偽のChocolateyとMicrosoftアクティベーションサイトで新種マルウェア「ArmorSteal」が拡散

攻撃者は、Pythonベースのマルウェアファミリー「ArmorSteal」を、偽のChocolateyおよびMicrosoft Activation Scriptsのサイトを通じて配布しています。これらのサイトは検索エンジンポイズニングで上位に表示されるよう細工されています。

Ethicalhacking tools

このマルウェアは、リモートアクセス、監視、情報窃取の機能を兼ね備えています。パスワード、ブラウザーのCookie、認証トークン、暗号資産ウォレットのデータを盗み出します。

ZscalerのThreat Huntingチームは2026年9月にこのキャンペーンを確認し、10月22日に調査結果を公開しました。攻撃者はインストールコマンドを検索するユーザーを狙っており、日常的なソフトウェアのセットアップ作業が感染経路になっています。

偽のChocolateyとMicrosoftアクティベーションサイトを悪用

タイポスクワッティングされたドメイン「choclatey[.]org」はChocolateyになりすまし、悪意あるPowerShellのインストールコマンドを表示していました。このコマンドを実行すると、ArmorStealが展開されると同時に、正規のChocolateyインストーラーも実行されます。ユーザーが求めたパッケージマネージャーは通常どおり動作するため、感染の兆候は目立ちにくくなります。

もう1つのドメイン「massgravel[.]net」は、Microsoft Activation Scriptsプロジェクトを装っていました。マルウェアのコンポーネントが共通で、タスク署名用のRSA-2048鍵も同一だったことから、2つの配布経路は同一の攻撃者によるものと結び付けられています。

どちらのインストーラーも、管理者権限への昇格を要求し、PowerShellコンソールを非表示にしたうえで、アーカイブを「C:\Windows\SystemHealth\Update」にダウンロードします。このパッケージには、Python 3.11、Pyarmorのランタイムファイル、そしてPyarmor 9.1.7で保護された悪意あるスクリプトが含まれています。

永続化には2つのスケジュールタスクを使います。「SysCheck2」は、ユーザーのログオン時に利用可能な最上位の権限でリモートアクセスモジュールを起動します。「SysCheckX」は、起動から45秒後にSYSTEM権限で同モジュールを実行します。

リモートアクセスモジュールの「SysMon.py」は、感染したシステムの情報を収集し、マザーボードのシリアル番号からマシン識別子を生成します。さらに60秒ごとにコマンド＆コントロール（C2）サーバーへ問い合わせ、被害者個別のPythonタスクやキャンペーン全体向けのPythonタスクを取得します。

このモジュールは、タスクをメモリ上で実行する前にRSA-2048署名を検証します。また、バージョン番号をローカルに保存した値と比較し、古い命令や処理済みの命令が再実行されるのを防ぎます。

ArmorStealは、ipinfo[.]ioに問い合わせてパブリックIPの所有者を調べます。組織名のフィールドに特定のクラウドプロバイダーが含まれていると、偽のメモリエラーを表示して終了します。クラウド上の解析環境を回避する狙いがあるとみられます。

監視モジュールの「basrq.py」は、キー入力とウィンドウタイトルを記録し、0.5秒ごとにクリップボードの内容を確認して暗号資産のアドレスを書き換えます。特定のキーワードをきっかけにスクリーンショットも取得します。さらに、Exodus、MetaMask、Phantomを装った偽の取引通知も表示します。

窃取モジュールの「got.py」は、ブラウザーのパスワード、自動入力データ、クレジットカードのメタデータ、SSH鍵、Steamのセッション、パスワードマネージャーのデータを狙います。22種類のDiscordクライアントのトークンを検証し、21種類のウォレット拡張機能やデスクトップアプリケーションから情報を収集します。

StoreBig Data

Zscalerによると、ブラウザーのCookieはポート9222のChrome DevTools Protocol経由で抽出されます。別のルーチンはドライブ内を検索し、BIP39のリカバリーフレーズを探します。

2つの誘導サイトはすでにオフラインですが、攻撃者はインフラを「pymons[.]is」と「datamons[.]org」に移しました。防御側は、スケジュールタスクの調査、SystemHealthディレクトリの確認、PowerShellによるダウンロードの精査、ブラウザーのリモートデバッグ活動の監視を進めるべきです。あわせて、不正に追加されたMicrosoft Defenderの除外設定も削除してください。

IOC（侵害指標）

注： IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（デファング）しています（例：[.]）。元に戻す場合は、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内に限ってください。

16,000以上のSOCチームがANY.RUNを導入し、脅威調査の効率化と手作業の削減を実現しています。 チームで試してみる