攻撃者が、セキュリティ用ユーティリティを装った悪意あるGitHubプロジェクトを配布し、開発者にAsyncRAT、暗号資産のクリップボード乗っ取りマルウェア、情報窃取型マルウェアを感染させています。
Doctor Webの研究者は、2026年11月5日に公表した調査の中で、2,000台を超える感染コンピューターを確認したと報告しました。
この攻撃活動は当初、ブロックチェーンゲームの愛好者を標的にしていました。その後、スキャン自動化、セキュリティテスト、ログ分析をうたうリポジトリへと対象を広げています。
感染チェーンはモジュール型で、細工された開発用ファイル、PowerShellダウンローダー、Microsoft.exeを装ったElectronローダーを組み合わせています。
悪意あるVisual Studioプロジェクトは、.csprojのPreBuildEventルーチンや.suoファイルに実行指示を埋め込んでいます。PythonやGoのソースコードでは、大量の空白の陰に悪意あるコードを隠していました。
こうした侵入口により、開発ワークフローそのものが実行の仕組みに変わります。同様のリスクは、Visual Studio Codeのタスクを悪用する攻撃にも見られます。リポジトリには、もっともらしいインストール手順が記載されており、被害者にVisual Studioのインストールとプロジェクトのクローンを促します。
Doctor Webが公開したindicators（侵害指標）では、武器化されたソースファイルとして、FscanOutput_v2.2.pyとresource.goが挙げられています。最初のPowerShellステージはPowerShell.Packed.270として検出されます。このステージは、攻撃者のインフラ、またはYouTube、Telegram、Google Docs、GitCode、Pastebinといった正規サービスに問い合わせを行います。
そこで暗号化された文字列を取得し、これを解読するとQuixo.7zのダウンロード先が判明します。このアーカイブは、C:\ProgramData\Windows.Microsoft.Photos配下にElectronアプリケーションをインストールします。
Trojan.Loader.3261に分類されるMicrosoft.exeは、続いて暗号化されたペイロードと設定データを含むNexara.7zをダウンロードします。さらに、Telegramボット経由でシステム情報を送信し、スケジュールタスクとレジストリのRunエントリを使って永続化を確立します。
このローダーのMode3による展開では、親プロセスIDの偽装、Smart App Controlの改ざん、ntdll.dllのアンフック、Halo’s Gateによるシステムコール実行を組み合わせています。
また、EtwEventWriteにパッチを当ててテレメトリを抑止し、AmsiScanBufferにパッチを当ててスクリプト検査を妨害します。これらはAMSIバイパスに関連する手法です。
マルウェアは、設定ファイル内の鍵を使ってboot_f、kernel_f、thread_fの各コンポーネントを復号します。その後、これらをRegAsm.exe、dwwin.exe、dwm.exeのいずれかに注入します。
代替となるMode2とHandlerの経路がフォールバックの展開手段として用意されています。ペイロードの注入完了後には、PowerShellとNetstatを使ってコマンド&コントロール（C2）への接続を確認します。
2つのBackDoor.AsyncRAT.115ペイロードが、それぞれ異なるネットワークポートを通じてリモートアクセスを提供します。このため、複数の攻撃者が1台のワークステーションを同時に操作できる可能性があります。
この展開方法は、より広範なAsyncRATエコシステムの拡張性を反映しています。さらにTrojan.InjectNET.14は、Trojan.Clipper.688をregasm.exeに注入し、クリップボードにコピーされた暗号資産のウォレットアドレスを置き換えます。
置き換えの際、マルウェアはスクリーンショットを取得します。あわせて、アクティブなウィンドウのタイトル、ユーザー名、IPアドレス、クリッパーのバージョンといった状況情報を、攻撃者が管理するTelegramボットへ送信します。攻撃者はこれを監視や動作確認のフィードバックに利用します。
加えて、FileZillaのXMLファイル、MobaXterm.ini、Total Commanderのwcx_ftp.iniも標的とし、接続情報を窃取します。ローダーは収集した情報を圧縮し、Telegram経由で外部に送信します。
一方でローダーは、アンチウイルス製品の削除を試みます。hostsファイルを改変してベンダーのドメインへのアクセスを遮断し、Windows Defender、ユーザーアカウント制御、システムの復元、ボリュームシャドウコピーによる回復機能も無効化します。
16,000以上のSOCチームが、脅威調査の効率化と手作業の削減のためにANY.RUNを活用しています。チームで試してみる
翻訳元: https://cyberpress.org/fake-github-security-tools-asyncrat-malware/
