻撃者はすでに認証済みのブラウザセッションを乗っ取ることが可能になり、パスワード入力を回避できるだけでなく、場合によっては新規ログインではなくセッションに紐づく多要素認証まで回避できる可能性があります。

Zscaler ThreatLabzの研究者によると、このマルウェアは複数のビルドにわたって活発に進化を続けており、バージョン2.4Fでは幅広いコマンドセットと多層的な難読化が実装され、自動検知と解析の両方を妨害することを狙っているとのことです。

アンチウイルス＆マルウェア

Abyssosはモジュール式の認証情報窃取機能もサポートしています。ThreatLabzは、ChromeおよびFirefoxの認証情報を復元すると見られるコンポーネント、Cookie窃取モジュール、そして取得した入力内容を一時ディレクトリ内にwindows_update_cache.jsonとして保存するキーロガーのコマンドを確認しています。

Abyssos RATによるブラウザ乗っ取り

その他のモジュールからは、初期アクセス以上の目的がうかがえます。あるモジュールはドメインコントローラーの特定を意図しているとみられ、別のモジュールは脆弱性のスキャンを行い、ELEVATE_SYS_TOKENコンポーネントはSYSTEM権限の取得を試みる可能性があります。

このRATはさらに、プロセスやネットワーク接続の列挙、クリップボードの監視、ファイルのメモリ上でのアーカイブ化、選択したデータのアップロード、ペイロードの実行、そしてリモートのcmd.exeシェルの確立も行えます。

オペレーターとの通信チャネルも注目に値します。Abyssosは、システムアーキテクチャ、ホスト名、ユーザー名、整合性レベル、パブリックIPアドレス、国情報とともに感染ホストを登録し、その後は定期的なPINGメッセージを使って指令サーバーへの独自のTCP接続を維持します。

ネットワークパケットは主に、ハードコードされた32バイトの鍵を用いたAES-GCMで暗号化されており、ダウンロードされたプラグインにはさらにAES-CBCまたはXORによる追加の復号層が施されています。

通常のWeb通信ではなくこの独自プロトコルを使用しているため、防御側にとってはエンドポイントのテレメトリとネットワーク検査によって特徴的な暗号化TCPパターンを見つけ出す、有効な狩り出しの機会となります。

解析を遅らせるため、一部の検体はVMware、KVM、Xen、VirtualBoxをCPUIDでチェックし、仮想化関連のプロセスが検出された場合は動作を停止します。

このマルウェアはまた、WindowsのAPIをCRC32ハッシュによって動的に解決するほか、制御フローの平坦化、偽の制御フロー、暗号化された整数定数、スタックベースの文字列難読化を利用しています。

ThreatLabzは、中〜高程度の確度で、開発者がPlutoのようなLLVMベースの難読化ツールを使用していると評価しています。このツールは、機能的には等価でありながら解析を大幅に困難にするコードへとコードを変換します。

確認されたすべてのビルドに解析対策のチェックが含まれているわけではなく、このマルウェアファミリーが継続的に開発され続けていることがうかがえます。

防御側は、不審なChromeデバッグインスタンス、%TEMP%\fontconfigs配下の想定外のCookieファイル、一時ディレクトリからの実行、そして異常な暗号化TCPビーコンに関するアラートを優先的に対応すべきです。

Abyssosには、UAC回避の試みに関連するコマンドが含まれているため、チームはfodhelper.exeやICMLuaUtilを呼び出すプロセスについても調査すべきです。

オプションのRDPWRAPモジュールは、オープンソースのRDP Wrapperプロジェクトに関連していると見られ、リモートデスクトップのホストサポートと同時セッションを有効化できます。エンドポイント上でこのモジュールが検出された場合は、状況を踏まえた即時の確認が必要です。

IOC（侵害指標）

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。

2026年版Agentic SOC購入ガイドをおすすめする理由 ——8製品の主要プラットフォームを比較 — 2026年版購入ガイドをダウンロード