Grandoreiroがメキシコに再来襲、新たなDLLサイドローディング攻撃キャンペーンを展開

Grandoreiroがラテンアメリカのユーザーを狙うキャンペーンで再び姿を現しました。観測された検出のうちメキシコが40%を占め、攻撃者はDLLサイドローディングを利用して正規ソフトウェアを介しこのバンキング型トロイの木馬を実行させています。

このブラジル発のマルウェアは、2024年1月に実施された大規模な法執行機関の作戦によってインフラの一部が破壊されたにもかかわらず、依然として活動を続けています。

AcronisのThreat Research Unit(TRU)は2026年5月にこの再燃したキャンペーンを観測しており、6月の直近30日間のテレメトリでは、検出されたサンプルの発生源としてメキシコが最大でした。

今回の調査結果は、過去のGrandoreiroによるメキシコを標的としたキャンペーンや、同マルウェアの以前のスペインへの展開を裏付けるものとなっています。

正規ソフトウェアを悪用するGrandoreiro

今回の最新キャンペーンでは、DLLサイドローディングの連鎖の一環として、正規アプリケーションであるDuplicate Files Finderが悪用されました。攻撃者はこのアプリケーションの名前を変更し、悪意のあるmingwm10.dllを正規の依存ファイルと並べて配置することで、信頼されたはずの実行ファイルに悪意のあるライブラリを読み込ませていました。

初期のローダーは、広範な解析回避チェックも実施していました。仮想化環境やサンドボックスの痕跡、セキュリティ・解析ツール、システムの特徴、特定のユーザーおよびマシン構成の有無を確認したうえで、コマンド&コントロール(C2)インフラへの接続を試みる仕組みです。

また、被害者のパブリックIPアドレスと地理的位置も確認しており、複数の国からの通信はブラックリストに登録され遮断されていました。

Acronisによると、このマルウェアの初期感染経路は確認できなかったものの、請求書を装ったZIPファイル名やGrandoreiroのこれまでの拡散パターンから、スパムメールが関与していた可能性が中程度の確度で推定されるとしています。

このマルウェアは暗号化した文字列を使用して解析を困難にしており、環境チェックを完了した後にのみC2インフラへの接続を試みていました。研究者による解析時点でC2サーバーはオフラインでしたが、静的解析の結果、通信確立後にローダーが第2段階のペイロードを取得しようとすることが示されています。

分析対象のテレメトリでは、検出のうちメキシコが40%を占め、スペインが17%、ペルーが13%、アルゼンチンが10%で続きました。活動は依然としてラテンアメリカに集中しており、ヨーロッパと北米では小規模な検出クラスターが確認されています。

ラテンアメリカのバンキングマルウェアに関する関連記事: Mispadu Trojanがラテンアメリカの被害者から90,000件以上の銀行認証情報を窃取

Acronisによれば、Grandoreiroの全体的な活動量は以前のピーク時を下回っているものの、進化を続けており、2024年の摘発作戦によってこのマルウェア攻撃の運用が完全には根絶されていないことを示しているといいます。