Matanbuchus 3.0 マルウェア
Matanbuchusは、Cobalt Strikeビーコンやランサムウェアといった次段階のペイロードを配信するために設計された、悪名高いMalware-as-a-Service（MaaS）プラットフォームです。2021年2月にロシア語圏のフォーラムで2,500ドルで初めて宣伝されたこのマルウェアは、瞬く間に脅威アクターの定番ツールとなりました。攻撃者はClickFix型のキャンペーンでMatanbuchusを利用し、正規のウェブサイトでありながら侵害されたウェブサイトを通じてユーザーを騙しています。
目次
配信戦術と進化する脅威ベクトル
マルウェアの拡散手法はますます巧妙化しています。初期のキャンペーンでは、フィッシングメールを多用し、被害者を悪意のあるGoogleドライブのリンクに誘導していました。しかし、時間の経過とともに、攻撃者は以下のような手口を講じるようになりました。
- 侵害されたサイトからのドライブバイダウンロード
- 悪意のあるMSIインストーラー
- マルバタイジングキャンペーン
Matanbuchus は、ランサムウェア感染への踏み台としてよく使用される DanaBot、QakBot、Cobalt Strike などの二次ペイロードを展開することが確認されています。
Matanbuchus 3.0: 高度な機能と特徴
最新版のMatanbuchus 3.0では、ステルス性と持続性を大幅に向上させる大幅な機能強化が導入されています。主なアップグレードは以下の通りです。
- 高度な通信プロトコル技術
- ステルスのためのメモリ内実行
- 検出を回避するための難読化の強化
- CMD および PowerShell によるリバース シェルのサポート
- DLL、EXE、シェルコードのペイロードを起動する機能
この進化は、高度な多段階攻撃を促進するマルウェアの役割を強調しています。
現実世界の悪用：Microsoft Teams を介したソーシャルエンジニアリング
研究者らは、2025年7月に匿名の企業を標的としたキャンペーンを発見しました。攻撃者は、社外とのMicrosoft Teams通話中にITヘルプデスク担当者になりすまし、従業員にリモートアクセス用のクイックアシストを起動するよう誘導しました。これにより、Matanbuchusを展開するPowerShellスクリプトを実行できました。
こうした戦術は、以前 Black Basta ランサムウェア グループに関連付けられていたソーシャル エンジニアリングの手法を反映しており、ローダーとランサムウェアの活動の重複が拡大していることを示しています。
内部構造：感染チェーンと持続性
被害者が提供されたスクリプトを実行すると、アーカイブがダウンロードされます。アーカイブの内容は以下の通りです。
- 名前が変更された Notepad++ アップデータ (GUP)
- 変更されたXML構成ファイル
- ローダーを表す悪意のあるDLL
実行後、Matanbuchusはシステムデータを収集し、セキュリティツールの有無を確認し、権限レベルを確認した後、コマンドアンドコントロール（C2）サーバーに詳細情報を送信します。その後、追加のペイロードがMSIパッケージまたは実行ファイルとして配信されます。永続性は、COMオブジェクトを使用してスケジュールされたタスクを作成し、シェルコードを挿入することで実現されます。この手法は、シンプルさと洗練さを兼ね備えています。
ステルスとコントロール：なぜ危険なのか
このローダーは、プロセス、サービス、インストール済みアプリケーションの詳細情報を収集するためのWQLクエリやリモートコマンドなどの高度な機能をサポートしています。regsvr32、rundll32、msiexecなどのシステムコマンドを実行できるほか、プロセスハローイングも実行できるため、その柔軟性が際立っています。
脅威の背後にある価格設定とビジネスモデル
この MaaS プラットフォームは、その機能セットにより価格が急騰しました。
- HTTPSバージョンは月額10,000ドル
- DNSバージョンは月額15,000ドル
このようなコストは、サイバー犯罪エコシステムにおけるマルウェアの有効性と需要を反映しています。
マタンブチャスとMaaS進化の全体像
最新バージョンは、LOLBin、COMハイジャック、PowerShellステージャーなどを活用し、検知を逃れようとするステルスファーストローダーのトレンドを象徴しています。Microsoft TeamsやZoomといったコラボレーションツールを悪用することで、企業のセキュリティはさらに複雑化しています。研究者たちは、これらの脅威が進化を続ける中、ローダー検出機能を攻撃対象領域管理に統合することの重要性を強調しています。
