セキュリティ研究者らは、Abyssosという名の新たなモジュール式リモートアクセス型トロイの木馬(RAT)を発見しました。これはC++で書かれたマルウェアファミリーで、攻撃者に感染したWindowsシステムへの広範な制御権を与えます。
Zscaler ThreatLabzは2026年6月下旬にAbyssosを初めて観測しました。このマルウェアは現在も活発に開発が続いており、研究者らは複数のバージョンや異なるコード難読化手法を追跡しています。
その機能には、リモートシェルアクセス、隠しVNCセッション、ファイル窃取、ブラウザデータの収集、プロセス制御、キーロギング機能、そしてコマンド&コントロール(C2)サーバーから追加モジュールをダウンロードする機能などが含まれます。
Abyssosは侵害後の活動を想定して設計されているようです。攻撃者がひとたび標的システムへのアクセスを獲得すると、このRATはホスト情報を収集し、コマンドを実行し、ファイルを移動させ、活動を監視し、暗号化されたプラグインを使って機能を拡張することができます。
Abyssosはリバースエンジニアリングを困難にし、セキュリティ分析を回避するためにいくつかの手法を用いています。初期のサンプルでは、CPUID命令を使ってVMwareやKVM、Xen、VirtualBoxといった仮想化基盤を識別し、仮想化環境かどうかを確認します。
また、このマルウェアはvmtoolsd.exe、VBoxService.exe、xenservice.exeといった一般的な仮想マシン関連プロセスの有無も調べます。これらが検出された場合は動作を終了します。
ただし、ThreatLabzによれば、すべてのサンプルがこうした分析回避チェックを備えているわけではないとのことです。最新の観測バージョンにはこれらのチェックが見られないとされており、マルウェアが開発途上で今なお変化し続けていることを示しています。
このRATはLLVMベースのコード難読化も使用しており、おそらく公開されているツールを利用していると見られます。観測された手法には、制御フローの平坦化、偽の制御フロー、暗号化された整数定数、スタックベースの文字列難読化などが含まれます。
これらの手法により、アナリストや自動解析ツールがバイナリを解析することがより困難になります。
中核機能を開始する前に、AbyssosはエクスポートされたWindows API関数のCRC32ハッシュを計算することで、動的にAPI呼び出しを解決します。
その後、複数コピーの同時実行を防ぐためにミューテックスを作成します。ミューテックス名はGlobal\[UUID]という形式に従い、システム権限に応じて_Adminや_Userが付加される場合があります。
続いてマルウェアはC2サーバーに接続し、侵害したデバイスを登録します。その際、コンピュータ名、ユーザー名、CPUアーキテクチャ、権限レベル、パブリックIPアドレス、国コード、そして自身の内部バージョン番号を収集します。
その後、定期的にPINGリクエストを送信し、オペレーターからのコマンドを待ち受けます。Abyssosは独自のTCPベースC2プロトコルを使用しています。
送受信される通信は、ハードコードされた32バイトの鍵を用いたAES-GCMによって暗号化されます。ダウンロードされたモジュールには、AES-CBC暗号化またはXORエンコーディングのいずれかによる、もう一段の保護が施されます。
Abyssosの最も注目すべき機能の一つが、隠しVNC機能のサポートです。HVNC_STARTのようなコマンドを使うことで、オペレーターはリモートデスクトップセッションを作成でき、HVNC_INPUTを使えばキーボードやマウスの操作をシミュレートできます。
攻撃者はこのセッション内でブラウザ、PowerShell、コマンドプロンプト、Windowsエクスプローラー、メールクライアントを起動できると、Zscalerは述べています。
注記: IPアドレスおよびドメイン名は、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理されたスレットインテリジェンス基盤の中でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/abyssos-rat-takes-control/
