Evelyn Stealer
Evelynは、セキュリティ分析や検出を回避しながら、密かに機密データを収集するように設計された、高度な情報窃取型マルウェアです。主な機能は、感染したシステムから貴重な情報を収集し、FTP経由で脅威アクターのコマンドアンドコントロール（C2）インフラストラクチャに流出させることです。
このスティーラーは、保存されたブラウザの認証情報、クリップボードの内容、Wi-Fiのパスワード、暗号通貨ウォレットの情報、詳細なシステム情報など、幅広いデータを収集できます。収集が完了すると、窃取されたすべてのデータはZIPアーカイブに圧縮され、攻撃者のFTPサーバーに送信されます。
目次
サイレントセットアップとWindows機能の悪用
Evelynは実行されると、プロセスインジェクション、ファイルおよびレジストリへのアクセス、ネットワーク通信、クリップボード監視などの機能を含む、動作に必要なWindowsコンポーネントを動的に読み込みます。これらの機能により、マルウェアはシステムに深く統合され、データ窃取という目的を達成することができます。
エヴリンは、隠蔽性を維持するため、手動および自動分析の両方を回避するように設計されています。完全に起動する前に、エヴリンは周囲の環境を評価し、調査対象かどうかを判断します。
組み込み分析とサンドボックス回避
Evelynは、仮想マシン、デバッガー、セキュリティツール、調査ツールなどを検出するために、複数の分析回避技術を採用しています。システムが正規のユーザー環境であることを確認した上でのみ、処理を続行します。
この段階で、マルウェアはユーザーの AppData フォルダ内に独自のディレクトリを作成し、収集した情報とサポート ファイルを保存するために使用します。
積極的なブラウザターゲティングとプロセス操作
マルウェアはまず、システム上に既に存在するブラウザデータを収集し、実行中のブラウザを強制的に閉じます。これにより、データの競合を防ぎ、次の段階であるインジェクションのための環境を準備します。
Evelyn はブラウザのログインデータを盗むために特定の補助ファイルを必要とします。まず、このファイルがシステムの TEMP ディレクトリに既に存在するかどうかを確認します。存在しない場合は、FTP サーバーからファイルをダウンロードしようとします。そして、最終手段として、マルウェア自体が実行しているディレクトリを検索します。
ファイルを取得すると、Evelynは標的のブラウザを高度に制御された方法で起動し、悪意のあるコンポーネントを密かに挿入します。これにより、スティーラーはブラウザに組み込まれた保護機能を回避できます。ユーザーやセキュリティソフトウェアへの警告を回避するため、ブラウザは多数の隠しパラメータを使用して起動されます。これらのパラメータは、ウィンドウの表示を抑制し、セキュリティ機能と拡張機能を無効化し、ログの生成を防止し、ブラウザが開かれたことを示す目に見える痕跡を隠します。これらの対策により、ブラウザデータを密かに抽出することが可能になります。
データ収集の拡大
Evelynはブラウザ以外にも、デスクトップのスクリーンショットをキャプチャし、現在のユーザー名、コンピュータ名、オペレーティングシステムのバージョン、インストールされているアプリケーション、実行中のプロセス、VPN設定など、広範なシステム詳細情報を収集します。また、このマルウェアは暗号通貨ウォレットを積極的に標的とし、クリップボードを監視し、保存されているWi-Fi認証情報を取得します。
収集されたすべての情報は統合され、ZIP アーカイブに圧縮され、FTP 経由で攻撃者の C2 サーバーに送信されます。
感染ベクター：トロイの木馬化された開発者向け拡張機能
Evelynは、正規のアドオンを装った悪意のあるVisual Studio Code拡張機能を通じて配布されます。インストールされると、この拡張機能は通常のLightshotダイナミックリンクライブラリ（DLL）を装った不正なファイルを作成します。その後、正規のLightshotアプリケーションはこの偽のDLLを読み込み、攻撃者のコードを意図せず実行します。
悪意のあるDLLはアクティブになると、隠されたPowerShellコマンドを起動し、追加のペイロードをダウンロードします。この二次コンポーネントは、Evelyn情報窃取ツールの挿入とアクティブ化を担います。
セキュリティへの影響とリスク評価
Evelynは、そのステルス性、広範なデータ収集範囲、そして強力な回避技術により、高リスクの脅威となっています。ブラウザデータ、システムインテリジェンス、そして暗号資産を標的としているため、感染は特に危険です。このスティーラーによる侵害は、金銭的損失、アカウント乗っ取り、そして個人情報の盗難につながる可能性があり、強力なエンドポイント保護、慎重な拡張機能のインストール、そして異常なシステム動作の継続的な監視の重要性を浮き彫りにしています。
