ESETは、2026年1月以降、Cruciferraに関連する侵入の試みを70万件以上ブロックしたと明らかにしました。最も被害を受けた国は、トルコ、ギリシャ、スペインです。
クリプター（crypter）は、悪意あるペイロードを暗号化・難読化で包み込み、セキュリティツールに見破られないようにするものです。Cruciferraの最大の特徴は、暗号方式の幅広さにあります。
クラウドセキュリティソリューション
Proofpointは、90種類を超える暗号化ルーチンを確認しています。各ルーチンは、Keccak、Threefish、Feistel系など既存のアルゴリズムの部品を組み合わせて作られています。
このため、あるサンプルを守る暗号方式が、次のサンプルと一致することはほとんどありません。Proofpointの研究者は、これらのアルゴリズムが、よく知られたハッシュ、PRNG、暗号の各コンポーネントからポリモーフィック（多態的）に生成されているとみています。
こうした多様性により、静的解析やシグネチャベースの検知は効果を失います。
Cruciferraが地下フォーラムに初めて登場したのは2025年秋です。Proofpointによると、現在はAsyncRAT、Agent Tesla、Remcos、XWorm、ValleyRAT、Snake Keyloggerを配布する数十件のキャンペーンを支えています。料金は段階制で、月額450ドルから2,000ドルです。
このサービスは、特定の攻撃者に限定されたものではありません。Proofpointは、一部のキャンペーンを中国語圏のグループ「TA4922」によるものと分析しています。同グループは、インド所得税局を装った税金関連のおとりを使っていました。
ほかの攻撃では、米国社会保障局を装ったり、ホスピタリティ業界をテーマにしたおとりを使ったりしていました。確認された標的の内訳は、金融サービスが34%、ヘルスケアが25%、政府機関が10%でした。ただしProofpointは、標的の選定は無差別的（日和見的）だと指摘しています。
ESETはCruciferraについて、マルウェア・アズ・ア・サービス（MaaS）として販売されているクリプターだと説明しています。そのうえで、多彩な復号ルーチンを使う点を特徴として挙げています。
Cruciferraによるマルウェア攻撃
暗号化は、回避手段の一層にすぎません。Cruciferraは通常、DLLサイドローディングで実行されます。ZIPファイルには、正規の実行ファイルと、数百のおとりエクスポートを埋め込んだ悪意あるDLLが一緒に入っています。
実行前には、インポートアドレステーブル（IAT）にパッチを当て、間接システムコールを使うことで、EDRの監視を無効化します。
さらに、脆弱な署名済みドライバーを読み込んでセキュリティ関連プロセスを強制終了させます。これはBYOVD（Bring Your Own Vulnerable Driver）と呼ばれる手法です。
クラウドセキュリティソリューション
最終的なペイロードは、独自にカスタマイズしたプロセスゴースティングの手法で実行されます。ZwQueryVirtualMemoryにパッチを当て、NtManageHotPatchを無力化します。その結果、ゴースト化されたメモリに対するEDRの照会には、加工された結果が返されます。
eSentireの脅威対応部隊（TRU）は、同じツールがClickFixキャンペーンでも使われていることを確認しました。このキャンペーンは「ErrTraffic」で作られています。ErrTrafficは別のMaaS製品で、偽のreCAPTCHA、Cloudflare Turnstile、ブルースクリーンを装ったおとりを生成します。
被害者は侵害されたWordPressサイトに誘導されます。サイトに仕込まれたスクリプトは、ブロックチェーン上のスマートコントラクトから、コマンド＆コントロール（C2）のアドレスを取得します。
続いて、ユーザーをだまして悪意あるPowerShellコマンドを貼り付けさせます。署名済みのMicrosoft製バイナリがCruciferraのDLL（mscoree.dll）をサイドロードし、ServiceModelReg.exeを中空化（ホロイング）して、情報窃取型マルウェア「Remus」を実行します。
eSentireによると、EDRやアンチウイルスの停止機能を含む上位パッケージ「PUROSANGUE」は月額1,200ドルです。より安価な実行ファイル版「COCONUT」は650ドルで、Windows Defenderの除外設定を追加します。
EDRキラー機能を有効にすると、マルウェアはMocoMsysの署名がある脆弱なドライバー「DCRCVDrv.sys」を読み込みます。
その後、デフォルトで145のセキュリティ関連プロセスを強制終了します。対象には、ESET、Microsoft、CrowdStrike、SentinelOneなど、数多くの製品が含まれます。
防御側は、EDRコンソールを通じて、既知の脆弱なドライバーのハッシュをブロックすべきです。
あわせて、C:\Windows\Temp から作成されるサービス、mscoree.dllの想定外のサイドローディング、ブラウザーのプロンプトを受けてユーザーがPowerShellにコマンドを貼り付ける動きにも注意が必要です。
ClickFixのおとりを想定したセキュリティ意識向上トレーニングは、引き続き有効です。この手口は、脆弱性の悪用をユーザーの操作に置き換えているためです。
サンプルごとに暗号化が異なる可能性があるため、シグネチャだけに頼るよりも、ドライバーの読み込みやプロセス改ざんを行動ベースで検知するほうが確実です。
MTTRを21分短縮し、被害が出る前にサイバー脅威を阻止します。ANYRUNのサンドボックスをSOCに導入。
サイバーセキュリティトレーニングコース
翻訳元: https://gbhackers.com/cruciferra-malware-attacks/
