サイバーセキュリティの研究者は、Polygonブロックチェーンを悪用して配信インフラの重要な構成要素を隠蔽するマルウェア作戦を特定した。これにより、テイクダウン措置が大幅に困難となっている。

ErrTrafficと指定されたこのキャンペーンは、WordPressウェブサイトを標的とし、偽造された認証ページの配信拠点として再利用する。WordPressは世界中のすべてのウェブサイトの約40%を稼働させており、この種の侵害において特に魅力的な対象となっている。侵害されたサイトを訪れたユーザーは、正当なブラウザチェックやCAPTCHA認証に似せて設計されたプロンプトに遭遇し、ソーシャルエンジニアリングによってWindowsコマンドを手動で実行するよう誘導される。ClickFixと呼ばれるこの手法は、ソフトウェアの脆弱性を悪用するのではなく、ユーザーの行動を操作することに依存している。

被害者が指示に従ってコマンドを実行すると、マルウェアがシステムにダウンロードされる。ペイロードによって影響は異なるが、ブラウザデータ、保存された認証情報、セッションクッキー、暗号資産ウォレット情報の窃取が含まれる可能性がある。

WatchGuardの研究者はテレメトリデータを通じてこの活動を検出し、LenAIという別名で活動するフォーラムユーザーが宣伝するErrTrafficマルウェアアズアサービス（MaaS）作戦であると特定した。このインフラは、Vidar、Okobot、LegionLoader、OnionDrop関連ペイロード、BabaDedaLoaderを含む複数のマルウェアファミリーを配信していることが確認された。

Polygonスマートコントラクトがインフラ隠蔽に使用

攻撃チェーンは、ユーザーが感染したWordPressサイトを訪問した時点で開始される。ページに埋め込まれた悪意のあるJavaScriptは攻撃者の実際のエンドポイントを隠し、代わりにリモートプロシージャコール（RPC）サービスを通じてPolygonネットワークと通信し、スマートコントラクト内に保存された設定データを取得する。

その保存されたデータは、攻撃を攻撃者の現在のインフラへと誘導する。EtherHidingとして広く知られるこの手法は、法執行機関やセキュリティチームにとって重大な課題をもたらす。攻撃者は侵害した各ウェブサイト上の悪意のあるコードを変更することなく、ブロックチェーンに保存された設定を更新できるからである。パブリックブロックチェーン上のスマートコントラクトは分散化されたノードネットワーク全体に複製されるため、当局がデータの削除を強制できる単一のホストやレジストラが存在しない。これは従来のドメインやIPベースのテイクダウンでは対処できない、攻撃者側の構造的優位性である。

このインフラはさらに、トラフィックルーティングとジオロケーションベースのフィルタリングを組み込んでおり、オペレーターがどの訪問者に悪意のあるコンテンツを配信するかを選択的に決定することを可能にしている。このアーキテクチャにより、異なるアフィリエイトは配信経路を変更しながら、同じ基盤となるソーシャルエンジニアリングの枠組みを維持できる。

最終段階のPowerShellコマンドは、ランダムに命名された7-Zip実行ファイルと同様にランダム化されたペイロードを取得する場合もあれば、悪意のあるペイロードを直接取得する場合もある。設計上、被害者が実行ステップを開始するため、攻撃者は従来のソフトウェアエクスプロイトへの依存を軽減できる。

複数のマルウェアファミリーが脅威を増幅

このキャンペーンを通じて配信されるペイロードの多様性は、リスクプロファイルを著しく高めている。例えばVidarは、ブラウザデータや暗号資産ウォレットデータを収集する能力がある。研究者は、Telegram、Steam、侵害されたブラジルのウェブサイトを通じて通信する特定のVidarバリアントを観察した。

別のVidarバリアントは、Google ChromeおよびMicrosoft Edgeのプロセス内にリモートスレッドを作成することが確認された。これは、攻撃者がそれらのブラウザが保持する機密情報を抽出することを可能にする手法である。

Okobotもこのキャンペーン内で特定された。これはVolume2という名前のファイルと悪意のあるDLLを含むZIPアーカイブを通じて配信された。調査の結果、OkobotはMicrosoft Defenderの保護を弱め、認証情報の管理を担うWindowsプロセスであるLSASS周辺のセキュリティ制御を妨害しようとすることが判明した。

追加の構成要素には、Torを通じてコマンド＆コントロール（C2）操作のための通信を行うNode.jsバックドアを展開する悪意のあるMSIパッケージが含まれていた。研究者はさらに、正当なアプリケーションの背後に悪意のある活動を隠すためにDLLサイドローディングを使用するOnionDropバリアントも記録した。

さらなる感染チェーンはLegionLoaderおよびBabaDedaLoaderに関連しており、このインフラが単一の脅威ではなく複数のマルウェアファミリーを同時にサポートするよう設計されていることを裏付けている。同時配信モデルは、より広範なマルウェアアズアサービス（MaaS）エコシステムを反映しており、オペレーターが配信インフラを複数の犯罪アフィリエイトに貸し出し、それぞれが独自のペイロードを持ち込んでいる。

セキュリティチームに完全な攻撃チェーンの監視を推奨

防御者は、偽の認証プロンプトが実行ベクターになることを阻止することを優先し、疑わしいPowerShell活動、ブラウザプロセスのインジェクション試行、潜在的に侵害されたウェブサイトへの訪問後に続く不審なダウンロードを調査することが推奨される。

組織はまた、errtraffic_sessionクッキーを設定するWordPressサイトを監視し、不審なページへの訪問直後に発生するPolygon RPCエンドポイントへのネットワーク接続を精査することもできる。新しく作成されたDLLファイルや予期しないダウンロードは、追加の侵害指標として機能する場合がある。

WordPressのインストール、プラグイン、テーマを最新の状態に保ち、注入されたスクリプトを削除することで、攻撃者に悪用されるウェブサイトの数を減らすことができる。

このキャンペーンは、正当な技術が悪意のある操作を隠蔽するために転用されるサイバー犯罪のより広範な傾向を浮き彫りにしている。ブロックチェーンインフラ、Windowsの組み込みユーティリティ、ブラウザプロセス、信頼されたウェブサイトはそれぞれ攻撃内で限定的な役割を果たすが、それらの統合により全体の操作の検出と解体が著しく困難になる。EtherHiding手法が成熟するにつれて、スマートコントラクト内に設定データを保存するという根本的なアプローチはチェーン固有ではないため、防御者はPolygon以外のEVM互換ネットワークへの同様の悪用の拡大に遭遇する可能性がある。

セキュリティ専門家は、組織が個々のマルウェアファミリーに焦点を当てるのではなく、完全な感染チェーンを監視することを推奨している。このアプローチにより、将来のErrTrafficバリアントを特定する可能性が高まる。

出典：CoinTrust