Warden Stealer: AIエージェントデータに飢えた情報スティーラーの急速な台頭

概要

Warden Stealerは、Windowsシステムをターゲットにした新興のRustベースのマルウェア・アズ・ア・サービスのインフォスティーラーです。AIアシスタントやエージェンティックコーディングツールから設定ファイルやローカルデータを収集することで際立っています。このマルウェアには、クレデンシャルの窃取と収益化の能力を拡大する内蔵のローダーと暗号通貨クリッパーも含まれています。

調査

研究者は、技術的な調査結果と地下フォーラムの広告や脅威アクターのインタビューを関連付けることでWarden Stealerを特定しました。Rustの特徴的な実装、コード変形機能、特定の暗号通貨クリッパーの設定を通じて、CallbackBeaverマルウェアがWarden Stealerにリンクされました。調査では、アプリケーションバウンド暗号化（ABE）バイパス技術や高度なローダー注入方法も文書化されました。

軽減策

組織は、explorer.exeのような正当なプロセスへの疑わしいプロセスの注入や、certutil.exeの不正な使用を監視するべきです。エンドポイントのセキュリティコントロールは、潜在的なABEバイパス活動に関連した異常なメモリアクセスパターンも検出する必要があります。AIエージェントの設定ファイルを保護し、露出または高価値のアクセス トークンをローテーションすることで、クレデンシャルの窃取リスクをさらに低減できます。

対応策

Warden Stealerの活動が検出された場合、さらにデータ漏洩や横移動を防ぐために、影響を受けたWindowsエンドポイントを隔離します。インジェクトされたペイロードを特定するためにメモリフォレンジックを実施し、%TEMP%に不正なバイナリがないか確認します。ブラウザに保存されたクレデンシャル、セッションクッキー、特にAIエージェントのアクセスとリフレッシュトークンを回転します。

シミュレーション実行

• アタックナラティブとコマンド: 敵対者がWarden Stealerのペイロードを正常に実行しました。ファイルベースのシグネチャによる検出を回避するため、マルウェアは正当なプロセス内に潜伏するためのプロセス注入を使用します。一度確立されると、マルウェアは盗んだクレデンシャルをエクスフィルトレートするため、コマンドアンドコントロール（C2）サーバーに接続しようとします。この検出ルールを検証するため、既知の悪意のあるドメインに接続するプロセスをシミュレートします。 skibidistealer.team ポート443経由。 検出ロジックの一致を引き起こすことを意図しています。 match in the detection logic.

• 回帰テストスクリプト:

  # Warden Stealer C2シミュレーションスクリプト
  # このスクリプトは、ブラックリストに載っているWarden Stealerドメインへの接続をシミュレートします。
  
  $C2_Domain = "skibidistealer.team"
  $Port = 443
  
  Write-Host "[+] ポート$Portで$C2_DomainへのC2通信のシミュレーションを開始しています..." -ForegroundColor Cyan
  
  try {
      # 標準のWebリクエストを使用して、
      # 悪意のあるドメインへのHTTPS通信のプロセスの動作を模倣します。
      $Response = Invoke-WebRequest -Uri "https://$C2_Domain" -Method Get -UseBasicParsing -TimeoutSec 5
      Write-Host "[!] 接続成功。（シミュレーションのために期待された）。" -ForegroundColor Green
  }
  catch {
      if ($_.Exception.Message -match "SSL/TLSセキュアチャンネルを作成できませんでした" -or $_.Exception.Message -match "接続できません") {
          Write-Host "[+] 接続試行済みおよび予想通りブロック/失敗しました（ドメインが存在しない可能性が高いです）。" -ForegroundColor Yellow
      } else {
          Write-Host "[-] エラーが発生しました: $($_.Exception.Message)" -ForegroundColor Red
      }
  }
  
  Write-Host "[+] シミュレーション完了。" -ForegroundColor Cyan

• クリーンアップコマンド:

  # このシミュレーションスクリプトによって持続的な変更は行われません。
  # 一時的なネットワーク接続が閉じられるように確認します。
  Write-Host "[+] シミュレーション中のアーティファクトをクリーンアップしています..."
  Remove-Item -Path "$env:TEMP*.tmp" -ErrorAction SilentlyContinue