この攻撃活動は、ClickFixを使ったソーシャルエンジニアリング、ブロックチェーンを悪用したEtherHiding、そして動的インフラによる配信を組み合わせることで、検知や摘発を難しくしています。
WatchGuard Threat LabのメンバーであるEuler Neto氏の調査によると、ErrTrafficの運営者は、インジェクトしたウェブサイトのコード内に指令サーバ(C2)アドレスを直接埋め込むのではなく、ポリゴンブロックチェーンのスマートコントラクトを使って悪性インフラの情報を保存・解決しています。
この手法により、攻撃者は初期の誘導役となる侵害済みサイトを変更することなく、配信インフラを更新できます。
この攻撃キャンペーンでは、Vidar、Okobot、LegionLoader、OnionDrop関連のペイロード、BabaDedaLoaderなどの脅威が確認されています。
WatchGuardのテレメトリでは、これ以外のペイロード亜種、DLLサイドローディングの活動、ブラウザを狙う挙動、エンドポイント防御を弱体化させる手法も確認されました。
ErrTrafficは、「LenAI」というハンドル名のフォーラムユーザーによって宣伝されていたとされています。このフレームワークにはトラフィック分配システム(TDS)が含まれており、アフィリエイトが訪問者をフィルタリングし、選定した標的をペイロードへ誘導し、配信活動を追跡できるようになっています。
MaaS(マルウェア・アズ・ア・サービス)の利用により、自前のインフラを構築せずにマルウェアキャンペーンを展開したいサイバー犯罪者にとってのハードルが下がっています。
攻撃は、被害者が侵害された正規のWordPressサイトを訪問し、悪性のJavaScriptがインジェクトされていることから始まります。
インジェクトされたコードは、固定の悪性ドメインをスクリプト内に埋め込む代わりに、リモートプロシージャコール(RPC)サービスを介してポリゴンブロックチェーンに問い合わせます。
その後、スマートコントラクトが、攻撃の次の段階に必要となる最新のインフラ情報を提供する役割を果たします。
この手法はEtherHidingと呼ばれています。攻撃者はブロックチェーンのスマートコントラクトを使って、悪性の設定データやスクリプト、C2関連情報を保存します。
ブロックチェーンのデータは分散型であり、永続性を持つよう設計されているため、防御側は従来型のホスティングサーバーを停止させるだけでは、この攻撃活動を妨害できません。
このキャンペーンはClickFixに大きく依存しています。これは、ユーザーを騙してコマンドを手動で実行させるソーシャルエンジニアリング手法です。
被害者には偽のCloudflare TurnstileやreCAPTCHAのプロンプトが表示され、いわゆる「検証コマンド」をコピーしてWindowsの「ファイル名を指定して実行」やPowerShell、コマンドプロンプトに貼り付けるよう指示されます。
WatchGuardは、ペイロード単体、またはランダムな名前の7-Zip実行ファイルとマルウェアの両方を含むZIPアーカイブをダウンロードするPowerShellのパターンを確認しました。
これらのURLには、ブラウザの種類、参照元サイト、Cloudflareやreカプチャの誘導文言に関連したパラメータが含まれており、ErrTrafficが被害者のセッションごとに配信内容を調整していることがわかります。
このキャンペーンにおけるペイロードの多様性は、大きな懸念材料です。既知の情報窃取型マルウェアであるVidarは、ブラウザのデータや暗号資産ウォレットの情報を狙っていることが確認されました。
ある事例では、このマルウェアはTelegram、Steamのプロフィール、そして侵害されたブラジルのウェブサイトを通じて通信していました。
研究者らはまた、ChromeやMicrosoft Edgeでリモートスレッドが作成される様子も確認しており、これはマルウェアが機密性の高いブラウザデータへアクセスできるようにする挙動である可能性があると、WatchGuardは述べています。
Go言語でコンパイルされた別のVidar亜種は、Chrome、Edge、コマンドシェルのプロセスを生成していました。
またこの亜種は、Adobe Create PDFというChrome拡張機能とも連動していました。この拡張機能の一部バージョンには、クロスオリジンのデータ漏えいに関する脆弱性であるCVE-2026-48294が存在することが判明しています。
ANY.RUNのブラウザ内データ検査により、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/errtraffic-conceals-infrastructure-on-polygon/
