高度な脅威リサーチ：ロシア発の情報収集型スティーラーマルウェアを徹底解析

ロシア発のマルウェアであるCollector-stealerは、エンドユーザーシステムから機密データを窃取し、C&Cパネルに保存する目的で、インターネット上で広く使用されています。業界によるこの脅威への防御を支援するため、F5 Office of the CTO内のAdvanced Threat Research Center of Excellenceに所属するAditya K SoodとRohit Chaturvediが、Collector-stealerマルウェアを360度の視点から分析し、バイナリ解析、動作の仕組み、関連するC&Cパネルの設計にまつわる隠れた痕跡を明らかにします。

Collector-stealerは、比較的短期間で広く蔓延しています。このマルウェアによって窃取された情報は、一般に悪用目的でアンダーグラウンド市場に流通します。攻撃者はCollector-stealerを使用して主に欧州諸国を標的としていますが、米国、中国、カンボジアなど、その他の国のユーザーにも影響が及んでいます。

この分析で明らかになったCollector-stealerの主な特徴と注目すべき点は、次のとおりです。

• Collector-stealerは、次のような複数の方法で感染を開始します。
  • 無料ゲームのダウンロードを提供するフィッシングポータルにユーザーを誘導する
  • Windowsのライセンス認証／クラック用ソフトウェアパッケージ
  • 偽のマイニングWebポータル（暗号資産ソフトウェアプロバイダーのポータルに類似したコンテンツを模倣し、ドライブバイダウンロード攻撃を誘発するWebポータル）
• Collector stealerはC++で記述されており、保存されたパスワード、Webデータ、Cookie、スクリーンショットなどの重要なデータを窃取する目的でユーザーのマシンに感染します。マルウェアの作成者は、研究者による解析を妨げ、コードを複雑化するために、コードに難読化技術を使用しています。
  
• Collector-stealerは、C&Cサーバーにデータを送信する前に、Cloudflare DNSリゾルバーのIPアドレス1.1.1.1にpingを実行し、被害端末のインターネット接続を確認します。pingリクエストが失敗した場合、収集したデータとともに実行ファイルを被害端末から削除し、その後何も表示せずに終了します。成功した場合は、収集したデータをC&Cサーバーに送信します。
  
• Collector-stealerは、収集したデータをHTTPプロトコルのPOSTメソッドで送信します。送信前に、マルウェアはデータを.zipアーカイブファイルに圧縮し、C&Cサーバーに送信します。
  

Collector-stealerは、幅広いマルウェア機能を備えていることから、アンダーグラウンドフォーラムで人気を集めました。多くのユーザーがこのマルウェアの購入に関心を示しており、一部のグループはクラック版の提供まで試みています。ロシアのグループ「Hack_Jopi」は、2018年10月からフォーラムでCollector-stealerを販売しています。

このマルウェアの詳細な分析をまとめた調査結果がVirus Bulletinで公開されています。上記をはじめとする調査結果の詳細については、以下のリンクから調査論文をご覧ください。
https://www.virusbulletin.com/virusbulletin/2021/12/collector-stealer-russian-origin-credential-and-information-extractor/ 

ぜひご覧ください。