このマルウェアは2026年7月に発見されたもので、ランサムウェア関連の脅威アクターが初期侵入、偵察、横方向移動、追加ペイロードの展開を行うために使用している可能性が高いとみられています。
研究者らは、C2Looperが多段階のClickFix感染チェーンを通じて配布されているとの見方を、低~中程度の確度で示しています。
ClickFix攻撃は一般的に、偽の認証プロンプトやソフトウェアエラー、CAPTCHA形式の指示を表示して被害者を騙し、悪意あるコマンドやファイルを実行させる手口です。
C2Looperは、攻撃者に標準的ながらも効果的なバックドア機能一式を提供します。リモートコマンドの実行、システム情報の収集、追加ファイルのダウンロード、第二段階マルウェアの起動が可能です。
最新バージョンではGitHubを利用したコマンド&コントロール通信とシェルコードインジェクションが追加されており、開発者が積極的にマルウェアの改良を進めていることがうかがえます。
このマルウェアは基本的な防御回避手法も採用しています。埋め込まれた文字列を8バイトの鍵によるXOR演算で暗号化し、LoadLibraryおよびGetProcAddressを通じてWindows APIを動的に解決します。
これにより、重要な関数や文字列がバイナリ上で即座には確認できなくなるため、静的解析がより困難になります。
従来のC2Looperのサンプルは、平文のHTTPでコマンド&コントロールサーバーと通信します。実行後、マルウェアはユーザー名、DNSホスト名、プロセスID、そしてホスト名とユーザー名から生成されたボット識別子を収集します。
この情報をJSONオブジェクトとして/api/beaconエンドポイントに毎秒送信し、タスクを取得します。コマンドの実行結果はその後、/api/result/BOT_ID/task_IDに返送されます。
shellコマンドは、出力をc2_out.txtという名前のファイルに書き込み、その内容を読み取ってC2サーバーへ送り返します。
特に注目すべきはuploadコマンドです。ペイロードをダウンロードし、%LocalAppData%\Microsoft\OneDrive\配下にwtsapi32.dllとして保存します。
その後C2LooperはOneDriveプロセスを終了させ、正規のOneDrive実行ファイルを悪用して悪意あるDLLを読み込ませます。
このDLLサイドローディング手法により、攻撃者は信頼されたWindowsアプリケーションの陰にペイロードの実行を隠すことができます。ThreatLabzは、Oysterマルウェアが同様のC2 APIエンドポイントのパターンを使用していたことを指摘しています。
Oysterは、Lactrodectusの背後にいる脅威アクターと関連する可能性のある活動と結び付けられてきましたが、これはマルウェアファミリー間の直接的な関連性を示すものではありません。
C2Looperのバージョン2では、従来型のHTTP C2インフラが廃止され、代わりにGitHubをすべてのコマンド&コントロール操作に利用するようになりました。
Zscalerによれば、このマルウェアは感染デバイスごとにGitHubリポジトリ内に個別のディレクトリを作成するとのことです。通信には3つのJSONファイルが使用されます。
注: IPアドレスおよびドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的に無効化表記（例: [.]）としています。再度有効な表記に戻す場合は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化し、MTTRを削減しましょう
翻訳元: https://cyberpress.org/c2looper-establishes-ransomware-footholds/
