著名な情報窃取マルウェアであるStealCの販売者は現在、Stadia RATと呼ばれる新製品を提供している。Cybersecurity Newsの報道によると、このツールはパスワード窃取と、ステルス的なデスクトップ制御、ファイル閲覧、Windows PC上でのリモートコマンド実行を組み合わせたものだ。Stadia RAT StealCマルウェアの組み合わせが重要なのは、一度きりのデータ窃取を、感染したマシンへの継続的なアクセスに変えてしまうからだ。

元記事は短いため、本記事では報告されている内容に限定し、これらの脅威タイプの一般的な仕組みを平易な言葉で説明する。

Stadia RATがStealCに追加するもの

StealCは情報窃取マルウェア（インフォスティーラー）である。コンピュータから機密データを静かに収集し、攻撃者に送信するために作られたマルウェアだ。StealCの販売者が提供するStadia RATは、その考え方を拡張する。RATはリモートアクセストロージャンの略で、攻撃者に他人のコンピュータを制御する隠れた手段を与えるタイプのマルウェアである。

報道によると、Stadia RATはいくつかの機能を統合している。

  • パスワード窃取：製品のスティーラー側の機能を引き継ぐ
  • ステルス的なデスクトップ制御：攻撃者が画面を見て操作できる
  • ファイル閲覧：攻撃者が感染したPC上のフォルダを調べられる
  • リモートコマンド実行：攻撃者がマシン上で命令を実行できる

実質的な変化は、強奪して逃げる手法から持続的な支配力へということだ。スティーラーは通常、実行して収集できるものを集め、送信して終わる。RATはシステム上に留まり、攻撃者が戻ってきて周囲を調べ、何を持ち去る価値があるかを判断できるようにする。

インフォスティーラーがパスワードとセッションCookieを奪う方法

インフォスティーラーは一般的に、ブラウザやアプリがログイン情報を保存する場所を標的にする。これには保存されたパスワードやセッションCookieが含まれる。セッションCookieは、あなたがすでにログインしていることをウェブサイトに伝える小さなファイルで、毎回パスワードを入力する必要がなくなる。

これがCookie窃取が攻撃者にとって非常に価値がある理由である。犯罪者が有効なセッションCookieを入手すると、パスワードを知らなくてもアカウントにアクセスできる可能性があり、場合によっては多要素認証のプロンプトをトリガーせずに済む。サイトはすでにログインが行われたと認識しているからだ。窃取された認証情報とCookieはしばしばまとめて販売されたり、メール、銀行、ソーシャルメディア、仕事用アカウントの乗っ取りに直接使用されたりする。

インフォスティーラーは一般的に、クラックされたソフトウェア、偽のインストーラー、フォーラムやチャットで共有されたファイルなど、人々が誤って信頼するダウンロードを通じて被害者に到達する。要点は、ユーザーが通常自分でマルウェアを実行してしまうということであり、だからこそ注意深いダウンロード習慣が技術的防御と同じくらい重要なのだ。

RATがWindows PCを静かに乗っ取る方法

RATが実行されると、攻撃者はあなたのコンピュータにリモートで席を得る。デスクトップ制御により、目立った兆候なくあなたの行動を監視したり、システム上で操作したりできる。ファイル閲覧により、文書、ウォレットファイル、その他興味のあるものを探し回れる。リモートコマンド実行により、追加のマルウェアのインストールを含むさらなる命令を実行できる。

最後の点がRATの危険性を高める理由である。窃取されたパスワードは後から変更できるが、ライブアクセスを持つ攻撃者は、あなたが入力する新しいログイン情報を見続け、ブラウザに保存されなかったファイルにも到達できる可能性がある。事後のクリーンアップは、1つのパスワードを変更するだけでは済まない。そのPCで使用されたすべてのアカウントに注意が必要かもしれない。

この種のデータ窃取優先の活動はインフォスティーラーに固有のものではない。窃取されたデータが他の脅威をどのように促進するかの文脈については、Pearランサムウェアグループ分析を参照されたい。これは暗号化ではなくデータ窃取に焦点を当てたグループを分析している。

あなたにとって何を意味するか

Windows PCを使用している場合、主な要点は、この脅威がネットワーク接続ではなくデバイスを標的にするということだ。VPNはデバイスとVPNサーバー間のトラフィックを暗号化するが、すでにインストールされたマルウェアを止めることはできない。Stadia RATや類似のツールがマシン上にあると、トラフィックが暗号化される前に、保存されたパスワード、Cookie、ファイルを直接読み取ることができる。

だからといってVPNが無意味になるわけではない。信頼できないネットワーク上でのトラフィック保護の一層として依然として有効である。ただ、エンドポイントの安全性の代わりにはならないだけだ。同じ論理が上記のPearランサムウェアグループ分析にも当てはまる。攻撃者が侵害されたシステムからデータを窃取する場合、ネットワークプライバシーツールは関連する防御ではない。

リスクを減らすための実践的なステップ

これらのステップはいずれも技術的な専門知識を必要としない。

  1. 海賊版やクラックされたソフトウェアを避ける。 公式ベンダーサイトや信頼できるストアからのみプログラムをダウンロードし、フォーラム、広告、チャットリンクで共有されたインストーラーには注意する。
  2. 多要素認証（MFA）を有効にする。 パスワードだけが窃取された場合の保護を追加する。利用可能な場合はアプリベースまたはハードウェア方式を優先する。
  3. パスワードマネージャーを使用する。 一意のパスワードの作成を支援し、ブラウザに保存される認証情報の数を減らす。
  4. Windowsとセキュリティソフトウェアを最新の状態に保つ。 信頼できるアンチウイルスまたはWindows内蔵の保護で定期的にスキャンを実行する。
  5. 不審なプロセスを確認する。 タスクマネージャーを開いてリソースを使用している見覚えのないプログラムを探すか、Windowsと共に起動するアプリを確認する。何かおかしいと思ったら、無視する前に調査する。
  6. 感染が疑われる場合は迅速に対応する。 インターネットから切断し、デバイスをスキャンし、クリーンなデバイスからパスワードを変更し、アクティブなセッションからサインアウトして窃取されたCookieを無効にする。

結論

Stadia RATの登場は、認証情報窃取とリモート制御がどのようにパッケージ化されつつあるかを示している。Stadia RAT StealCマルウェアの組み合わせは、PCを最前線として扱うべきだということを思い起こさせる。MFAを有効にし、パスワードマネージャーを使用し、海賊版ソフトウェアを避け、不審なプロセスに注意する。VPNはプライバシーの有用な一層だが、コンピュータ上ですでに実行されているマルウェアから保護するものではない。