フォローする
Detection stack
- AIDR
- Alert
- ETL
- Query
概要
LummaStealerは、2025年の重大な法執行妨害後に再出現した情報窃取ツールです。最近の活動は CastleLoader、偽の「クラックされた」ソフトウェアや偽のCAPTCHAページのようなソーシャルエンジニアリングのルアーを通じてLummaStealerを配信するスクリプトベースのローダーです。このチェーンは、メモリ内実行、攻撃的な難読化、双方のマルウェアファミリー間でのインフラストラクチャの共有を強調しています。防御側は、異常なDNS行動、 AutoIt の実行トレース、および一般的な持続性パターンの探索を優先することができます。
調査
Bitdefenderの研究者は、新しいサンプルを分析して確認しました CastleLoader がLummaStealerの主な配信メカニズムです。で書かれた AutoIt、ローダーはサンドボックスチェックを行い、持続性を Local AppDataに確立し、失敗したDNSクエリを繰り返すことで特徴的なネットワークシグナルを生成します。アナリストはまた、 GrayBravoとリンクされたサービスとのインフラストラクチャの重複を指摘しました。関連するコマンドライン文字列とコードスニペットが検出ルール開発をサポートするために抽出されました。
緩和策
クラックされたソフトウェア、ゲームインストーラー、および他の信頼されていないメディアパッケージのダウンロードをブロックして露出を減らします。未知の AutoIt のスクリプトの実行を防ぐか厳しく管理し、以下にファイルが作成されるか監視します CraftStitch Studios Inc-名前のパスに従って。疑わしい侵害があった後に MFA を施行し、資格情報をローテーションします。特徴的な失敗したDNSルックアップと関連する悪意のあるIPインフラストラクチャをフラグまたはブロックするためにネットワーク制御を適用します。
対応
CastleLoaderまたはLummaStealerのアーティファクトが見つかった場合は、ホストを隔離し、疑わしい AutoIt プロセスを停止し、持続性アーティファクトを削除します %LocalAppData%CraftStitch Studios Inc。ドロップされたペイロード、関連するネットワークテレメトリ、および作成されたショートカットを収集して証拠を保全します。露出した資格情報をリセットし、アクティブなブラウザーセッションを無効にします。抽出されたIOCsを使用して追加の影響を受けたホストを識別するために検出を更新します。
"graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef operator fill:#ff9900 classDef builtin fill:#cccccc %% Nodes u2013 Initial Access init_user_execution["<b>Action</b> – <b>T1204 User Execution</b>: Victims run fake cracked software or game/movie installers.<br/><b>Description</b>: Execution of malicious code by the user."] class init_user_execution action init_mal_copy_paste["<b>Action</b> – <b>T1204.004 Malicious Copy and Paste</b>: Users follow ClickFix CAPTCHA instructions to copy and paste malicious commands.<br/><b>Description</b>: Attacker guides victim to execute attackeru2011controlled code."] class init_mal_copy_paste action %% Nodes u2013 Loader Deployment loader_autoit["<b>Tool</b> – <b>T1059.010 AutoIt Interpreter</b>: Compiled CastleLoader script.<br/><b>Description</b>: Executes heavily obfuscated AutoIt code."] class loader_autoit tool obfuscation["<b>Action</b> – <b>T1027.009 Embedded Payloads</b>: Obfuscated AutoIt script hides malicious payload.<br/><b>Description</b>: Uses encoding and packing to evade analysis."] class obfuscation action masquerading["<b>Action</b> – <b>T1036 Masquerading</b>: Loader disguised as a legitimate installer with common software extensions.<br/><b>Description</b>: Appears benign to the user and security tools."] class masquerading action %% Nodes u2013 Persistence persistence_shortcut["<b>Action</b> – <b>T1547.009 Shortcut Modification</b>: Creates .lnk and .url files in the Startup folder.<br/><b>Description</b>: Persists by launching on user logon."] class persistence_shortcut action persistence_task["<b>Action</b> – <b>T1053 Scheduled Task</b>: VBA script registers a scheduled task for repeated execution.<br/><b>Description</b>: Runs payload at defined intervals."] class persistence_task action persistence_init["<b>Action</b> – <b>T1037 Logon Initialization Scripts</b> and <b>T1547.014 Active Setup</b>: Executes scripts during user logon via registry keys.<br/><b>Description</b>: Ensures code runs each login."] class persistence_init action hijack_execution["<b>Action</b> – <b>T1574 Hijack Execution Flow</b>: Reflective loading of the malicious payload into memory.<br/><b>Description</b>: Executes without writing files to disk."] class hijack_execution action %% Nodes u2013 Defense Evasion defense_virtual["<b>Action</b> – <b>T1497 Virtualization/Sandbox Evasion</b> and <b>T1497.002 User Activity Checks</b>: Detects analysis environment and aborts execution.<br/><b>Description</b>: Avoids sandbox detection."] class defense_virtual action defense_reflective["<b>Action</b> – <b>T1620 Reflective Code Loading</b>: Loads code via reflection to hide activity.<br/><b>Description</b>: Bypasses static analysis tools."] class defense_reflective action %% Nodes u2013 Command and Control c2_dga["<b>Action</b> – <b>T1568.002 Domain Generation Algorithms</b>: Generates pseudou2011random domains causing failed DNS lookups.<br/><b>Description</b>: Provides dynamic C2 endpoints."] class c2_dga action c2_dns["<b>Action</b> – <b>T1071.004 DNS Protocol</b>: Communicates over DNS queries and responses.<br/><b>Description</b>: Uses applicationu2011layer DNS for C2."] class c2_dns action c2_web["<b>Action</b> – <b>T1102 Web Service</b>: Bidirectional communication via HTTPS web service.<br/><b>Description</b>: Serves as primary C2 channel."] class c2_web action %% Nodes u2013 Credential Access cred_browser["<b>Action</b> – <b>T1555.003 Credentials from Web Browsers</b>: Steals stored passwords, cryptou2011wallet files and session data.<br/><b>Description</b>: Extracts credentials from Chrome, Firefox, etc."] class cred_browser action cred_cookie["<b>Action</b> – <b>T1550.004 Web Session Cookie</b>: Uses stolen cookies as alternate authentication material.<br/><b>Description</b>: Reu2011uses valid web sessions."] class cred_cookie action forge_cookie["<b>Action</b> – <b>T1606.001 Forge Web Credentials</b>: Creates forged cookies to impersonate victims.<br/><b>Description</b>: Enables unauthorized access to web services."] class forge_cookie action %% Nodes u2013 Exfiltration exfil_c2["<b>Action</b> – <b>T1041 Exfiltration Over C2 Channel</b>: Sends harvested data through the webu2011service C2.<br/><b>Description</b>: Data leaves the network via the same channel used for command and control."] class exfil_c2 action %% Connections u2013 Attack Flow init_user_execution –>|leads_to| loader_autoit init_mal_copy_paste –>|leads_to| loader_autoit loader_autoit –>|uses| obfuscation loader_autoit –>|masquerades_as| masquerading loader_autoit –>|establishes| persistence_shortcut loader_autoit –>|establishes| persistence_task loader_autoit –>|establishes| persistence_init persistence_shortcut –>|enables| hijack_execution persistence_task –>|enables| hijack_execution persistence_init –>|enables| hijack_execution hijack_execution –>|employs| defense_virtual hijack_execution –>|employs| defense_reflective hijack_execution –>|connects_to| c2_dga c2_dga –>|resolves_via| c2_dns c2_dns –>|communicates_via| c2_web c2_web –>|steals| cred_browser c2_web –>|captures| cred_cookie c2_web –>|enables| forge_cookie cred_browser –>|provides| exfil_c2 cred_cookie –>|provides| exfil_c2 forge_cookie –>|provides| exfil_c2 %% Styling class init_user_execution,init_mal_copy_paste action class loader_autoit,obfuscation,masquerading tool class persistence_shortcut,persistence_task,persistence_init,hijack_execution,defense_virtual,defense_reflective,cred_browser,cred_cookie,forge_cookie action class c2_dga,c2_dns,c2_web,exfil_c2 action "
攻撃フロー
検出
考えられるAVプロセス列挙/操作 (cmdline経由)
表示
考えられるAutoHotkeyスクリプト実行試行(cmdline経由)
表示
実行可能バイナリの異常な拡張子 (process_creation経由)
表示
Schtasksが疑わしいディレクトリ/バイナリ/スクリプトを指す (cmdline経由)
表示
LOLBAS WScript / CScript (process_creation経由)
表示
AutoITバイナリが異常な場所から実行された (process_creation経由)
表示
疑わしいPowershell文字列 (cmdline経由)
表示
検出するIOCs（SourceIP）：LummaStealerがCastleLoaderと並行して再起動中
表示
検出するIOCs（DestinationIP）：LummaStealerがCastleLoaderと並行して再起動中
表示
プロセス実行によるLummaStealerとCastleLoaderの活動を検出する [Windowsプロセス作成]
表示
悪意のあるPowershellワンライナーの実行を検出する [Windows Powershell]
表示
シミュレーション実行
前提条件: テレメトリーとベースラインの事前チェックが完了している必要があります。
理由: このセクションでは、特定の検出ルールをトリガーするように設計された攻撃者技術（TTP）の正確な実行を詳述します。コマンドとナラティブは、識別されたTTPsを直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的とします。抽象的または無関係な例は誤診につながる可能性があります。
-
攻撃ナラティブとコマンド:
- 初期ドロップ: 攻撃者はユーザーのコンテキストを獲得し（例: フィッシング経由）、正当な
explorer.exeプロセスを使用して、マウントされたネットワーク共有にある悪意のあるペイロードを起動します:DeviceHarddiskVolumeXNFSNeed for Speed Hot PursuitSetup.exe. - 持続性とランチャー: 悪意のある
Setup.exeが実行された後、それは同じディレクトリにバッチスクリプト（Pros.cmd）をドロップします。攻撃者はcmd.exe /c copy Pros Pros.cmd & Pros.cmdを使用してスクリプトを実行し、追加のペイロードをロードします。 - AutoItプロキシ: 同時に、ローダーは
AutoIt3.exeを呼び出して埋め込まれたスクリプト（V.a3x）を使用してAppLockerをバイパスします。これはselection_autoit条件を反映しています。
これらのステップは、Sigmaルールによって必要とされる正確な3つのテレメトリパターンを生成します:
explorer.exeハードコーディングされた悪意のあるSetup.exeパス、 andcmd.exeと/cのいずれかのコピー＆実行チェーン or AutoIt実行。
- 初期ドロップ: 攻撃者はユーザーのコンテキストを獲得し（例: フィッシング経由）、正当な
-
回帰テストスクリプト:
# ----------------------------------------------- # LummaStealer / CastleLoader シミュレーションスクリプト # ----------------------------------------------- $maliciousDir = "$env:ProgramDataNFSNeed for Speed Hot Pursuit" $setupPath = Join-Path $maliciousDir "Setup.exe" $batchPath = Join-Path $maliciousDir "Pros.cmd" $autoItPath = Join-Path $maliciousDir "V.a3x" # 1. ディレクトリ構造を作成 New-Item -Path $maliciousDir -ItemType Directory -Force | Out-Null # 2. ダミーの悪意のあるファイルを配置（ログにとって空のファイルで十分） New-Item -Path $setupPath -ItemType File -Force | Out-Null New-Item -Path $batchPath -ItemType File -Force | Out-Null New-Item -Path $autoItPath -ItemType File -Force | Out-Null # 3. explorer.exeが悪意のあるSetup.exeを起動するシミュレーション Start-Process -FilePath "explorer.exe" -ArgumentList $setupPath # 最初のイベントがログに記録されることを確実にするための短い待ち時間 Start-Sleep -Seconds 2 # 4a. cmd.exe コピー＆実行チェーンをトリガー cmd.exe /c "copy Pros.cmd $batchPath & $batchPath" # 4b. （代替）AutoIt実行をトリガー—このパスをテストする場合はコメントを解除 # Start-Process -FilePath "AutoIt3.exe" -ArgumentList $autoItPath # 5. イベントがSIEMに流れるのを待つ Start-Sleep -Seconds 5 -
クリーンアップコマンド:
# シミュレーションで作成されたすべてのアーティファクトを削除 Remove-Item -Path "$env:ProgramDataNFS" -Recurse -Force -ErrorAction SilentlyContinue