Phantom Stealerが PNGステガノグラフィとPowerShellインジェクションで認証情報を窃取

Phantom Stealerは、PNGファイルへのペイロード隠蔽、PowerShellによるプロセスインジェクション、テレメトリ抑制を組み合わせ、パスワードやブラウザデータ、暗号資産ウォレット、機密ローカルファイルを窃取する.NETベースの認証情報窃取マルウェアです。

Antivirus& Malware

今回のキャンペーンは、コモディティ型インフォスティーラーがステルス性の高いローダーと幅広い侵害後の収集機能を組み合わせる傾向を強めていることを示しています。

モジュール式の.NETアーキテクチャと入手しやすいツール群により、Phantom Stealerは幅広い攻撃者が利用可能です。単一のエンドポイント侵害を、認証情報や金融データ、セッション情報、後続攻撃に使える情報の入手源に変えてしまいます。

注目すべき亜種のローダーは、.NETアセンブリに埋め込まれたPNGリソース内に次段階の実行ファイルを隠します。このPNGエントリには暗号化されたデータブロブが含まれており、これを復号することで最終的なPhantom Stealerのペイロードが現れる仕組みです。

この実装はMITRE ATT&CKのT1027.003（ステガノグラフィ）に該当し、悪意あるコンテンツが単体の実行ファイルとして露出するのではなく、一見普通のアプリケーションリソース内に格納されているため、静的検査を困難にしています。

同様のリソースステガノグラフィ手法は、Quasar RATやLokiBotといったマルウェアでも過去に確認されています。

SplunkのThreat Research Teamが、GBhackersと共有したレポートの中で述べたところによると、フィッシングメール、悪意あるリンク、クラック版ソフトウェア、DiscordやTelegram経由で配布されるおとりなど、Phantom Stealerの複数の配布経路が確認されています。

Phantom StealerによるPNGステガノグラフィの悪用

スクリプトはシェルコードを復号し、OpenProcess、VirtualAllocEx、WriteProcessMemory、VirtualProtectEx、CreateRemoteThreadというおなじみの一連の手順を使ってexplorer.exeにインジェクションします。

また別の攻撃チェーンでは、難読化されたPowerShellスクリプトから始まり、Add-Typeを通じてC#コードを動的にコンパイルし、ランダム化されたP/Invoke宣言を用いてシグネチャベースの解析を妨害します。

この挙動は、T1059.001（PowerShell）およびT1055（プロセスインジェクション）に対応します。

インジェクションされたシェルコードは最終段階のローダーとして機能し、信頼されたWindowsプロセス内でPhantom Stealerを展開します。

このマルウェアは、クリップボードの元の内容を、マルウェアに埋め込まれた攻撃者が管理するウォレットアドレスに置き換えます。この置換用アドレスは、Base64エンコードとAES-CBC暗号化を用いて難読化された形でコード内に格納されています。

Antivirus& Malware

さらに、AmsiScanBuffer、AmsiScanString、EtwEventWriteを含むAMSIおよびETWの関数にパッチを当て、メモリ内スキャンを弱体化させるとともにテレメトリを抑制し、エンドポイント検知・対応(EDR)プラットフォームへの侵入の露見を防ぎます。

実行が開始されると、Phantom Stealerは収集処理を始める前に広範な環境チェックを行います。

ホスト名、ユーザー名、マシンGUID、GPU名、実行中のプロセス、サービス、IPアドレスを調べ、仮想化環境やサンドボックスの痕跡がないかを確認します。また、短い遅延がスキップされているかどうかもテストします。これはエミュレートされた解析環境によく見られる兆候です。

安全と判断したエンドポイント上では、このマルウェアは--no-sandboxと--user-data-dirの引数付きでChromeを起動できます。これにより、通常のセッションの痕跡を回避しつつ、制御されたブラウザプロファイル内で動作できるようになります。

その収集範囲は広範です。Phantom Stealerは、ChromiumおよびGeckoのパスワード、Cookie、決済カードデータ、プロファイル、暗号資産ウォレットに関連するブラウザ拡張機能のディレクトリを抽出します。

また、デスクトップ型ウォレット、FileZillaやWinSCPの認証情報、Outlookのプロファイルデータ、Wi-Fiプロファイル、スクリーンショット、キーストローク、クリップボードの内容、選定されたドキュメントも標的にします。

とりわけ被害が大きいのがクリップボードの監視機能です。このマルウェアはコピーされた暗号資産アドレスを検知し、攻撃者が管理するアドレスに置き換えることができるため、アカウント乗っ取りを伴わずに取引を不正に誘導できます。

永続化はレジストリのRunキーまたはスタートアップフォルダを通じて達成され、感染後には追加のプラグインが取得・インジェクションされる場合もあります。

検知にあたっては、ペイロードのハッシュ値ではなく挙動に着目すべきです。エンコード・難読化されたPowerShell、実行時のAdd-Typeコンパイル、不審なリモートスレッド生成、ブラウザの認証情報ストアへの不可解なアクセス、カスタムのChromeデータディレクトリ、AMSIやETWの改ざん、WinSCP設定パスへの異常なアクセスなどを監視してください。

ComputerScience

Splunkは、このマルウェアで確認された手口の調査を支援するため、32件の検知ルールを公開しています。

IOC

注: IPアドレスおよびドメインは、誤って解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化表記（例: [.]）にしています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。

[ライブウェビナー] Elastic&UnderDefenseのウェビナーにご参加ください。小規模なセキュリティチームがAIの可視性とエージェント型の対応を単一の運用モデルに統合する方法を学べます。 -> 今すぐ登録