「グランドレイロ」マルウェア、メキシコ標的の新キャンペーンで再燃

バンキング型トロイの木馬「グランドレイロ」は、法執行機関がその活動を摘発してから2年以上が経過した現在も、主にラテンアメリカの銀行顧客にとって重大な脅威であり続けています。

その最新の証拠となるのが、12年前から存在するペイロードを使い、メキシコのユーザーを標的とした新たなキャンペーンです。攻撃者はDLLサイドローディングと正規のファイル管理アプリケーションを悪用して、マルウェアを配布しています。

セキュリティベンダーのAcronisが分析したこのキャンペーンのテレメトリデータによると、北米や欧州でも少数の被害者が確認されています。しかし、Acronisが今週発表したレポートによれば、「全体的な分布状況を見ると、依然としてスペイン語圏を中心に据えるこのマルウェアの長年の傾向が反映されています」とのことです。

さらに重要な点として、Acronisは「今回のキャンペーンは、グランドレイロとその運用者が、ステルス性と検知回避に重点を置きながら進化を続けていることを示しています」と述べています。

ブラジル発の脅威、ラテンアメリカの銀行業界を執拗に標的に

グランドレイロは2016年に初めて確認されたバンキング型トロイの木馬です。ブラジルポルトガル語を話すと見られるマルウェア開発者によってDelphiで書かれており、当初はブラジルの銀行顧客を標的にしていましたが、その後は他のラテンアメリカ諸国や世界各地の地域へと標的を拡大してきました。

2024年には、このマルウェアを追跡していた複数のセキュリティ企業の一つであるIBMの研究者が、グランドレイロが南米・中米、欧州、アフリカ、インド太平洋地域にまたがる60カ国以上、1,500以上の銀行の顧客を標的にしていることを突き止めました。IBMは、これがサービスとしてのマルウェア(MaaS)の形態で運用されている可能性が高いと結論付けており、その場合は完全な撲滅がより困難になる恐れがあります。

同年後半には、Kasperskyが標的となった銀行の数を45カ国にまたがる1,700行と発表し、グランドレイロとその亜種が2024年のバンキング型トロイの木馬攻撃全体の約5%を占めると推定しています。このマルウェアは主に銀行の認証情報やその他の金融情報を窃取する目的で使われ、キーロギング、画面共有、感染デバイスの遠隔操作といった機能を備えています。

グランドレイロは、攻撃者がオンラインバンキングや金融口座へのアクセスに使う認証情報などの情報を盗み、そこから金銭を窃取するために長年利用してきた数多くのバンキング型トロイの木馬の一つです。他の代表的な例としては、Dridex、SharkBot、モバイルバンキング型トロイの木馬のXenomorph、そしてUrsnifが挙げられます。Ursnifは、攻撃者が他の悪意ある活動に転用したバンキング型トロイの木馬の一つです。ブラジルとスペインの法執行機関は、インターポールの協力を得て2024年にグランドレイロの運用を摘発し、その運用に関与していた管理者5人を逮捕しました。それ以降、この活動の規模はかなり縮小していますが、完全に停止したわけではないことは明らかです。

メキシコでのサイバー攻撃キャンペーン、ステルス性を強化

Acronisによると、今回の最新キャンペーンでは、グランドレイロの運用者が請求書に偽装したzipアーカイブを使い、おそらくスパムメール経由でマルウェアを配布しています。このアーカイブには、一見正規のものに見えるPDFファイルやXMLファイルがおとりとして含まれており、アンチウイルスなどのセキュリティツールに対してファイルを無害に見せかけています。さらに、重複ファイルを検出・削除する正規のアプリケーション「Duplicate Files Finder」のコピーも含まれており、攻撃者はこれを改変してグランドレイロを読み込ませる目的に転用しています。

この攻撃はDLLサイドローディングという手法に依存しています。これは、マルウェアが正規のアプリケーションを悪用して悪意あるダイナミックリンクライブラリを読み込ませる手法です。今回の事例では、攻撃者はDuplicate Files Finderを改変し、実行時に悪意あるコードも同時に読み込まれてグランドレイロが起動する仕組みになっています。Acronisの調査によると、この悪意あるコンポーネントはまず被害者のコンピュータ上でセキュリティ制御の有無や、セキュリティサンドボックス内で動作している兆候がないかを確認します。システムがこれらのチェックを通過すると、マルウェアは攻撃者のコマンド&コントロール(C2)サーバーと通信し、グランドレイロ本体のペイロードをダウンロードします。

Acronisによれば、今回のローダーの最新バージョンで注目すべき点は、その広範な解析対策・フォレンジック対策機能であり、いずれも研究者や自動セキュリティシステムによる調査を妨げるよう設計されています。例えば、C2インフラに接続する前に、ローダーはシステムの稼働時間を確認し、Google Chrome、Firefox、CCleaner、Firefox Edgeといった特定のアプリケーションの組み合わせが存在するかどうかをチェックして、サンドボックス内で実行されていないことを確認します。また、利用可能なメモリやプロセッサ数、ディスク容量、画面解像度、直近のユーザー操作履歴、さらにはセキュリティツール、デバッグツール、リバースエンジニアリングツール、ネットワーク監視ツールなど、約50種類のツールの存在有無も確認しています。

一方、運用者がグランドレイロの配布に「厳重に保護されたローダー」を使うという判断を下したことは、初期アクセスの手段とマルウェア本体の長期的な機能とを意図的に切り離す方向へと戦略が転換していることをうかがわせます。「グランドレイロに関連する活動全体はピーク時と比べて減少しているものの、今回のキャンペーンは、このマルウェアが依然として活発に活動しており、ツールやインフラを継続的に改良し続けていることを示しています」としています。