新しい手口のマルバタイジング

「SourTrade」として追跡されているマルバタイジングキャンペーンは、セキュリティツールの監視をすり抜けるために異例の手法をとっている。1つの悪意あるファイルを配信するのではなく、ペイロードを断片化し、被害者自身のブラウザにそれらを結合させて動作可能なWindows実行ファイルを組み立てさせるのだ。このキャンペーンに関する報告によると、SourTradeはBun JavaScriptランタイムとブラウザのワーカープロセスを利用してこの組み立てを行っており、すでに12か国での活動が確認されている。

マルバタイジングという用語は、オンライン広告を通じて配信される悪意あるコードを指し、多くの場合、ユーザーは普通に見える広告やウェブページ要素を表示するだけでクリックを必要としない。SourTradeが注目に値するのは、配信方法そのもの（これは一般的）ではなく、被害者のブラウザが広告コンテンツの処理を開始した後に使われる構築手法だ。

ブラウザ組み立て型マルウェアが検出を回避する仕組み

ほとんどのアンチウイルスやエンドポイント保護ツールは、ハッシュベースの検出に大きく依存している。それらはファイルを、既に特定・分類済みのマルウェアの既知のシグネチャと照合する。すべての被害者がまったく同じファイルを受け取る場合、この手法は有効だ。単一のハッシュでそのすべてのコピーを検出できるからだ。

SourTradeはまさにこのモデルを破壊するために設計されたようだ。悪意あるペイロードを断片に分割し、ブラウザのワーカー（メインページをブロックせずにスクリプトを実行するバックグラウンドスレッド）を使って、被害者のブラウザセッション内で実行ファイルを再構築することで、このキャンペーンは感染ごとにユニークなファイルを生成する。2つとして同じハッシュを持つ組み立て済み実行ファイルは存在しないため、従来のシグネチャベースのスキャンが機能する余地は大幅に狭まる。高速なJavaScriptランタイムであるBunを使用することで、このブラウザ内での構築を効率的に実行し、ユーザーやセキュリティツールに気づかれるような明らかなパフォーマンス上の兆候を回避できると報じられている。

組み立てが完了すると、生成されるファイルは標準的なWindows実行ファイルであり、認証情報の窃取から感染マシンへの永続的なリモートアクセスの確立まで、オペレーターが組み込んだあらゆる悪意ある機能を実行できる。

セッションごとのビルドが大規模検出に与える影響

SourTradeが12か国にわたって確認されているという報告は、これが小規模で孤立したテストではなく、実際のインフラストラクチャに支えられた活発なキャンペーンであることを示唆している。セッションごとに実行ファイルを生成する手法は戦術上の重要な転換であり、従来のアンチウイルス防御の最も弱い部分、つまりマルウェアサンプルは静的で被害者間で再利用可能であるという前提を直接狙っている。

セキュリティ研究者は通常、この種の回避策に対しては、ファイルの見た目ではなく動作を監視するビヘイビア検出で対抗するが、そのアプローチには単純なハッシュ照合よりも高度なツールが必要となる。一般ユーザーや多くの小規模組織では、マシン上で稼働しているセキュリティソフトが依然としてシグネチャデータベースに大きく依存している可能性があり、SourTradeのようなキャンペーンが悪用する隙間を生んでいる。一度この方法でマシンが侵害されると、より大規模なボットネット（所有者の知らないうちに遠隔操作される感染デバイスのネットワーク）の一部となり、攻撃者の手口が単一の被害者をはるかに超えて拡大する恐れがある。

これが意味すること

SourTradeのようなキャンペーンからリスクを減らすために、セキュリティ研究者である必要はない。マルバタイジングは一般に、訪問したページに読み込まれる広告や埋め込みスクリプトに依存しており、明らかに怪しいウェブサイトではなく、多くの場合、侵害または悪用された正規の広告ネットワークを介して配信される。つまり、「怪しいサイトを避ける」というよくあるアドバイスだけでは十分な防御にならない。

広告スクリプトやサードパーティのトラッカーをブロックするブラウザ拡張機能は、こうした攻撃に利用される領域を減らす。広告コンテンツそのものが読み込み前にブロックされれば、悪意あるコードの大半は実行される機会を得られないからだ。ブラウザやOSを最新の状態に保つことも重要で、パッチによって、攻撃者がバックグラウンドで静かにスクリプトを実行するために依存する特定の仕組みが塞がれることが多い。また、セッションごとにユニークに構築されるマルウェアはハッシュベースのツールでは捕捉しにくいため、シグネチャ一致だけでなくビヘイビア分析やヒューリスティック分析を含むセキュリティソフトに頼ることで、被害が出る前に異常を検知できる可能性が格段に高まる。

重要なポイント

  • SourTradeのマルバタイジングは、被害者のセッションごとにユニークなWindows実行ファイルを組み立てるため、従来のハッシュベースのアンチウイルス検出の効果が大幅に低下する。
  • このキャンペーンは、Bun JavaScriptランタイムとブラウザのワーカープロセスを使って、ブラウザ内での構築を実行する。
  • 12か国で観測されており、限定的なテストではなく、進行中の実インフラが存在することを示唆している。
  • 広告ブロック用のブラウザ拡張機能、迅速なソフトウェア更新、ビヘイビア検出機能を備えたセキュリティツールは、シグネチャベースのスキャンだけよりも強力な防御を提供する。
  • 感染したマシンは、より大きなボットネットに組み込まれる可能性があり、1台の感染が元の被害者を超えたリスクをもたらす。