Zscalerの脅威ハンティングチームは、2026年9月にSEOポイズニングキャンペーンを確認しました。10月22日に公開した調査レポートで、その手口の詳細を明らかにしています。
攻撃者が狙ったのは、ソフトウェアのインストールコマンドを検索するユーザーです。検索結果から、本物そっくりのなりすましページへ誘導していました。
偽のChocolateyドメイン「choclatey[.]org」には、悪意あるPowerShellコマンドが表示されていました。このコマンドはArmorStealをインストールすると同時に、正規のChocolateyインストーラーも起動します。そのため、ユーザーが求めたソフトウェアは通常どおり動作します。
もう1つのサイト「massgravel[.]net」は、Microsoft Activation Scriptsプロジェクトになりすましていました。両サイトには共通のマルウェアコンポーネントがあり、同一のRSA-2048タスク署名鍵も使われています。このことから、同じ攻撃者の仕業と結び付けられました。
どちらのインストーラーも、昇格した権限を要求し、PowerShellウィンドウを隠したうえで、アーカイブをC:\Windows\SystemHealth\Update\にダウンロードします。アーカイブにはPython 3.11、Pyarmorのランタイムファイル、そしてPyarmor 9.1.7で保護された悪意あるスクリプトが含まれています。
永続化には2つのスケジュールタスクを使います。「SysCheck2」は、ユーザーのログオン時に利用可能な最高権限でリモートアクセスモジュールを起動します。「SysCheckX」は、起動の45秒後にSYSTEM権限で同モジュールを実行します。
リモートアクセス用コンポーネントの「SysMon.py」は、感染した端末の情報を収集し、マザーボードのシリアル番号からマシン識別子を生成します。60秒ごとにコマンド＆コントロール（C2）サーバーへ問い合わせ、特定の端末向け、またはキャンペーン全体向けのPythonタスクを取得します。
コードをメモリ上で実行する前に、RSA-2048署名を検証し、バージョン番号も確認します。これにより、同じコードの重複実行を防いでいます。
ArmorStealは、ipinfo[.]ioを使ってパブリックIPの所有者も調べます。返された組織名が特定のクラウドプロバイダーと一致すると、偽のメモリエラーを表示して終了します。クラウド上に構築された解析環境を回避する狙いがあるとみられます。
監視モジュールの「basrq.py」は、キー入力とアクティブウィンドウのタイトルを記録します。さらに、0.5秒ごとにクリップボードの内容を確認し、暗号資産のアドレスを攻撃者が管理するものにすり替えます。
Zscalerによると、設定されたキーワードが画面に現れるとスクリーンショットを取得します。また、Exodus、MetaMask、Phantomになりすました偽の取引通知も表示します。
情報窃取モジュールの「got.py」が狙うのは、ブラウザーに保存されたパスワード、オートフィルの記録、クレジットカードのメタデータ、SSH鍵、Steamのセッション、パスワードマネージャーのデータです。22種類のDiscordクライアントからトークンを検証し、21種類のウォレット拡張機能やデスクトップアプリケーションからもデータを収集します。
2つの偽サイトは、10月初旬までにオフラインになりました。しかし研究者は、その後もインフラが変更され続けていることを確認しています。攻撃者はC2の通信先をworkerstats[.]netからpymons[.]isとdatamons[.]orgへ移し、トークンで保護されたモジュールのダウンロードを導入しました。
防御側は、SysCheck2とSysCheckXの有無を調べ、SystemHealthディレクトリを確認することが重要です。あわせてPowerShellのダウンロードログを精査し、リモートデバッグを有効にして起動されたブラウザーを監視する必要があります。
Zscalerはほかにも、不正に追加されたDefenderの除外設定を削除すること、実行前にインストールコマンドを確認することを推奨しています。
注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（例: [.]）しています。無害化を元に戻すのは、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内に限ってください。
1万6,000以上のSOCチームが、ANY.RUNで脅威調査を効率化し、手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/fake-chocolatey-websites-armorsteal-password-stealing/
