SolanaCryマルウェアがWebブラウジングAIエージェントから暗号ウォレットを盗む

概要

マルウェアのオペレーターは、AIコーディングエージェントを標的にしています。これらは正規のスターターキットに偽装された悪意のあるGitHubリポジトリを通して行われます。AIエージェントがこれらのリポジトリを発見し選択すると、READMEに埋め込まれた悪意のあるPowerShellコマンドを実行する可能性があり、NetSupport Manager RATを展開します。これにより、攻撃者が被害者のシステムにリモートアクセスでき、暗号通貨ウォレットの盗難が可能になります。

調査

研究者たちは、GitHub上の悪意のあるSolanaスターターキットリポジトリを発見しました。そこには、ファイルレスペイロードをダウンロードおよび実行するPowerShellのワンライナーが含まれていました。調査によって、21MBのPowerShellドロッパーが回収され、14のNetSupport Managerコンポーネントを隠しスタンディングディレクトリに展開していることがわかりました。設定ファイルの分析により、EVALUSION脅威クラスターに関連付けられた特定のRADIUSシークレットも明らかになりました。

軽減策

開発者は、AIエージェントが処理するすべてのコンテンツ、検索結果、READMEファイルを含め、信頼できない入力として扱うべきです。組織はエージェントが実行するコンテキストおよびコマンドを監視し制限するセキュリティコントロールを実施する必要があります。エージェントは明示的な人間のレビューなしにリモートコードをダウンロードおよび実行できるべきではありません。

対応

妥協が疑われる場合、影響を受けたマシンを即座にネットワークから切断します。隠されたスタンディングディレクトリを削除し、 %LOCALAPPDATA% に関連する永続性レジストリキーを削除してください。最も重要なのは、被害システムからアクセス可能だったすべてのクレデンシャル、トークン、および暗号通貨ウォレットキーを回転することです。

シミュレーション実行

• 攻撃のシナリオ＆コマンド： 攻撃者はユーザーのワークステーションに初期アクセスを成功させました。再起動をまたいでアクセスを維持するために、攻撃者はSolanaCryの永続性メソッドを使用しようとしています。 HKCUSoftwareMicrosoftWindowsCurrentVersionRun という名前の SecureModule を用いて、悪意のある実行可能ファイルを指すレジストリ値を書き込もうとするでしょう。これは、「レジストリを活用する」技術であり、標準のWindowsレジストリハイブ内に永続性メカニズムを隠して基本的なファイルシステムスキャナによる検出を回避しようとしています。

• 回帰テストスクリプト：

  # SolanaCry永続性を模倣するシミュレーションスクリプト
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  $value = "C:UsersPublicclient32.exe"
  
  Write-Host "[+] SolanaCry永続性をシミュレートしようとしています..."
  try {
      New-ItemProperty -Path $registryPath -Name $name -Value $value -PropertyType String -Force -ErrorAction Stop
      Write-Host "[!] 成功：レジストリキー '$name' が作成されました。検出がトリガーされるはずです。" -ForegroundColor Green
  } catch {
      Write-Host "[-] レジストリキーの作成に失敗しました: $($_.Exception.Message)" -ForegroundColor Red
  }

• クリーンアップコマンド：

  # シミュレートされた永続性を削除するクリーンアップスクリプト
  $registryPath = "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
  $name = "SecureModule"
  
  if (Test-Path "$registryPath$name") {
      Remove-ItemProperty -Path $registryPath -Name $name -Force
      Write-Host "[+] クリーンアップ完了：シミュレートされたレジストリキーが削除されました。" -ForegroundColor Cyan
  } else {
      Write-Host "[-] クリーンアップをスキップしました：キーが見つかりません。" -ForegroundColor Yellow
  }