LummaC2が崩壊、Acreedマルウェアがトップに

出典: Delbert Harper via Alamy Stock Photo

最近の国際的な作戦により情報窃取マルウェアが摘発されたにもかかわらず、LummaC2（別名Lumma Stealer）として知られるマルウェアは、ある程度の活動を続けています。しかし、新たなスティーラーであるAcreedが、その不在を埋める形で広く利用されています。

法執行機関の努力により、5月末にLummaのインフラが停止され、その配信サービスに使用されていたWebドメインが押収されましたが、Check Point Researchによると、グループのコマンド＆コントロールサーバーは依然として稼働しており、LummaC2作戦に起因する盗まれた情報の量は増加し続けています。

「Lummaの開発者は、活動を再開し、通常の業務を行うために大きな努力をしています」とCheck Pointの研究者は述べています。

Lummaは2022年に初めて観測されたマルウェアの一種で、Scattered Spider、Angry Likho、CoralRaiderを含む様々なランサムウェアギャングやハッカーによって使用されました。それ以来、マルウェアはYouTubeチャンネルやGitHub、MediaFireなどのオープンソースプラットフォームを通じて、Webフィルターを回避しつつ広く配布されています。時には創造的な手法も用いられます。例えば昨年10月には、Lummaが悪意のあるキャプチャページを使用して被害者を騙し、不正な「確認」プロセスを通過させ、最終的にマルウェアをダウンロードさせるキャンペーンが観測されました。当時の研究者たちは、マルウェア・アズ・ア・サービスのスティーラーを使用する攻撃者は通常、パスワードや暗号ウォレットデータなどの機密情報を盗むことを目的としていると指摘しました。しかし、マルウェアはランサムウェア攻撃、ビジネスメール詐欺（BEC）詐欺、サイバー諜報活動など、あらゆる種類の情報セキュリティ犯罪に使用される様々な資格情報を盗むために使用されています。

関連記事:ChromeがChunghwa、Netlock証明書の信頼を取り下げ

5月に行われた協調的な法執行活動により、Lummaの運営者が使用していた5つのインターネットドメインが押収され、Microsoftは別途、Lummaインフラの他の部分をホストしていた2,300のドメインを停止しました。エージェンシーは、Integrated Dell Remote Access Controller（iDRAC）の脆弱性を利用してLummaのメインサーバーに侵入し、サーバーとそのバックアップを消去することに成功しましたが、Check Pointによると、法執行機関は地理的な位置のためにLummaのメインサーバーを押収することができませんでした。

活動が再開されつつあるにもかかわらず、「Lummaインフォスティーラーには大きな評判の損傷があるようで、インフォスティーラーが通常の活動を再開するための重要な要因は技術的なものではなく、評判の要因になるでしょう」と研究者たちは述べています。「この作戦による損害がLummaサービスの停止、あるいは少なくとも公開広告を終了し、口コミでのマーケティングと顧客の審査に戻ることをもたらすと考える人もいます。他の人々は、この摘発作戦が長期的な影響を与えないと考えています。」

関連記事:新たなハッカーミリオネアクラスの構築方法

インフォスティーラーの次の展開は？

Lummaが摘発の影響で苦しむ中、ある人々はまったく別のグループに注目を移しています。

ReliaQuestによると、Acreedと呼ばれるインフォスティーラーの系統が、ダークウェブで盗まれた資格情報の売買プラットフォームであるロシアンマーケットの資格情報窃取ログで首位に立っています。この地位は以前、2024年第4四半期にロシアンマーケットの資格情報ログアラートの約92％を占めていたLummaによって保持されていました。

新しいインフォスティーラーは、Webzの研究者によって2月10日に初めて観測され、Raccoon、RedLine、Vidar、StealCなどの他の確立されたスティーラー系統を大きく上回り、運用開始から1週間で4,000以上のログがアップロードされました。これはほとんどの他のインフォスティーラーと一致し、「ユーザー情報、クッキー、パスワード、ウォレットなど」を抽出しようとしていますが、ReliaQuestによると、他のスティーラーとは異なり、「各タイプから収集されたファイルの量を示すJSONファイルを提供する」とのことです。

関連記事:法的援助機関が弁護士、被告にデータ侵害を警告