TCLBANKER: WhatsAppとOutlook経由で拡散するブラジルのバンキングトロイの木馬

概要

このレポートでは、新たに特定されたブラジルのバンキングトロイの木馬TCLBANKERを検討しています。このマルウェアは、署名済みのLogitechインストーラを悪用して悪意のある.NETペイロードを配布します。マルウェアには、WPFオーバーレイを使用して金融セッションを標的とするバンキングコンポーネントと、WhatsApp WebとMicrosoft Outlookを悪用して拡散する2つのワームのようなモジュールが含まれています。コマンド・アンド・コントロール通信はCloudflare WorkersのWebSocketインフラを通じて処理され、マルウェアは検出や調査を困難にするために多様な解析回避技術を組み込んでいます。

調査

Elastic Security Labsは、悪意のあるMSIパッケージ、DLLサイドローディング手法、.NETローダー、両方の拡散モジュールを分析しました。研究者は、コマンド・アンド・コントロールのURL、APIキー、スケジュールされたタスクの持続性の詳細、およびマルウェアが標的としている59のブラジルのバンキングドメインのリストを回収しました。分析には、デバッグ防止ロジック、サンドボックス回避手法、マルウェアをアクティブかつ回復力を保つためのウォッチドッグの動作も記録されています。

緩和策

ディフェンダーは信頼されていないインストーラの実行をブロックし、DLLサイドローディングが含まれる LogiAiPromptBuilder.exeを監視し、Outlookとブラウザ環境に最小権限のコントロールを適用するべきです。検出コンテンツは、スケジュールされたタスク RuntimeOptimizeServiceもカバーするべきです。ネットワーク防御は、特定されたCloudflare WorkersのドメインとIPアドレス 191.96.224.96.

レスポンス

TCLBANKERが検出された場合は、影響を受けたエンドポイントを直ちに隔離し、悪意のあるプロセスを終了させ、スケジュールされたタスクを削除し、 %LocalAppData%LogiAI ディレクトリを削除してください。調査官は、DLLハッシュやコマンド・アンド・コントロールのトラフィックなどの法医学的証拠を保存して情報を共有すべきです。侵害されたOutlookとWhatsAppの資格情報はリセットし、追加の拡散の試みに備えて環境を監視してください。

シミュレーション実行

前提条件：テレメトリおよびベースラインのプレフライトチェックが合格している必要があります。

根拠：このセクションでは、検出ルールをトリガーするために設計された敵対者技術（TTP）の正確な実行を詳細に説明します。コマンドとナラティブは、特定されたTTPを直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目的とする必要があります。抽象的または無関係な例は誤診を招くことになります。

• 攻撃の説明＆コマンド：

  1. 悪意のあるDLLを準備する – 攻撃者は悪意のあるDLL（evil.dll）を正当な LogiAiPromptBuilder.exeと同じディレクトリに配置します。DLLは署名されておらず、バンキングトロイの木馬のペイロードを含んでいます。
  2. 正当なバイナリを実行する – 攻撃者は LogiAiPromptBuilder.exe をエクスプローラ（またはPowerShellセッション）から直接実行し、プロセスがOSのDLL検索順序（サイドローディング）によって悪意のあるDLLを読み込むようにします。
  3. 結果のテレメトリ – Sysmon/Event ID 1 はプロセスの作成を記録し、その際 イメージ が logiaipromptbuilder.exe and で終わり、 が explorer.exeが親イメージであることを示します。親が除外リストに含まれているため、Sigmaルールは発火するべきです。 not in the exclusion list, the Sigma rule should fire.

• リグレッションテストスクリプト：

  # -------------------------------------------------------------------------
  # TCLBANKER DLL サイドローディングシミュレーション - PowerShell
  # -------------------------------------------------------------------------
  # 1. パスを定義（異なるワークステーションで実行する場合は調整）
  $logiPath = "$env:ProgramFilesLogitechLogiAiPromptBuilder.exe"
  $dllPath  = "$env:ProgramFilesLogitechevil.dll"
  
  # 2. ダミーの悪意のあるDLLを作成（デモのため、ただのメモ帳のコピー）
  Write-Host "[+] 悪意のあるDLL（シミュレートされたペイロード）の準備中..."
  Copy-Item -Path "$env:SystemRootSystem32notepad.exe" -Destination $dllPath -Force
  
  # 3. 正当なバイナリを起動（親は現在のPowerShellプロセス）
  Write-Host "[+] サイドローディングをトリガーするためにLogiAiPromptBuilder.exeを実行中..."
  Start-Process -FilePath $logiPath -PassThru | Wait-Process
  
  # 4. オプション：プロセスが記録されたことを確認（Sysmon/ELKアクセスが必要）
  Write-Host "[+] シミュレーション完了。検出用のSIEMを検証してください。"

• クリーンアップコマンド：

  # -------------------------------------------------------------------------
  # TCLBANKERシミュレーションのクリーンアップ
  # -------------------------------------------------------------------------
  $dllPath = "$env:ProgramFilesLogitechevil.dll"
  if (Test-Path $dllPath) {
      Write-Host "[+] ステージされた悪意のあるDLLを削除中..."
      Remove-Item -Path $dllPath -Force
  }
  Write-Host "[+] クリーンアップ完了。"