悪意あるSVGが被害者のブラウザ内で完全にDCRatアーカイブを再構築

DarkCrystal RAT(DCRat)を用いた新たなキャンペーンの分析により、脅威アクターが一見無害なSVG添付ファイルをマルウェア配布メカニズムへと丸ごと転用している実態が明らかになりました。

顧客からのエスカレーションを受けてTrellix Advanced Research Center(ARC)が調査したこの攻撃活動は、コロンビアの司法関連を装ったルアーを使用し、パスワード保護されたアーカイブを被害者のブラウザ内で直接再構築した上で、DLLサイドローディングとプロセスホローイングへと進行します。

添付ファイルはSVGファイルであり、これはベクター画像形式として広く知られていますが、実態はXMLをベースにJavaScriptを埋め込むことが可能な形式です。

この特性により、攻撃者は実行ファイルやスクリプト、マクロ有効ファイルの添付をより厳しく検査するコントロールを回避する機会を得ています。

ページはアーカイブのパスワード「1601」を提示しますが、これはダウンロードを正規のものに見せかけ、ユーザーに解凍・実行を促すためのソーシャルエンジニアリングの手口です。

技術的な革新性は、SVGに埋め込まれたJavaScriptにあります。Trellixの調査によると、このスクリプトはペイロードを二重Base64エンコードされたデータとして保存し、ブラウザ内でデコードした上でBlob APIを使い、メモリ上でアーカイブを再構築します。

その後ブラウザは、生成されたファイルをDOC-16-ENE-2026 RESOLUCION DENUNCIA JURIDICA.7zとしてダウンロードフォルダに保存します。

これはHTMLスマグリング型の配布チェーンです。アーカイブを外部URLから従来型の悪意ある実行ファイルとして直接取得する必要がないため、ゲートウェイでの検査や評判ベースのブロッキングを回避する余地が生まれます。

解凍されたアーカイブには、デコイの実行ファイルと、Brotli圧縮コンポーネントを装ったDLL依存ファイル(libbrotlidec.dllやlibbrotlienc.dllを含む)が含まれています。

Brotliはウェブインフラで一般的に使用される正規の圧縮アルゴリズムであり、これらのファイル名はカモフラージュとして有効に機能します。しかし、実行ファイルのインポート構造を調べると、サイドローディングを意図した設計であることが分かります。

被害者がデコイを起動すると、Windowsはアプリケーションのディレクトリから依存DLLを解決するため、攻撃者が用意したライブラリが本来読み込まれるべき正規コンポーネントの代わりに読み込まれてしまいます。

Trellixの研究者によると、このキャンペーンはフィッシングメールから始まり、「Resolución Denuncia Jurídica」(法的告訴の解決)を装った添付ファイルが送られてきます。その狙いは単純で、緊急性を演出し、法的な結果への恐怖心を利用することです。

ハッキングとクラッキング

この手法が特に効果的なのは、実行ファイルのインポートが一見すると通常のものに見える点です。ローダーは標準的なWindowsライブラリに加えて、正規の圧縮関連依存ファイルに似せたDLL名を参照しています。

DarkCrystal RATキャンペーン

実際には、この悪意あるDLLチェーンは段階的な初期化処理を行い、埋め込まれたコンテンツを復号し、明確に識別可能な実行ファイルをディスクに書き込むことなく、メモリ上で次のペイロードを準備します。

SVGを開くと、コロンビアの司法サービスを模した偽のポータルが表示されます。ページ上のどこかをクリックすると次の段階に進み、文書がダウンロード中であるかのように見せかけるページへとリダイレクトされます。

ローダーはまた、自身と補助DLL、バッチファイルをユーザー権限で書き込み可能なディレクトリにコピーした上でRunレジストリキーを作成し、永続化を確立します。

これによりマルウェアはログオン時に再実行される経路を確保しつつ、コンポーネントを被害者のユーザープロファイル配下に留めておくことができます。この場所は市販のリモートアクセス型トロイの木馬に悪用されることが多い領域です。

.rdataセクションでは、あるキーを使ってXORとSHRによる復号処理を0xBE00バイトにわたって実行し、その出力を新たに確保したアドレス空間に格納します。

最終的な実行シーケンスではプロセスホローイングが用いられます。XORおよびシフト演算に基づく処理で.rdataセクションのデータを復号した後、ローダーはメモリ上でPEイメージを再構築します。これはMZとPEのヘッダーから識別可能です。

続いてAddInProcess32.exeをサスペンド状態で起動し、プロセスメモリに悪意あるコードを書き込み、スレッドコンテキストを変更した上で実行を再開します。

このプロセスは信頼されたWindowsコンポーネントの名前を保持したまま、攻撃者が用意したコードを実行します。

注入されるペイロードは、コンパクトな.NET製のDCRatキャンペーンアクセスツールです。その設定情報はAES-256を用いた処理により実行時に復号され、ホスト情報、ポート、ミューテックス、インストール設定、暗号化に関する情報、証明書データが含まれます。

ミューテックス文字列DcRatMutex_qwqdanchunは、マルウェアファミリーを強く裏付ける手がかりとなります。このクライアントはさらに、解析回避のチェック、実行の遅延、AMSIバイパスの挙動、単一インスタンスの強制、永続化のロジック、暗号化されたC2への接続の繰り返し試行といった機能を備えています。

分析時点では、コマンド&コントロール(C2)インフラはオフラインとなっており、インプラントはリトライループに陥っていました。しかし、これは事態の深刻さを軽減するものではありません。C2が復活すれば、侵害されたホストに対するリモート制御能力が回復してしまうためです。

セキュリティチームは、SVG添付ファイルを単なる静的な画像ではなく、能動的なコンテンツとして扱うべきです。

クラウドセキュリティサービス

ブラウザ主導によるアーカイブ生成、ユーザー書き込み可能な場所からのDLL読み込み、Runキーへの不審な変更、特にAddInProcess32.exe内での予期しない実行を含むプロセスホローイングを監視することで、DCRatが攻撃者による制御を確立する前にこの攻撃チェーンを検知できる可能性があります。

関連する調査でも、コロンビアのユーザーを標的とした司法関連のSVGルアーが確認されており、ブラウザベースの配布とそれに続くメモリ内実行が用いられていることが記録されています。これは、この初期侵入手法がRAT運用者にとって非常に再利用性の高いものであることを示しています。

侵害指標(IOC)

注記: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されることを防ぐため、意図的に無害化(defang)されています(例: [.])。再度有効化する際は、MISP、VirusTotal、SIEMなど管理されたスレットインテリジェンス基盤内でのみ行ってください。

[ライブウェビナー] Elastic&UnderDefenseと共に、小規模なセキュリティチームがAIの可視性とエージェント型対応を一つの運用モデルへと統合する方法を学びましょう。 -> 今すぐ登録