Hydra Remote、ブラウザセッションを乗っ取るリモートマルウェア

「Hydra Remote」として知られる悪意あるソフトウェアは、感染したコンピュータ上に秘匿されたデスクトップ環境を作り出す機能を攻撃者に与えます。重要なのは、この二つ目のワークスペースが正規の端末所有者からは一切見えない点です。攻撃者はその後、すでに有効になっているブラウザセッションをこの隠れた環境へシームレスに移すことができます。その結果、被害者になりすまして様々なウェブサイトを操作できるようになります。しかも被害者による通常のパソコン利用を妨げることなく、保存されたパスワードを盗むだけにとどまらない攻撃が可能になるのです。

隠れたデスクトップという脅威の発覚

セキュリティ専門家のMark Turner氏が最近、この新たな脅威を公に明らかにしました。Hydra Remoteの開発者によれば、この隠密デスクトップはChrome、Edge、Brave、Firefox、Vivaldiのすべてに対応しているとのことです。このマルウェアは既存のブラウザプロファイルを丸ごと複製します。この包括的な複製には、保存済みのCookie、保存されたログイン認証情報、現在稼働中のセッションまでもが含まれます。

環境複製がもたらす危険性

この巧妙な手口は、従来型のパスワード窃取よりもはるかに危険性が高いといえます。ユーザーがすでにメール、クラウドストレージ、SNS、その他の重要なサービスに認証済みでログインしている場合、攻撃者はその完全に権限が与えられた環境を、隠れたデスクトップ内に複製しようと試みます。多くの場合、保存されたセッショントークンさえ入手すれば、パスワードを再入力させることなく、攻撃者は侵害したアカウントの操作を継続できてしまいます。

アプリケーションバインド暗号化の回避

さらに、Hydra Remoteの開発者は、自分たちのソフトウェアがChromeのアプリケーションバインド暗号化を突破できると大胆にも主張しています。Googleは当初、Windows向けのChrome 127にこの高度な保護メカニズムを組み込みました。この強固な防御機構は、暗号化されたデータをブラウザの実行ファイル自体に直接紐付けるものです。したがって理論上は、外部のアプリケーションが標準的な抽出手法を用いてこのデータにアクセスすることはできないはずでした。

Googleは以前、この紐付けを回避するには悪意あるプログラムが昇格したシステム権限を取得するか、Chromeの実行中プロセスに直接コードを注入する必要があると警告していました。そのため、こうした攻撃的な挙動は通常、現代のセキュリティソフトウェアによる検知・無力化を格段に容易にします。

悪質な「Profile Replace」機能

Hydra Remoteには「Profile Replace」と名付けられた悪質な機能も搭載されています。悪意ある操作者は、ユーザーの稼働中のブラウザプロセスを強制的に終了させることができます。その後、正規のローカルプロファイルを、隠れたデスクトップ内で入念に用意された改ざん済みのコピーに置き換えることが可能です。この手法を用いることで、攻撃者は不正な変更を、見えない環境とユーザーの通常のブラウザインターフェースとの間でシームレスに行き来させることができます。

包括的なリモートアクセス機能

Hydra Remoteは高度なブラウザ操作能力に加え、感染したコンピュータを掌握するために設計された、典型的なリモートアクセスツール一式も包括的に備えています。このマルウェアはキー入力を能動的に傍受し、パスワードやCookieを抜き取り、ローカルファイル、実行中のプロセス、そしてWindowsレジストリを操作します。さらに、攻撃者に直接的なコマンドラインインターフェースと、被害者のウェブカメラへの不正アクセスも与えます。加えて開発者は、SOCKS5およびHTTPプロキシへの対応や、システムのクリップボード内にある暗号資産ウォレットアドレスをひそかに書き換える機能を統合していると誇示しています。

耐障害性と検知回避の手口

開発者は、通信が切断されても自動的に再接続を確立するよう、意図的にこのソフトウェアを設計しています。冗長化されたコマンド&コントロールサーバー、複数の接続用ポート、そしてインストールごとに個別化された固有の通信鍵を利用します。ペイロードビルダーは、Windows 10およびWindows 11環境を明確な標的とする、高度に難読化された64ビット実行ファイルを生成します。ただし、ここで列挙した機能は現時点では、主にHydra Remoteの開発者による強気な主張に依拠している点に留意する必要があります。したがって、独立したセキュリティ研究者による、これら具体的な機能の厳密な検証が求められます。

進化を続ける脅威の状況

Hydra Remoteを特徴づける最大の要素は、隠れたデスクトップと包括的なブラウザプロファイル複製という強力な組み合わせにあります。単に生のパスワードやCookieを抜き取るのではなく、操作者は被害者自身のブラウザを忠実に再現し、現在有効な認証済みセッションまで備えた、完全に独立して機能する環境をまるごと手に入れることになります。

この巧妙な手口は、パスワード保護のみに依存するアカウント防御を著しく困難にします。この事実は、高度なセキュリティ機構を導入することの重要性を改めて浮き彫りにしています。こうした最新の防御策には、有効なセッションを特定の物理デバイスに不可逆的に紐付けることや、重要な操作を許可する前に二次的な確認を必須とすることが求められます。