侵害されたWordPressサイト、ClickFix型の誘導手口、Polygonブロックチェーンのスマートコントラクト、そして高速でローテーションするペイロード配信ドメインを組み合わせ、幅広いWindowsマルウェアを配布する活動中のErrTraffic MaaS(サービスとしてのマルウェア)キャンペーンが確認されました。
アンチウイルス& マルウェア
ErrTrafficは、「LenAI」というハンドル名のフォーラムユーザーによってMaaSフレームワークとして販売されています。その中核機能は、フィルタリングロジックとインフラのローテーションを適用しながら被害者をペイロードへと誘導するトラフィック配信システムです。
従来型の悪意あるJavaScriptキャンペーンとは異なり、ErrTrafficは指令サーバー(C2)やステージングドメインを注入したWebコンテンツにハードコードしません。
その代わり、侵害されたWordPressサイトはPolygonのRPC(リモートプロシージャコール)エンドポイントに問い合わせ、スマートコントラクトからインフラ情報を取得します。
このブロックチェーンを悪用した手法は「EtherHiding」として知られており、対策を大幅に難しくしています。
スマートコントラクトは悪意ある設定データを保存または解決できる一方、公開されたブロックチェーンのインフラは堅牢な取得手段を提供します。
このキャンペーンでは、最初に実行されるJavaScriptがPolygonのRPC経由でデータを取得するため、攻撃者は侵害した各サイトを個別に書き換えることなくドメインを更新できます。
errtraffic_session=を含むSet-Cookieの値は、本フレームワークをホストするWebサイトを特定するうえで有用な痕跡(ハンティング指標)です。Sekoiaは以前にも、関連するインフラ情報をErrTrafficのIOC(侵害指標)コレクションとして公開しています。
被害者はClickFix型のフローへと誘導されます。この手口は、ブラウザ認証やCAPTCHAのエラーを解消するという名目でユーザーを騙し、攻撃者が用意したPowerShellコマンドを実行させるものです。
確認されたコマンドパターンの一つは、token、src=cloudflare、ブラウザの種類、リファラー、CloudflareまたはreCAPTCHAのモードといったパラメータを使い、APIエンドポイントからランダムな名前の7-Zipバイナリとペイロードを取得するというものです。
この活動を分析したWatchGuardの研究者Euler Neto氏によれば、トラフィック配信システムが単純なリダイレクト用インフラではなく、モジュール化された配信プラットフォームへと変貌しつつある実態を、この事例は如実に示しているといいます。
二つ目のパターンでは、ランダムな名前のペイロードを直接ダウンロードします。この設計により、初期アクセスとトラフィック誘導のアーキテクチャを維持したまま、アフィリエイト(協力者)が最終段階のマルウェアを自由に変更できるようになっています。
ErrTraffic、WordPressハッキングを組み合わせる
WatchGuardのテレメトリは、本フレームワークをVidar、Okobot、LegionLoader、OnionDrop関連のペイロード、そしてBabaDedaLoaderに結び付けています。Vidarの検体は、Telegram、Steamのプロフィール、侵害されたWebインフラなど、複数のC2機構を使用していました。
ある亜種はChromeでリモートスレッドを生成しており、Chromeのアプリケーションバインド暗号化によって保護されたブラウザデータへのアクセスを試みていた可能性があります。
データマネジメント
Go言語で書かれた別の亜種はChromeとEdgeを標的としており、CVE-2026-48294に関連する、脆弱なバージョンの拡張機能に影響するUXSS脆弱性を抱えたAdobeの「Create PDF」ブラウザ拡張機能を悪用する活動も確認されています。
Okobotの配布経路では、より露骨な防御回避の手口が見られました。攻撃者は、正規のVolume²ユーティリティと、DLLサイドローディング用の悪意あるファイルprotobuff.dllを同梱したZIPアーカイブを配布していました。
その後実行されるコマンドでは、Microsoft Defenderの除外設定の追加、Defenderの通知およびサンプル送信設定の変更、SSH永続化の設定、そしてRunAsPPLレジストリ値の削除が行われていました。
このLSASS保護機能の削除により、認証情報の窃取が容易になる可能性があります。このマルウェアは後に、Kasperskyの過去の調査でOkobotに関連付けられていたインフラと通信していました。
その他のペイロードは、攻撃活動の全体像をさらに広げるものです。配布された悪意あるMSIインストーラーは、gRPC over Tor通信を確立するNode.js製バックドアを展開し、NexusConnectorという名前のRunキーによる永続化を作成したうえで、ディスク情報、OSの詳細、グラフィックスハードウェア、インストール済みのアンチウイルス製品をプロファイリングしていました。
OnionDropの亜種は、DLLサイドローディング、ブラウザプロセスへのインジェクション、仮想化環境の検知、ディスプレイアダプターのフィンガープリンティングを使用しており、あるGo言語製の検体はLegionLoaderに関連するインフラに接続し、リフレクティブローディングを使用していました。
こうした挙動は、Cyderesが以前に行ったOnionDropの分析結果と一致しています。
BabaDedaLoaderの活動では、ローカルの.NETローダー実行時にリソースのコンパイルと変換を行える正規バイナリcsc.exeおよびcvtres.exeを悪用する、環境寄生型(Living-off-the-Land)の手口も加わっていました。
その結果生じる攻撃チェーンは、Morphisecが公開したBabaDedaLoaderに関するレポートに記載されたインフラと通信していました。
ErrTrafficの重要な特徴は、配信層・名前解決層・ペイロード層を分離している点にあります。侵害されたサイトが到達経路を提供し、ClickFixが実行を担い、Polygonのスマートコントラクトがインフラを隠蔽し、そしてアフィリエイトが自らの目的に応じてマルウェアを選択するという構造です。
防御担当者は、不審なPowerShellのダウンロード構文、Webセッションから発生する想定外のPolygon RPCトラフィック、errtraffic_sessionCookie、DLLサイドローディングの連鎖、ブラウザによるリモートスレッド生成、そしてコンパイラ用バイナリの異常な使用を監視すべきです。
2026年版Agentic SOC購入ガイドを活用すべき理由とは? 主要8製品を徹底比較 – 2026年版購入ガイドをダウンロード
翻訳元: https://gbhackers.com/errtraffic-combines-wordpress-hacks/
