Zscalerのセキュリティ専門家は、悪意ある攻撃者が大規模なランサムウェア攻撃の前段として展開しているとみられる、新種のバックドア「C2Looper」を発見しました。このマルウェアは攻撃者にネットワーク内への潜伏拠点を確立させ、対象ホストに関する重要な情報を収集し、任意のコマンドを実行し、さらに追加の悪意あるペイロードをシームレスにダウンロードすることを可能にします。詳細な分析により、開発者がC2Looperフレームワークの機能をすでに大幅に強化していることが判明しました。
Rustベースの脅威の進化
ThreatLabzの研究チームは、2026年7月にC2Looperを初めて検知しました。Rustプログラミング言語で作成されたこのバックドアは、XOR演算を用いて内部の文字列を隠蔽し、実行中にのみ必要なWindows関数を動的にロードします。Zscalerの研究者は、C2Looperの拡散をClickFixキャンペーンによるものと結論付けていますが、その確度は低から中程度です。ClickFixキャンペーンでは、被害者が巧妙に騙され、悪意あるコマンドを自ら手動で実行させられます。
初期のHTTPコマンドインフラ
このマルウェアの初期バージョンは、暗号化されていないHTTPプロトコルを介してコマンド&コントロールインフラと通信していました。C2Looperは1秒間隔でリクエストを送信し、ユーザー名、コンピューター名、および自身のプロセスIDを送信します。これに対しサーバーは、システムレベルのコマンド実行、コマンドシェルの起動、追加ファイルの取得のいずれかをプログラムに指示できます。
アップデートを行うため、C2LooperはOneDriveディレクトリに悪意あるwtsapi32.dllライブラリを直接ダウンロードしていました。その後、アプリケーションのプロセスを強制終了させ、正規のOneDrive実行ファイルにこの改ざん済みライブラリを読み込ませます。この巧妙な手法により、信頼されたアプリケーションを隠れ蓑にして悪意あるコードを実行することに成功しており、検出を著しく困難にしています。
コマンド&コントロールをGitHubへ移行
その後、セキュリティ専門家はC2Looperのバージョン2を発見しました。この進化版は、独立したコマンドサーバーへの依存を完全に廃止し、コマンド&コントロールのやり取りをGitHubへと戦略的に移行しています。感染したホストごとに、マルウェアはリポジトリ内に固有のディレクトリを丹念に生成し、3つの特定のJSONファイルとやり取りを行います。オペレーターはcmd.jsonに指示を格納し、result.jsonにはその後の実行結果が記録されます。同時に、beacon.jsonには侵害されたシステムの固有識別子と、直近の通信のタイムスタンプが保持されます。
偵察機能とペイロード実行の強化
C2Looperバージョン2は、ファイルやディスクドライブを閲覧し、オペレーティングシステムおよびWindowsドメイン全体に関する詳細な情報を収集し、アプリケーションを起動し、新たなコンポーネントをダウンロードする機能を備えています。偵察活動を実行するため、このマルウェアはipconfig、whoami、nltest、net、wmicといった標準的なシステムコマンドを呼び出します。さらに別のコマンドでは、ダウンロードしたマシンコードを正規のwinspool.drvライブラリのメモリ領域に直接挿入し、その後独立したスレッド内で実行することが可能です。
さらに開発者は、初期バージョンに存在していた欠陥、すなわちC2Looperがジョブ識別子を正しく処理できないという不具合も修正しています。この第2バージョンのソースコード内には、「v2」と明記された残存デバッグ文字列が確認されており、このマルウェアファミリーが現在も活発かつ精力的に開発が続けられていることを裏付けています。
ランサムウェア展開の前段階
最近の分析で詳述されているとおり、Zscalerは、C2Looperが果たす役割について、主にネットワークへの初期侵入の手段として機能していると推測しています。アクセス権を確立することに成功すると、攻撃者は企業ネットワークを詳細にマッピングし、極めて機密性の高いデータを窃取した上で、破壊的なランサムウェアを展開する可能性があります。ただし、セキュリティ専門家は現時点で、C2Looperと特定のサイバー犯罪集団との明確な関連性は確認していません。
翻訳元: https://meterpreter.org/c2looper-backdoor-malware/
