CountLoaderマルウェア
サイバーセキュリティアナリストは、海賊版ソフトウェアを提供するウェブサイトを悪用し、CountLoaderと呼ばれる隠蔽型モジュールローダーの最新亜種を拡散する新たなマルウェア配布キャンペーンを発見しました。クラッキングされたアプリケーションを探しているユーザーを狙うことで、攻撃者はステルスアクセス、防御の回避、そして段階的に追加の悪意あるツールを配布するための最初の足掛かりを得ています。
目次
多段階侵入におけるCountLoaderの役割
このキャンペーンにおいて、CountLoaderはより広範な攻撃チェーンの最初のコンポーネントとして機能します。以前の調査では、このローダーがCobalt Strike、AdaptixC2、PureHVNC RAT、Amatera Stealer、PureMinerなど、様々な二次ペイロードを展開できることが既に示されています。証拠は、CountLoaderが少なくとも2025年6月以降、実際の攻撃で積極的に使用されていることを示唆しており、その成熟度と継続的な開発を裏付けています。
偽のダウンロードからサイレント実行まで
感染シーケンスは、被害者がMicrosoft Wordなどの正規ソフトウェアのクラック版をダウンロードしようとした際に始まります。約束されたアプリケーションではなく、MediaFireがホストするZIPアーカイブにリダイレクトされます。このアーカイブには、暗号化されたZIPファイルと、それを開くために必要なパスワードが便利なWord文書という2つの重要なアイテムが含まれています。
保護されたアーカイブ内には、Setup.exe という名前に変更された正規の Python インタープリタが含まれています。この実行ファイルは、mshta.exe を利用してリモートサーバーから CountLoader バージョン 3.2 を取得し、密かに侵入を開始する悪意のあるコマンドを実行するように設定されています。
欺瞞と環境認識による粘り強さ
長期的なアクセスを確保するため、マルウェアは正規のマルウェアに見えるように設計されたスケジュールタスクを作成することで永続性を確立します。タスク名は「GoogleTaskSystem136.0.7023.12」で、その後に一意の識別子に似た文字列が続きます。このタスクは10年間30分ごとに実行するように設定されており、mshta.exeを起動し、必要に応じてフォールバックドメインを使用します。
CountLoaderは、永続化メカニズムを完成させる前に、Windows Management Instrumentation（WMI）を介してウイルス対策インベントリを照会し、システムに特定のセキュリティ製品が存在するかどうかを確認します。ツールが検出された場合、ローダーは実行方法を巧妙に変更し、 cmd.exe /c start /b mshta.exe を使用します。ツールが検出されない場合は、 mshta.exe を使用してリモートURLに直接アクセスすることで、摩擦と疑念を最小限に抑えます。
拡張機能とモジュール機能
CountLoaderは一度確立されると、感染ホストのプロファイリングを行い、必要に応じて追加のペイロードを取得します。最新バージョンでは、リムーバブルUSBドライブを介した拡散や、mshta.exeまたはPowerShellを使用してメモリ内で直接悪意のあるコードを実行する機能など、新たな機能が導入されています。サポートされる機能は以下の通りです。
- リモート URL から実行可能ファイルを取得して実行する
- ZIPアーカイブをダウンロードし、埋め込まれたPythonモジュールまたはEXEファイルを実行する
- DLL ファイルを取得し、rundll32.exe 経由で起動する
- MSIパッケージのダウンロードとインストール
- フォレンジックの痕跡を減らすために、スケジュールされたタスクを削除する
- 詳細なシステム情報の収集と流出
- 隠されたオリジナルファイルと並行して悪意のあるLNKファイルを作成し、リムーバブルメディアを介して拡散する。コマンドアンドコントロールパラメータを使用してmshta.exe経由で正規のファイルとマルウェアの両方を実行する。
- 攻撃者が制御する URL に対して mshta.exe を直接呼び出す
- リモート PowerShell ペイロードを完全にメモリ内で実行する
最終ペイロード：ACR Stealer
観測された攻撃チェーンにおいて、CountLoaderは最終的にACR Stealerを配信しました。これは、侵害されたシステムから機密データを盗み出すことを目的とした情報窃取型マルウェアです。この最終段階では、海賊版ソフトウェアを使った最初の誘いが、本格的なデータ窃取作戦へと発展します。
このキャンペーンが擁護者に示唆するもの
この攻撃は、CountLoaderの継続的な進化と高度化を実証しています。Pythonインタープリタの悪用、スケジュールされたタスクの偽装、署名付きバイナリの悪用、そしてファイルレスのメモリ内実行といった要素が組み合わさり、よりステルス性の高い侵入手法への広範な移行を反映しています。防御側にとって、この攻撃は、プロアクティブな監視、多層的なセキュリティ管理、そして特に不正なソフトウェアやクラッキングされたソフトウェアのダウンロードに伴うリスクに対するユーザーの意識向上の重要性を改めて認識させるものです。
