セキュリティ企業のHuntressに所属する研究者らは、被害者をだまして人気の暗号資産ウォレットアプリ「Exodus」を実際にインストールさせながら、そのウォレットを二度と起動できないよう無効化し、隠れたスパイツールの隠れ蓑として利用するマルウェアキャンペーンを発見しました。
同社によると、2026年7月下旬から8月中旬にかけて4つの組織が侵害されたことが確認されており、そのうち3件は同じ日の85分間という短い時間帯に発生していました。使用されたマルウェアは、展開される前日にビルドされたものでした。
Huntressによれば、被害者は業務文書または通常のソフトウェアアップデートを装ったファイルを開くよう誘導されました。実際には、そのファイルはひそかにWindows用インストーラーをダウンロードし、そのインストーラーはApple製の「バックグラウンドサービス」であるかのように装っていましたが、これは虚偽でした。このインストーラーは、バージョン24.33.4の本物で、ほぼ無改変のExodusウォレットを被害者のマシンにインストールしていました。ウォレットに同梱された約2,000個のファイルのうち、改変されていたのはわずか3個だけだったと研究者は報告しています。
その改変のうち1つは、ウォレットがウィンドウを表示しないようにするもので、これによりタスクバーにも表示されず、ユーザーが閉じたり操作したりすることも一切できなくなっていました。残る2つの改変ファイルはローダーを構成しており、ディスクに一切書き込むことなく、10メガバイトの別のペイロードをコンピューターのメモリ上で直接復号・実行する仕組みでした。
この隠されたペイロードは、6つの機能を備えたモジュール式のリモートアクセス型トロイの木馬(RAT)であると研究者は説明しています。その機能とは、リモートコマンド実行、ファイルの閲覧および転送、攻撃者が被害者に気づかれることなくデスクトップを閲覧・操作できる隠し仮想ネットワーク接続(VNC)、感染したコンピューターをさらなる攻撃の中継地点に変え得るSOCKSプロキシ、スクリプトエンジン、そしてChrome、Edge、Firefoxから保存済みパスワード・Cookie・ブラウザデータを窃取するために作られたモジュールです。
暗号資産ウォレットを装ってはいるものの、このマルウェアはウォレットデータやシードフレーズ、暗号資産そのものを直接狙うものではないとHuntressは述べています。研究者らはむしろ、このキャンペーンは広範囲にわたる手動でのリモートアクセスと認証情報の窃取を目的として構築されたものであり、ウォレットは純粋なカモフラージュとして利用されていると説明しています。
インストールされたソフトウェアの大部分が、本物のExodusサーバーと通信する、改変されていない正規のExodusコードであったため、Huntressによるテスト当時、この改ざん済みインストーラーはVirusTotal上の76個のアンチウイルスエンジンいずれからも検出されませんでした。
このマルウェアは、攻撃者が所有するサーバーとの通信も避けていました。研究者らが発見したところによると、代わりにMicrosoftのAzure Table Storageサービスと通信しており、この手法によってネットワークトラフィックは通常の正規クラウド活動に紛れ込み、不審なドメインに紐づく警告が発生しにくくなっていました。
アクセスを維持するため、このマルウェアはスケジュールタスクを作成し、1時間おきにひそかに不可視状態のウォレットを再起動させていました。また、Huntressはこれより以前に確認されていた別のタスクとして、被害者の企業プロキシ設定を繰り返しリセットするものも特定しており、これはマルウェアの発信トラフィックがネットワークセキュリティ管理によってブロックまたは検査されるのを防ぐために特別に組み込まれた仕組みとみられます。
Huntressによると、今回の攻撃は、配信の仕組みとトロイの木馬化されたウォレットの両方の背後に単一のツールチェーンが存在することを示す痕跡があり、共通のコード難読化手法や、Intelになりすましたnpmソフトウェアパッケージなどがそれに当たるといいます。研究者らは、これらの痕跡を確認した組織に対し、該当ホストを完全なインタラクティブ侵害として扱い、有効なブラウザセッションを無効化した上で、パスワードのリセットだけでなく認証情報のローテーションを行うよう推奨しています。
侵害指標(IOC)を含むHuntressの完全な技術レポートは、以下で公開されています:The Crypto Wallet That Never Opened: Tampered Exodus Installer Hides a Modular RAT
