インフォスティーラー感染で判明、Blind Eagle関連オペレーターのマルウェア製造パイプライン

攻撃者側の作業端末が侵害されたことで、研究者らはBlind Eagle関連とみられるマルウェアキャンペーンの運用エコシステムを異例の角度から把握することができました。侵害された端末からは、RATビルダー、フィッシングテンプレート、大量メール送信ツール、クリプター利用の痕跡、インフラ追跡記録などが露見しています。

改変済み実行ファイルを直接公開する代わりに、このアカウントは正規のAutoIntインタープリターと、別途取得可能な悪意あるスクリプトロジックを組み合わせてホストしていました。この手法により、オペレーターは実行ファイル部分を再パッケージ化することなくペイロードコードを差し替えられます。

研究者らはGitHubのraw commitメタデータを手がかりに調査を進め、そこからコミット作成者のメールアドレスを特定しました。

報道によれば、このアカウントは2024年11月に作成され、約18か月間ほぼ休眠状態にありましたが、2026年5月にcomicsamリポジトリが作成されたことで活動を再開しました。

さらなるアップロードと2つ目のリポジトリjacoboの存在から、この段階的展開用アカウントは最初の情報公開後も稼働を続けていたことがうかがえます。

このメールアドレスはその後、ALIEN TXTBASEスティーラーログのコレクションにも出現し、2件の認証情報レコードに記載されていました。独立した侵害調査により、このアドレスに関連付けられたデバイスが特定され、そのホスト名は「Ghost」であることが判明しています。これはインフォスティーラー感染によってこのシステムからデータが窃取されたことを示しています。

Dataprivacy consulting

今回の発見だけでBlind Eagleのインフラを運用している人物を断定することはできませんが、悪意ある活動に使われたとみられる端末の内部を垣間見る貴重な機会となりました。

復元されたスティーラーログの成果物には、Ratsという名前のローカルフォルダがあり、AsyncRAT、DcRat、Remcos、Quasar RAT、XWormをはじめとする複数のリモートアクセス型トロイの木馬（RAT）のビルドディレクトリが含まれていました。

情報窃取型マルウェアは、感染したコンピューターからさまざまな情報を収集できます。マルウェアの種類によっては、ブラウザ履歴、保存済みパスワード、Cookie、オートフィル情報、ローカルファイルなどが対象となります。

Remcosフォルダ内のsysteminfoディレクトリにも、他のシステムにちなんで名付けられたとみられる多数のファイルが含まれており、単発のマルウェアテストではなく、これまでのRAT運用で蓄積された痕跡であることをうかがわせます。

この端末には、コロンビアの公共機関や司法機関を装ったフィッシングキットも含まれていました。

あるテンプレートはコロンビアの司法評議会（Consejo Superior de la Judicatura）からの通知を装い、別の交通違反を装ったルアーはボゴタ市の交通局（Secretaría Distrital de Movilidad）を偽装していました。

このキャンペーンでは、受信者をパスワード保護されたアーカイブへ誘導し、PCまたはノートパソコンからファイルを開くよう明示的に促していました。この指示は、Windowsを対象とした実行チェーンと整合しています。

GBhackersと共有されたレポートの中でLevelBlueが述べたところによれば、この調査は独立系研究者のEmmanuel C.氏による共同フォローアップとして、マルウェアローダーの構成要素を段階的に展開するために使われていたGitHubアカウント「cabeto850128」を起点に始まりました。

Blind Eagleのマルウェア

consultanotificacionesjuridicas[.]siteやsimpmit[.]coを含むドメインが、ローカルに保存されたルアー素材の中に確認されており、フィッシング準備工作とRATビルド用リソースが保存されていた端末との関連性を示しています。

さらにブラウザの痕跡からは、信頼できそうな送信者アイデンティティを構築していたことがうかがえます。「abogados logo（弁護士事務所 ロゴ）」といった法律事務所風の画像検索が行われた後、天秤をモチーフにした司法をイメージするブランディングでGoogleのプロフィール画像が更新されていました。

この作戦には配信のワークフローも組み込まれていたとみられます。大量メール送信アプリケーションのSendBlasterは外部のSMTPリレーを使うよう設定されており、ログにはGitHubのコミットに関連付けられた同じ運用用アドレス宛てに送信されたテストメールの完了記録が残っていました。

ブラウザ履歴からは、Brevo、Mailrelay、HubSpot、DreamHost、HostGator、Firebaseといったメールマーケティング、ホスティング、クラウドサービスの利用も確認されています。

特に注目すべきは、この作業端末にクリプターおよびプロテクターに関する調査の痕跡が残っていたことです。調査担当者は、FUD Crypter、MI6 Crypter、PolyCrypt、Cassandra Protectorに関連する活動を確認しており、少なくとも1件の商用クリプターのサブスクリプションが購入されたことを示す証拠も見つかっています。

この種のサービスは、悪意あるペイロードをセキュリティ製品に検知されにくくすることをうたって販売されています。「Roda」または「Roda-Modder」への言及も見られましたが、これは帰属の根拠としてではなく、あくまで補足的な文脈として扱われています。なお、以前の報道では、このハンドルネームの人物が開発したクリプターがBlind Eagleの活動と関連付けられています。

再構築された感染チェーンでは、パスワード保護されたRARアーカイブ、VBScript、PowerShell、そして署名済みのWindowsユーティリティであるInstallUtil.exeが使用されており、最終的にdccomicrat81[.]duckdns[.]orgへ接続していました。

研究者らはまた、NJ4343、QSART、REMCOS、ASYNC、DCRATといったビルドラベルをcreainovada[.]xyz上の配信URLと結び付けており、これは反復可能な複数系統のマルウェア製造パイプラインであるとの見方を裏付けています。

Malwareanalysis tools

防御側にとって、核心となる検知の機会はハッシュベースではなく、振る舞いベースにあります。wscript.exeやcscript.exeがPowerShellを起動する動作を監視してください。

ユーザー書き込み可能なパスからスクリプトを実行するAutoItインタープリターを調査するとともに、InstallUtil.exe、RegSvcs.exe、MSBuild.exe、jsc.exeといった署名済みユーティリティが異常なプロセスインジェクションやホロウイングの挙動を示していないか精査することが重要です。

LevelBlueの過去の調査では、Photo Studioというスケジュールタスクと%LOCALAPPDATA%\PhotoStudioVBSという永続化用の痕跡が、複数のBlind Eagle関連のローダー系統を横断的に追跡する上で有用な手がかりになるとされています。

この事例は、ある種の皮肉な運用上の実態を浮き彫りにしています。被害者データを窃取することを目的として構築されたエコシステム自体が、オペレーターの端末が無関係なインフォスティーラーに感染したことで露見してしまったのです。

この侵害により、公開されていたGitHubの段階的展開用アカウントが、マルウェア組み立て、フィッシング準備、回避技術の調達、ペイロード配信の運用実態を広く見渡せる窓口へと変わってしまいました。

IOC（侵害指標）

注: 誤って解決やハイパーリンク化されるのを防ぐため、IPアドレスやドメインは意図的にディフェング（無害化）表記としています（例: [.]）。MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ、必要に応じて元の表記に戻してください。

★ 削減すべきセキュリティツールはどれか? 1枚のシートでスコア化 – 「継承されたセキュリティスタック」ガイドをダウンロード