仮想通貨ウォレット「Exodus」を装った悪意あるインストーラーが、ブラウザデータを窃取し、隠れた遠隔操作を可能にするとともに、感染したWindows端末をSOCKSプロキシの中継地点に変えるモジュール型リモートアクセス型トロイの木馬（RAT）の配布に使われています。
研究者らは、2026年7月下旬から8月中旬にかけて、互いに無関係な4つの組織が侵害されたことを確認しました。そのうち3件は8月18日の85分間のうちに発生しており、使用されたインストーラーはわずか1日前に作成されたものでした。
この攻撃キャンペーンでは、Exodus Walletのバージョン24.33.4の正規版が配布されますが、アプリケーションパッケージ内の3つのファイルが密かに改ざんされています。
ウォレットはバックグラウンドで動作し、正規のExodusサービスと通信を続けますが、被害者にそのインターフェースが表示されることはありません。
マルウェアは、このElectronアプリケーションがウィンドウを表示したり、フォーカスを得たり、タスクバーに表示されたりすることを妨げます。これにより、隠れたペイロードが動作を続けている間、ウォレットは一見起動していないかのように見せかけられます。
配布手法の一つは、.pdf.jsで終わるファイル名を持つ、PDFに偽装されたJavaScriptファイルを用いるものです。Windowsでは既知の拡張子が非表示になっていることが多いため、被害者には一見普通のPDF文書のように見えてしまいます。
このファイルを開くと、JavaScriptは信頼できるWebサイトやコンテンツ配信ネットワーク（CDN）由来の正規のおとりPDFを表示します。それと同時に、msiexecを使って悪意あるMSIパッケージを密かにダウンロード・インストールします。
2つ目の手法は、JavaScriptファイルを含むZIPアーカイブを使うものです。ある事例では、このアーカイブはソフトウェアのアップデートを装っていました。Windowsエクスプローラーの圧縮フォルダー表示から直接ファイルを開いた被害者は、同様の感染経路をたどることになりました。
研究者らはさらに、Windowsのsearch-ms:プロトコルを悪用できるインフラも発見しました。
この手法を使えば、ブラウザを攻撃者が管理するWebDAVサーバーに接続されたWindowsエクスプローラーの検索ウィンドウへとリダイレクトできます。これにより、ユーザーはローカルに保存されているように見える悪意あるファイルを実行してしまう可能性があります。
この肥大化したMSIインストーラーは、Exodusの正規インストール先である%LOCALAPPDATA%\exodusではなく、%APPDATA%\ExdBackupTool\にExodusのファイルを配置します。
また、explorer.exeを経由してExodus.exeを起動するため、あたかもユーザーが手動でアプリケーションを開いたかのように見せかけます。トロイの木馬化されたウォレットには、JavaScriptを通じて読み込まれる暗号化済みのメモリ常駐ペイロードが含まれています。
このマルウェアはWindows APIを使ってメモリを確保し、そこにポータブル実行形式（PE）ファイルを書き込み、インポートを解決した上で、最終的なRATをディスクに書き出すことなく実行を開始します。
コマンド＆コントロール（C2）通信には、デッドドロップ経路としてAzure Table Storageが使われます。マルウェアはボットのデータを書き込み、コマンドを取得し、実行結果を送信した上で、Azureがホストするテーブル経由で完了したタスクを削除します。
この手法は正規のクラウドトラフィックに紛れ込みやすく、従来型の攻撃者が管理するドメインへの依存を回避できると、huntressは指摘しています。
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化（例: [.]）されています。再有効化は、MISP、VirusTotal、またはお使いのSIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/exodus-installer-hijacks-pcs/
