caption - 攻撃概要図

今回のContagious Interviewキャンペーンの攻撃フローは2つに分かれている。対象の環境や攻撃段階に応じて、BeavertailとInvisibleFerretを配布するか、または別途OtterCookieを配布していた。

3.1. Beavertail、InvisibleFerret

3.1.1. task.json - Downloader

該当のダウンローダーはVSCodeによってのみ実行される。runOptionsのrunOnオプションがfolderOpenに設定されているため、リポジトリのフォルダーがVSCodeで開かれた場合に、自動的に挿入されたコマンドが実行される仕組みである。

caption - .vscode/task.jsonの長い空白によって隠されたコマンド

挿入されたコマンドは計3つで、ユーザーのオペレーティングシステム（linux、macOS、windows）に適合するコマンドが実行される。コマンドの動作は、C&Cサーバーからスクリプトをダウンロードして実行することである。

caption - 挿入されたコマンド

オペレーティングシステム別でダウンロードするURLは異なるが、linuxとmacOSのダウンロードスクリプトは同一である。また、すべてのスクリプトに共通して、新しいスクリプトをダウンロードして実行する。

OSがlinux、macOSである場合、$HOME/Documents/tokenlinux.nplファイルとしてシェルスクリプトをダウンロードする。その後、ファイル名をtokenlinux.shに変更して実行する。

caption - linux、macOSのダウンロードスクリプト

OSがwindowsである場合には、%USERPROFILE%/parseにcmdスクリプトをダウンロードする。その後、ファイル名をtoken.cmdに変更して実行する。

caption - windowsのダウンロードスクリプト

しかし、分析当時において、windowsでダウンロードされるcmdスクリプトはAccess permanently suspended.というエラーメッセージを出力したため、確保できなかった。

3.1.2. tokenlinux.sh - Downloader

linux、macOSで実行されるtokenlinux.shファイルはダウンローダーであり、LLMによって作成されたものと判断される。

これまでにContagious Interviewで使用されたスクリプトとは異なり、コメントが詳細に作成されており、コメント内で絵文字を使用するパターンが確認されたため、LLMを活用して作成されたものとみられる。

caption - 詳細で絵文字が含まれているコメント

tokenlinux.shは、現在のパスにnodejsディレクトリが存在するかどうかを確認し、該当のディレクトリが存在しない場合は、nodejsをダウンロードした後に解凍する。解凍後にnodejsをシステムPATHに追加し、C&Cサーバーからparser.jsおよびpackage.jsonファイルをダウンロードして$HOME/Documentsのパスに保存する。

その後、ダウンロードされたnodejsを利用してparser.jsファイルを実行する。このとき、一緒にダウンロードされたpackage.jsonには、parser.jsの実行に必要なパッケージ情報が含まれている。

3.1.3. - parser.js - Downloader

parser.jsはobfuscator.ioによって難読化が施されたダウンローダーである。JavaScriptで作成されており、適用された主な難読化方式は以下の通りである。

• 文字列の抽出および配列化：コード内で使用される主要な文字列を、別の配列にまとめて保存する。

• 実行時の配列シャッフル：文字列の配列は、コード実行の初期に特定のロジックによって順序が再配置される。

• オフセットベースの文字列アクセス：文字列の位置を直接参照することなく、オフセット値を引数として受け取る別の関数を経由して、配列内の文字列を呼び出す。

• 識別子の変造：意味のある変数名や関数名を、a1、alのような無意味で短い名前に変更する。

caption - 難読化が適用された様子

難読化のほかにも、コードが修正またはフォーマット（整列）されている場合に、ダミーコードが実行されてエラーが発生するようにする保護手法が適用されている。

caption - 保護手法に関連する関数

2つのC&Cサーバーと通信するが、それぞれの目的は以下の通りである。

• 情報受信用C&Cサーバー：Beavertailをダウンロードするための情報（2番目のC&CサーバーのアドレスおよびキャンペーンID）の受信

• マルウェアダウンロード用C&Cサーバー：Beavertailのダウンロード

情報受信用C&Cサーバーのアドレスはbase64でエンコードされており、2つのアドレスが存在する。もし1番目の情報受信用C&Cサーバーとの通信に失敗した場合は、2番目の情報受信用C&Cサーバーと通信する。

caption - 情報受信用C&Cサーバーのアドレスデコードルーチン

hxxp://[中間サーバー]:1244/s/6df937fe9011へのアクセス結果がZT3で始まる場合、それ以降の値をbase64でデコードする。デコードされた値は、,を基準として前部分がマルウェアダウンロード用C&Cサーバーのアドレス、後ろ部分がキャンペーンIDの値である。2026年1月26日基準で、C&Cサーバーのアドレスは66.235.175[.]117、キャンペーンIDはknHbMe8である。

caption - マルウェアダウンロード用C&Cサーバーのアドレスデコードルーチン

文字列はxorで復号して使用し、このときのキーは0x70a07948である。

caption - 文字列復号ルーチン

マルウェアのダウンロードおよび実行プロセスは以下の通りである。

1. ホームディレクトリに.vscodeフォルダーを作成する

2. hxxp://[マルウェアダウンロード用C&Cサーバー]:1244/keyにホスト名、ユーザー名、現在時刻を送信する

3. hxxp://[マルウェアダウンロード用C&Cサーバー]:1244/j/[キャンペーンID]からBeavertailをダウンロードする

   • 保存パス: .vscode/test.js

4. hxxp://[マルウェアダウンロード用C&Cサーバー]:1244/pからtest.jsを動作させるためのパッケージファイルをダウンロードする

   • 保存パス: .vscode/package.json

5. .vscode/test.jsを実行する

マルウェアのダウンロードルーチンは約10分ごとに繰り返され、計3回実行される。

3.1.4. Beavertail

Beavertailマルウェアは計3つのJavaScriptファイルで構成されており、最初に実行されるtest.jsから残りの2つのファイルをダウンロードして実行する。また、すべてのBeavertailマルウェアには、parser.jsと同様の方式の難読化と保護手法が適用されている。

test.js

ブラウザ情報を収集し、n.jsとp.jsをダウンロードして実行する。情報を収集するブラウザの一覧は以下の通りである。

• Chrome

• Chromium

• Brave

• Opera

ブラウザに保存されたアカウント情報とブラウザ拡張情報を収集し、hxxp://66.235.175[.]117:1244/uploadsへとアップロードする。このとき、情報収集の対象となるブラウザ拡張の一覧は以下の表の通りである。

| リスト | リスト |
| --- | --- |
| nkbihfbeogaeaoehlefnkodbefgpgknn | ejbalbakoplchlghecdalmeeeajnimhm |
| ibnejdfjmmkpcnlpebklmnkoeoihofec | fhbohimaelbohpjbbldcngcnapndodjp |
| hnfanknocfeofbddgcijnmhnfnkdnaad | bfnaelmomeimhlpmgjnjophhpkkoljpa |
| aeachknmefphepccionboohckonoeemg | egjidjbpglichdcondbcbdnbeeppgdph |
| hifafgmccdpekplomjjkcfgodnhcellj | aholpfdialjgjfhomihkjbmgjidlcdno |
| mcohilncbfahbmgdjkbpemcciiolgcge | pdliaogehgdbhbnmkklieghmmjkpigpa |
| nphplpgoakhhjchkkhmiggakijnkhfnd | fdjamakpfbbddfjaooikfcpapjohcfmg |
| acmacodkjbdgmoleebolmdjonilkdbch | dmkamcknogkgcdfhhbddcghachkejeap |
| mkpegjkblkkefacfnmkajcjmabijhclg | X

| リスト | リスト |
| --- | --- |
| nkbihfbeogaeaoehlefnkodbefgpgknn | ejbalbakoplchlghecdalmeeeajnimhm |
| ibnejdfjmmkpcnlpebklmnkoeoihofec | fhbohimaelbohpjbbldcngcnapndodjp |
| hnfanknocfeofbddgcijnmhnfnkdnaad | bfnaelmomeimhlpmgjnjophhpkkoljpa |
| aeachknmefphepccionboohckonoeemg | egjidjbpglichdcondbcbdnbeeppgdph |
| hifafgmccdpekplomjjkcfgodnhcellj | aholpfdialjgjfhomihkjbmgjidlcdno |
| mcohilncbfahbmgdjkbpemcciiolgcge | pdliaogehgdbhbnmkklieghmmjkpigpa |
| nphplpgoakhhjchkkhmiggakijnkhfnd | fdjamakpfbbddfjaooikfcpapjohcfmg |
| acmacodkjbdgmoleebolmdjonilkdbch | dmkamcknogkgcdfhhbddcghachkejeap |
| mkpegjkblkkefacfnmkajcjmabijhclg | X

| リスト | リスト |
| --- | --- |
| nkbihfbeogaeaoehlefnkodbefgpgknn | ejbalbakoplchlghecdalmeeeajnimhm |
| ibnejdfjmmkpcnlpebklmnkoeoihofec | fhbohimaelbohpjbbldcngcnapndodjp |
| hnfanknocfeofbddgcijnmhnfnkdnaad | bfnaelmomeimhlpmgjnjophhpkkoljpa |
| aeachknmefphepccionboohckonoeemg | egjidjbpglichdcondbcbdnbeeppgdph |
| hifafgmccdpekplomjjkcfgodnhcellj | aholpfdialjgjfhomihkjbmgjidlcdno |
| mcohilncbfahbmgdjkbpemcciiolgcge | pdliaogehgdbhbnmkklieghmmjkpigpa |
| nphplpgoakhhjchkkhmiggakijnkhfnd | fdjamakpfbbddfjaooikfcpapjohcfmg |
| acmacodkjbdgmoleebolmdjonilkdbch | dmkamcknogkgcdfhhbddcghachkejeap |
| mkpegjkblkkefacfnmkajcjmabijhclg | X

caption - 情報収集対象のブラウザ拡張リスト

アップロードが完了すると、hxxp://66.235.175[.]117:1244/client/knHbMe8からファイルをダウンロードして.nplとして保存する。ダウンロードした.nplファイルはInvisibleFerretであり、Pythonを通じて実行される。このとき、OSがwindowsである場合は、hxxp://66.235.11[.]117:1244/pdoからPythonをダウンロードして.nplファイルを実行する。

caption - .nplファイルのダウンロードルーチン

InvisibleFerretの実行後、残りのBeavertailマルウェアをhxxp://66.235.11[.]117:1244/n/knHbMe8およびhxxp://66.235.11[.]117:1244/z/knHbMe8からダウンロードし、それぞれ.vscode/n.js、.vscode/p.jsとして保存して実行する。

caption - 追加のBeavertailダウンロードルーチン

n.js

バックドアマルウェアであり、まずシステム情報を収集した後にhxxp://66.235.175[.]117:1244/keysへとアップロードする。収集するシステム情報は以下の通りである。

• IPを通じて確認した位置情報

• ISP情報

• ユーザー名をHMACでダイジェストしたuuid

• ホスト名

• ユーザー名

• オペレーティングシステムの種類

• OSのリリース情報

• OSのバージョン

アップロード後、C&Cサーバーとソケット接続を確立して通信する。このとき、C&Cサーバーのアドレスは216.250.251[.]87であり、ポート番号は1247である。

caption - ソケット接続ルーチン

接続が確立すると、ソケットを通じてC&Cサーバーからcode値を受信し、受信したcode値に応じて実施する行為は以下の表の通りである。

| code値 | コマンド名 | 行為 |
| --- | --- | --- |
| 1 | ssh_obj | 与えられたコマンドを実行する。 (リモートシェル) |
| 2 | ssh_cmd | 現在のプロセスを終了する。 |
| 5 | ssh_upload | 指定されたファイルまたはディレクトリをFTPでアップロードする。 |
| 6 | ssh_kill | chromeおよびbraveのプロセスを強制終了する。 |
| 8 | ssh_env | 条件を満たすファイルをすべて探索し、FTPでアップロードする。 |
| 10 | ssh_mmc | 与えられたJavaScriptファイルを~/.vscode/c.jsとして保存して実行する。

| code値 | コマンド名 | 行為 |
| --- | --- | --- |
| 1 | ssh_obj | 与えられたコマンドを実行する。 (リモートシェル) |
| 2 | ssh_cmd | 現在のプロセスを終了する。 |
| 5 | ssh_upload | 指定されたファイルまたはディレクトリをFTPでアップロードする。 |
| 6 | ssh_kill | chromeおよびbraveのプロセスを強制終了する。 |
| 8 | ssh_env | 条件を満たすファイルをすべて探索し、FTPでアップロードする。 |
| 10 | ssh_mmc | 与えられたJavaScriptファイルを~/.vscode/c.jsとして保存して実行する。

| code値 | コマンド名 | 行為 |
| --- | --- | --- |
| 1 | ssh_obj | 与えられたコマンドを実行する。 (リモートシェル) |
| 2 | ssh_cmd | 現在のプロセスを終了する。 |
| 5 | ssh_upload | 指定されたファイルまたはディレクトリをFTPでアップロードする。 |
| 6 | ssh_kill | chromeおよびbraveのプロセスを強制終了する。 |
| 8 | ssh_env | 条件を満たすファイルをすべて探索し、FTPでアップロードする。 |
| 10 | ssh_mmc | 与えられたJavaScriptファイルを~/.vscode/c.jsとして保存して実行する。

caption - バックドア行為

ファイルをアップロードするときはFTPを利用し、使用されるFTPサーバーのドメイン、ユーザー名、パスワードはC&Cサーバーから送信される。アップロードのパスは/DAknHbMe8/[ホスト名]+[ユーザー名]/[ファイル名]である。

caption - FTPアップロードルーチン

ssh_envコマンドは、パスに以下の表に含まれる文字列が含まれているファイルを探索してアップロードする。

| リスト | リスト |
| -- | -- |
| .env | .xls |
| config.js | .xlsx |
| secret | .doc |
| metamask | .docx |
| wallet | .rtf |
| private | .kbdx |
| mnemonic | .one |
| password | .onenote |
| account | solana |
| seed | X

| リスト | リスト |
| -- | -- |
| .env | .xls |
| config.js | .xlsx |
| secret | .doc |
| metamask | .docx |
| wallet | .rtf |
| private | .kbdx |
| mnemonic | .one |
| password | .onenote |
| account | solana |
| seed | X

| リスト | リスト |
| -- | -- |
| .env | .xls |
| config.js | .xlsx |
| secret | .doc |
| metamask | .docx |
| wallet | .rtf |
| private | .kbdx |
| mnemonic | .one |
| password | .onenote |
| account | solana |
| seed | X

caption - 探索文字列リスト

このとき、tsconfig.jsonのように特定の名前や拡張子を持つファイルはアップロードせず、node_modulesのような特定フォルダは探索しない。詳細なリストは「付録 C. 探索条件」を参照のこと。

p.js

ファイルを収集およびアップロードするマルウェアである。以下の表に含まれるパターンを満たすパスのファイルを探索してアップロードする。

| リスト | リスト |
| --- | --- |
| *.env | seed* |
| config.js | keys* |
| secret* | keypair.json |
| metamask* | 1pass*.sqlite |
| wallet* | notes.txt |
| private* | hardhat.config.ts |
| mnemonic* | solana* |
| password* | .kdbx |
| account* | X

| リスト | リスト |
| --- | --- |
| *.env | seed* |
| config.js | keys* |
| secret* | keypair.json |
| metamask* | 1pass*.sqlite |
| wallet* | notes.txt |
| private* | hardhat.config.ts |
| mnemonic* | solana* |
| password* | .kdbx |
| account* | X

| リスト | リスト |
| --- | --- |
| *.env | seed* |
| config.js | keys* |
| secret* | keypair.json |
| metamask* | 1pass*.sqlite |
| wallet* | notes.txt |
| private* | hardhat.config.ts |
| mnemonic* | solana* |
| password* | .kdbx |
| account* | X

caption - 探索パターンリスト

n.jsと同様に特定のパスは探索せず、特定の拡張子を持つファイルはアップロードしない。詳細なリストは「付録 C. 探索条件」を参照のこと。

caption - アップロードファイル探索ルーチン

ファイルのアップロードは、hxxp://66.235.175[.]117:1244/uploadsに対して以下のような構造のPOSTリクエストを送信して行う。

{
    "timestamp": "jzt",
    "type": "knHbMe8",
    "hid": "[ホスト名]",
    "multi_file": {
        "value": "[ファイルストリーム]", 
        "options" : {
            "filename": 
            "env_[現在時刻]_[0〜40のランダムな数字]_[ファイルインデックス]"

{
    "timestamp": "jzt",
    "type": "knHbMe8",
    "hid": "[ホスト名]",
    "multi_file": {
        "value": "[ファイルストリーム]", 
        "options" : {
            "filename": 
            "env_[現在時刻]_[0〜40のランダムな数字]_[ファイルインデックス]"

{
    "timestamp": "jzt",
    "type": "knHbMe8",
    "hid": "[ホスト名]",
    "multi_file": {
        "value": "[ファイルストリーム]", 
        "options" : {
            "filename": 
            "env_[現在時刻]_[0〜40のランダムな数字]_[ファイルインデックス]"

上記の構造において、ファイルインデックスは、探索パターンでマッチングして生成したファイルリスト内での該当ファイルの順序を意味する。ファイルのアップロードが完了すると、ファイルパス、ホスト名を以下のような構造でhxxp://66.235.175[.]117:1244/keysへとアップロードする。

{
    "ts": "jzt",
    "type": "knHbMe8",
    "hid": "[ホスト名]",
    "ss": "jzt_[探索パターン]_[現在時刻]",
    "cc": "env_[現在時刻]_[0〜40의 랜덤 숫자]_[파일인덱스] : [파일경로]"

{
    "ts": "jzt",
    "type": "knHbMe8",
    "hid": "[ホスト名]",
    "ss": "jzt_[探索パターン]_[現在時刻]",
    "cc": "env_[現在時刻]_[0〜40의 랜덤 숫자]_[파일인덱스] : [파일경로]"

{
    "ts": "jzt",
    "type": "knHbMe8",
    "hid": "[ホスト名]",
    "ss": "jzt_[探索パターン]_[現在時刻]",
    "cc": "env_[現在時刻]_[0〜40의 랜덤 숫자]_[파일인덱스] : [파일경로]"

3.1.5. InvisibleFerret

InvisibleFerretはPythonで記述されたマルウェアであり、5つのPythonスクリプトで構成されている。すべてのInvisibleFerretスクリプトは、以下のような方法で難読化されている。

1. 難読化された文字列の最初の8文字を除いた以降の文字列をbase85でデコードする。

2. デコードされた結果を、使用しなかった最初の8文字とxorした後にexecで実行する。

3. execで実行された文字列は、再び新しい文字列を反転させてbase64でデコードし、zlibで圧縮した後にexecで実行する。

4. 3番目のプロセスを64回ほど繰り返すと、実際のマルウェアスクリプトが実行される。

.npl

Beavertailから実行されたInvisibleFerretスクリプトであり、2つの追加スクリプトをダウンロードして実行する。

caption - スクリプトのダウンロードおよび実行ルーチン

hxxp://66.235[.]175.117:1244/payl/knHbMe8からファイルをダウンロードして.vscode/payに保存した後に実行し、hxxp://66.235[.]175.117:1244/bro/knHbMe8からファイルをダウンロードして.vscode/bowに保存した後に実行する。このとき、OSがDarwinである場合、bowファイルはダウンロードしない。

pay

C&Cサーバーのソケット接続を通じて受信したcode値に応じて、不正な行為を実行するバックドアマルウェアである。C&Cサーバーのアドレスは216.250.251[.]87であり、ポート番号は1245である。

caption - ソケット接続ルーチン

受信したcode値に応じて実施する行為は以下の表の通りである。

| code | 名前 | 行為 |
| --- | --- | --- |
| 1 | ssh_obj | 与えられたコマンドを実行する。 |
| 2 | ssh_cmd | 自己削除を実行する。 |
| 3 | ssh_clip | キーロギング/クリップボードロギングデータを送信する。 |
| 4 | ssh_run | hxxp://66.235.175[.]117:1244/bro/knHbMe8から~/.n2/bowへとファイルをダウンロードして実行する。 |
| 5 | ssh_upload | 与えられたパスのファイルをアップロードする。 |
| 6 | ssh_kill | Chrome、Braveブラウザのプロセスを終了する。 |
| 7 | ssh_any | hxxp://66.235.175[.]117:1244/adc/knHbMe8から~/.n2/adcへとファイルをダウンロードして実行する。 |
| 8 | ssh_env | 条件を満たすファイルをすべて探索し、FTPでアップロードする。 |
| 9 | ssh_zcp | 与えられたパス의 파일을 암호화된 압축파일로 압축하고 텔레그램과 FTP로 업로드한다. |
| 10 | ssh_mmc | hxxp://66.235.175[.]117:1244/dd/knHbMe8에서  ~/.n2/mc로 파일을 다운로드하여 실행한다. |

| code | 名前 | 行為 |
| --- | --- | --- |
| 1 | ssh_obj | 与えられたコマンドを実行する。 |
| 2 | ssh_cmd | 自己削除を実行する。 |
| 3 | ssh_clip | キーロギング/クリップボードロギングデータを送信する。 |
| 4 | ssh_run | hxxp://66.235.175[.]117:1244/bro/knHbMe8から~/.n2/bowへとファイルをダウンロードして実行する。 |
| 5 | ssh_upload | 与えられたパスのファイルをアップロードする。 |
| 6 | ssh_kill | Chrome、Braveブラウザのプロセスを終了する。 |
| 7 | ssh_any | hxxp://66.235.175[.]117:1244/adc/knHbMe8から~/.n2/adcへとファイルをダウンロードして実行する。 |
| 8 | ssh_env | 条件を満たすファイルをすべて探索し、FTPでアップロードする。 |
| 9 | ssh_zcp | 与えられたパス의 파일을 암호화된 압축파일로 압축하고 텔레그램과 FTP로 업로드한다. |
| 10 | ssh_mmc | hxxp://66.235.175[.]117:1244/dd/knHbMe8에서  ~/.n2/mc로 파일을 다운로드하여 실행한다. |

| code | 名前 | 行為 |
| --- | --- | --- |
| 1 | ssh_obj | 与えられたコマンドを実行する。 |
| 2 | ssh_cmd | 自己削除を実行する。 |
| 3 | ssh_clip | キーロギング/クリップボードロギングデータを送信する。 |
| 4 | ssh_run | hxxp://66.235.175[.]117:1244/bro/knHbMe8から~/.n2/bowへとファイルをダウンロードして実行する。 |
| 5 | ssh_upload | 与えられたパスのファイルをアップロードする。 |
| 6 | ssh_kill | Chrome、Braveブラウザのプロセスを終了する。 |
| 7 | ssh_any | hxxp://66.235.175[.]117:1244/adc/knHbMe8から~/.n2/adcへとファイルをダウンロードして実行する。 |
| 8 | ssh_env | 条件を満たすファイルをすべて探索し、FTPでアップロードする。 |
| 9 | ssh_zcp | 与えられたパス의 파일을 암호화된 압축파일로 압축하고 텔레그램과 FTP로 업로드한다. |
| 10 | ssh_mmc | hxxp://66.235.175[.]117:1244/dd/knHbMe8에서  ~/.n2/mc로 파일을 다운로드하여 실행한다. |

caption - バックドア行為

ssh_envコマンドは、パスに以下の表に含まれる文字列が含まれているファイルを探索してアップロードする。

| リスト | リスト |
| --- | --- |
| env | .xls |
| config.js | .xlsx |
| secret | .doc |
| metamask | .docx |
| wallet | .rtf |
| private | .kbdx |
| mnemonic | .one |
| password | .onenote |
| account | X

| リスト | リスト |
| --- | --- |
| env | .xls |
| config.js | .xlsx |
| secret | .doc |
| metamask | .docx |
| wallet | .rtf |
| private | .kbdx |
| mnemonic | .one |
| password | .onenote |
| account | X

| リスト | リスト |
| --- | --- |
| env | .xls |
| config.js | .xlsx |
| secret | .doc |
| metamask | .docx |
| wallet | .rtf |
| private | .kbdx |
| mnemonic | .one |
| password | .onenote |
| account | X

詳細なリストは「付録 C. 探索条件」を参照のこと。

bow

TsunamiInjectorスクリプトを難読化した後にstartupフォルダーに保存し、スクリプトが持続的に実行されるように設定する。

caption - スクリプト保存ルーチン

TsunamiInjectorスクリプトは、約1000個の暗号化されたurlを復号してアクセスし、中身が存在するurlを探索する。復号プロセスは以下の通りである。

• 16進数でエンコードされた文字列をデコードする。

• デコードされた文字列を!!!HappyPenguin1950!!!でxorする。

• 復号された文字列をbase64でデコードした後に順番を反転させる。

caption - URL復号ルーチン

復号されたurlはすべてテキスト共有サイトであるpastebinのurlであり、内容が残っているpastebinのurlを発見した場合、該当ページのコンテンツを上記と同様の方法で復号する。復号された結果は別のurlであり、該当のurlからファイルをダウンロードして`%APPDATA%\Microsoft\Windows\Applications\Runtime Broker.exe`に解凍する。

caption - ファイルダウンロードルーチン

ファイルのダウンロードが完了すると、該当のファイルパスをWindows Defenderの検知除外パスに追加し、ユーザーがログインするたびに実行されるようにタスクを作成する。

caption - タスク作成ルーチン

adc

hxxp://66.235.175[.]117:1244/andから、リモートデスクトップ制御プログラムであるAnyDeskをダウンロードする。その後、ダウンロードしたAnyDeskの設定を更新し、攻撃者のアカウントでいつでもリモート接続ができるように変更する。

caption - AnyDesk設定更新ルーチン

mc

ブラウザ環境を操作し、最終的に暗号資産ウォレットのブラウザ拡張機能をインストールする。実行時には、まず自己削除を行う。

caption - 自己削除ルーチン

その後、ChromeおよびBraveブラウザの拡張機能ディレクトリを探索し、特定の拡張機能のファイルをすべて削除する。削除対象となる拡張機能のID一覧は以下の通りである。

• nkbihfbeogaeaoehlefnkodbefgpgknn

• acmacodkjbdgmoleebolmdjonilkdbch

拡張機能ファイルの削除が完了すると、hxxp://45.59.163[.]55:1244/mmz/[ブラウザ拡張ID]_knHbMe8からファイルをダウンロードして、削除した既存の拡張機能ディレクトリに解凍する。このプロセスにおいて変更されるブラウザ拡張機能はRabby WalletおよびMetaMaskで、いずれも暗号資産ウォレットに関連する拡張機能である。

caption - ブラウザ拡張ファイルの変更ルーチン

その後、マルウェアはChromeブラウザのプロファイル設定ファイルを収集してhxxp://45.59.163[.]55:1244/hへ送信する。サーバーから正常なレスポンスを受信した場合、そのレスポンス値を利用してChromeのSecure Preferences設定を操作する。

追加で、macOS環境においてChromeのメジャーバージョンが140以上である場合、hxxp://45.59.163[.]55:1244/ddoからファイルをダウンロードして/Applications/Google Chrome.appのパスに上書きする方法で、Chromeのダウングレードを試みる。

caption - Chromeダウングレードルーチン

設定変更が完了すると、変更内容を即座に反映させるために、ブラウザに保存されたクッキー、キャッシュ、セッションデータなどをすべて削除し、成功したかどうかのステータスをhxxp://66.235.175[.]117:1244/tへと送信する。

3.2. OtterCookie

3.2.1. task.json - Downloader

該当のダウンローダーはVSCodeによってのみ実行される。runOptionsのrunOnオプションがfolderOpenに設定されているため、リポジトリのフォルダーがVSCodeで開かれた場合に、自動的に挿入されたコマンドが実行される仕組みである。BeavertailやInvisibleFerretの配布に使用されたtask.jsonファイルとは異なり、コマンドが隠されていない。

caption - .vscode/tasks.jsonに挿入されたコマンド

オペレーティングシステム別でダウンロードするURLは異なるが、linuxとmacOSのダウンロードスクリプトは同一である。また、すべてのスクリプトに共通して、新しいスクリプトをダウンロードして実行する。

OSがlinux、macOSである場合、$HOME/.vscode/vscode-bootstrap.shファイルとしてシェルスクリプトをダウンロードして実行する。

caption - linux、macOSで実行されるシェルスクリプト

OSがwindowsである場合、%USERPROFILE%\.vscode\vscode-bootstrap.cmdファイルとしてcmdスクリプトをダウンロードして実行する。

caption - windowsで実行されるcmdスクリプト

しかし、分析当時において、windowsでダウンロードされるcmdスクリプトはAccess permanently suspended.というエラーメッセージを出力したため、確保できなかった。

3.2.2. vscode-bootstrap.sh - Downloader

linux、macOSで実行されるvscode-bootstrap.shファイルはダウンローダーであり、tokenlinux.shと同様にLLMによって作成されたものと判断される。異なっている点として、絵文字が使用されていない。

caption - 詳細なコメントが記述されたシェルスクリプト

vscode-bootstrap.shは現在のパスにnodejsディレクトリが存在するかどうかを確認し、該当のディレクトリが存在しない場合は、nodejsをダウンロードした後に解凍する。解凍後、C&Cサーバーからenv-setup.jsおよびpackage.jsonファイルをダウンロードして$HOME/.vscodeのパスに保存する。その後、ダウンロードされたnodejsを利用してenv-setup.jsを実行する。

3.2.3. env-setup.js - Downloader

env-setup.jsは、hxxps://y-lilac-sigma.vercel[.]app/api/ipcheck-encrypted/608にアクセスしてレスポンスをevalで実行するダウンローダーである。特異な点は、正常なレスポンスが取得されたときではなく、エラーが発生したときに実行されることである。

caption - env-setup.jsのコード

3.2.4. OtterCookie

env-setup.jsを通じてダウンロードおよび実行され、Beavertailと同様の方式の難読化と保護手法が適用されている。

OtterCookieは、文字列として保存された3つのスクリプトを、それぞれ個別のプロセスで実行する。このとき、lockファイルに{ pid: [プロセス PID], startedAt: [プロセス起動時刻] }のコンテンツを記述し、スクリプトが重複して実行されないようにする。lockファイルの名前とスクリプトの情報は以下の表の通りである。

| lockファイル名 | スクリプト名 | 行為 |
| --- | --- | --- |
| pid.6.1.lock | ldbScript | ブラウザに保存された情報を奪取する。 |
| pid.6.2.lock | autoUploadScript | 特定のファイルを探索してアップロードする。 |
| pid.6.3.lock | socketScript | C&Cサーバーに接続してコマンドに従い行為を実行する。

| lockファイル名 | スクリプト名 | 行為 |
| --- | --- | --- |
| pid.6.1.lock | ldbScript | ブラウザに保存された情報を奪取する。 |
| pid.6.2.lock | autoUploadScript | 特定のファイルを探索してアップロードする。 |
| pid.6.3.lock | socketScript | C&Cサーバーに接続してコマンドに従い行為を実行する。

| lockファイル名 | スクリプト名 | 行為 |
| --- | --- | --- |
| pid.6.1.lock | ldbScript | ブラウザに保存された情報を奪取する。 |
| pid.6.2.lock | autoUploadScript | 特定のファイルを探索してアップロードする。 |
| pid.6.3.lock | socketScript | C&Cサーバーに接続してコマンドに従い行為を実行する。

caption - lockおよびスクリプト情報

ldbScript

ブラウザに保存されたアカウント情報とブラウザ拡張機能を収集するスクリプトである。情報収集の対象となるブラウザの一覧は以下の表の通りである。

| リスト | リスト |
| --- | --- |
| Chrome | Kiwi |
| Brave | Yandex |
| AVG Browser | Iridium |
| Edge | Comodo |
| Opera | SRWare |
| Opera GX | Chromium |
| Vivaldi | X

| リスト | リスト |
| --- | --- |
| Chrome | Kiwi |
| Brave | Yandex |
| AVG Browser | Iridium |
| Edge | Comodo |
| Opera | SRWare |
| Opera GX | Chromium |
| Vivaldi | X

| リスト | リスト |
| --- | --- |
| Chrome | Kiwi |
| Brave | Yandex |
| AVG Browser | Iridium |
| Edge | Comodo |
| Opera | SRWare |
| Opera GX | Chromium |
| Vivaldi | X

caption - 情報収集対象のブラウザリスト

情報収集の対象となるブラウザ拡張機能の一覧は以下の表の通りである。

| リスト | リスト |
| --- | --- |
| 1nkbihfbeogaeaoehlefnkodbefgpgknn | fhkbkphfeanlhnlffkpologfoccekhic |
| ejbalbakoplchlghecdalmeeeajnimhm | fhmfendgdocmcbmfikdcogofphimnkno |
| acmacodkjbdgmoleebolmdjonilkdbch | fldfpgipfncgndfolcbkdeeknbbbnhcc |
| bfnaelmomeimhlpmgjnjophhpkkoljpa | gjnckgkfmgmibbkoficdidcljeaaaheg |
| ibnejdfjmmkpcnlpebklmnkoeoihofec | hifafgmccdpekplomjjkcfgodnhcellj |
| egjidjbpglichdcondbcbdnbeeppgdph | hmeobnfnfcmdkdcmlblgagmfpfboieaf |
| nphplpgoakhhjchkkhmiggakijnkhfnd | hnfanknocfeofbddgcijnmhnfnkdnaad |
| omaabbefbmiijedngplfjmnooppbclkk | jiidiaalihmmhddjgbnbgdfflelocpak |
| bhhhlbepdkbapadjdnnojkbgioiodbic | jblndlipeogpafnldhgmapagcccfchpi |
| aeachknmefphepccionboohckonoeemg | jmbkjchcobfffnmjboflnchcbljiljdk |
| aflkmhkiijdbfcmhplgifokgdeclgpoi | jnjpmcgfcfeffkfgcnjefkbkgcpnkpab |
| agoakfejjabomempkjlepdflaleeobhb | kpkmkbkoifcfpapmleipncofdbjdpice |
| aholpfdialjgjfhomihkjbmgjidlcdno | khpkpbbcccdmmclmpigdgddabeilkdpd |
| afbcbjpbpfadlkmhmclhkeeodmamcflc | ldinpeekobnhjjdofggfgjlcehhmanaj |
| cgbogdmdefihhljhfeffkljbghamglni | lgmpcpglpngdoalbgeoldeajfclnhafa |
| dmkamcknogkgcdfhhbddcghachkejeap | mcohilncbfahbmgdjkbpemcciiolgcge |
| dlcobpjiigpikoobohmabehhmhfoodbb | mopnmbcafieddcagagdcbnhejhlodfdd |
| efbglgofoippbgcjepnhiblaibcnclgk | nkklfkfpelhghbidbnpdfhblphpfjmbo |
| ejjladinnckdgjemekebdpeokbikhfci | penjlddjkjgpnkllboccdgccekpkcbin |
| fhbohimaelbohpjbbldcngcnapndodjp | ppbibelpcjmhbdihakflkdcoccbgbkpo

| リスト | リスト |
| --- | --- |
| 1nkbihfbeogaeaoehlefnkodbefgpgknn | fhkbkphfeanlhnlffkpologfoccekhic |
| ejbalbakoplchlghecdalmeeeajnimhm | fhmfendgdocmcbmfikdcogofphimnkno |
| acmacodkjbdgmoleebolmdjonilkdbch | fldfpgipfncgndfolcbkdeeknbbbnhcc |
| bfnaelmomeimhlpmgjnjophhpkkoljpa | gjnckgkfmgmibbkoficdidcljeaaaheg |
| ibnejdfjmmkpcnlpebklmnkoeoihofec | hifafgmccdpekplomjjkcfgodnhcellj |
| egjidjbpglichdcondbcbdnbeeppgdph | hmeobnfnfcmdkdcmlblgagmfpfboieaf |
| nphplpgoakhhjchkkhmiggakijnkhfnd | hnfanknocfeofbddgcijnmhnfnkdnaad |
| omaabbefbmiijedngplfjmnooppbclkk | jiidiaalihmmhddjgbnbgdfflelocpak |
| bhhhlbepdkbapadjdnnojkbgioiodbic | jblndlipeogpafnldhgmapagcccfchpi |
| aeachknmefphepccionboohckonoeemg | jmbkjchcobfffnmjboflnchcbljiljdk |
| aflkmhkiijdbfcmhplgifokgdeclgpoi | jnjpmcgfcfeffkfgcnjefkbkgcpnkpab |
| agoakfejjabomempkjlepdflaleeobhb | kpkmkbkoifcfpapmleipncofdbjdpice |
| aholpfdialjgjfhomihkjbmgjidlcdno | khpkpbbcccdmmclmpigdgddabeilkdpd |
| afbcbjpbpfadlkmhmclhkeeodmamcflc | ldinpeekobnhjjdofggfgjlcehhmanaj |
| cgbogdmdefihhljhfeffkljbghamglni | lgmpcpglpngdoalbgeoldeajfclnhafa |
| dmkamcknogkgcdfhhbddcghachkejeap | mcohilncbfahbmgdjkbpemcciiolgcge |
| dlcobpjiigpikoobohmabehhmhfoodbb | mopnmbcafieddcagagdcbnhejhlodfdd |
| efbglgofoippbgcjepnhiblaibcnclgk | nkklfkfpelhghbidbnpdfhblphpfjmbo |
| ejjladinnckdgjemekebdpeokbikhfci | penjlddjkjgpnkllboccdgccekpkcbin |
| fhbohimaelbohpjbbldcngcnapndodjp | ppbibelpcjmhbdihakflkdcoccbgbkpo

| リスト | リスト |
| --- | --- |
| 1nkbihfbeogaeaoehlefnkodbefgpgknn | fhkbkphfeanlhnlffkpologfoccekhic |
| ejbalbakoplchlghecdalmeeeajnimhm | fhmfendgdocmcbmfikdcogofphimnkno |
| acmacodkjbdgmoleebolmdjonilkdbch | fldfpgipfncgndfolcbkdeeknbbbnhcc |
| bfnaelmomeimhlpmgjnjophhpkkoljpa | gjnckgkfmgmibbkoficdidcljeaaaheg |
| ibnejdfjmmkpcnlpebklmnkoeoihofec | hifafgmccdpekplomjjkcfgodnhcellj |
| egjidjbpglichdcondbcbdnbeeppgdph | hmeobnfnfcmdkdcmlblgagmfpfboieaf |
| nphplpgoakhhjchkkhmiggakijnkhfnd | hnfanknocfeofbddgcijnmhnfnkdnaad |
| omaabbefbmiijedngplfjmnooppbclkk | jiidiaalihmmhddjgbnbgdfflelocpak |
| bhhhlbepdkbapadjdnnojkbgioiodbic | jblndlipeogpafnldhgmapagcccfchpi |
| aeachknmefphepccionboohckonoeemg | jmbkjchcobfffnmjboflnchcbljiljdk |
| aflkmhkiijdbfcmhplgifokgdeclgpoi | jnjpmcgfcfeffkfgcnjefkbkgcpnkpab |
| agoakfejjabomempkjlepdflaleeobhb | kpkmkbkoifcfpapmleipncofdbjdpice |
| aholpfdialjgjfhomihkjbmgjidlcdno | khpkpbbcccdmmclmpigdgddabeilkdpd |
| afbcbjpbpfadlkmhmclhkeeodmamcflc | ldinpeekobnhjjdofggfgjlcehhmanaj |
| cgbogdmdefihhljhfeffkljbghamglni | lgmpcpglpngdoalbgeoldeajfclnhafa |
| dmkamcknogkgcdfhhbddcghachkejeap | mcohilncbfahbmgdjkbpemcciiolgcge |
| dlcobpjiigpikoobohmabehhmhfoodbb | mopnmbcafieddcagagdcbnhejhlodfdd |
| efbglgofoippbgcjepnhiblaibcnclgk | nkklfkfpelhghbidbnpdfhblphpfjmbo |
| ejjladinnckdgjemekebdpeokbikhfci | penjlddjkjgpnkllboccdgccekpkcbin |
| fhbohimaelbohpjbbldcngcnapndodjp | ppbibelpcjmhbdihakflkdcoccbgbkpo

caption - 情報収集対象のブラウザ拡張リスト

autoUploadScript

すべてのドライブを対象に、特定の文字列が含まれるファイルを探索したうえで、hxxp://172.86.73[.]198:8086/uploadへアップロードする。探索に使用される文字列については「付録 C. 探索条件」を参照のこと。

caption - ファイルアップロードルーチン

このとき、ldbScriptのファイルアップロード方式とは異なり、ファイルのメタデータは存在せず、HMACトークンの作成にファイルパスを使用する。

autoUploadScriptもコメントが詳細に施されていることや、ユーザーには表示されないコンソール出力が頻繁に行われることなどの特徴があり、LLMを介して作成されたものと推測される。

socketScript

システム情報を収集し、hxxp://172.86.73[.]198:8087/api/notifyへと送信する。収集するシステム情報と送信する形式は以下の通りである。

{
  ukey: 608,
  t: 6,
  host: "608_[ホスト名]",
  os: "[OSの種類]",
  username: "[ユーザー名]",
  timestamp: "[現在時刻]"

{
  ukey: 608,
  t: 6,
  host: "608_[ホスト名]",
  os: "[OSの種類]",
  username: "[ユーザー名]",
  timestamp: "[現在時刻]"

{
  ukey: 608,
  t: 6,
  host: "608_[ホスト名]",
  os: "[OSの種類]",
  username: "[ユーザー名]",
  timestamp: "[現在時刻]"

その後、C&Cサーバーに対してソケット接続を確立する。C&Cサーバーのアドレスは172.86.73[.]198で、ポート番号は8087である。ソケットを通じてC&Cサーバーから受信したメッセージに応じて実施する行為は以下の表の通りである。

| メッセージ | 行為 |
| --- | --- |
| whour | 先ほど収集したシステム情報を送信する。 |
| command | 与えられたコマンドを実行する。 |
| disconnect | ソケットサーバーとの接続を終了して待機する。 |
| reconnect | ソケットサーバーとの接続を再確立する。 |
| processControl | OtterCookieの他のプロセスを操作する。

| メッセージ | 行為 |
| --- | --- |
| whour | 先ほど収集したシステム情報を送信する。 |
| command | 与えられたコマンドを実行する。 |
| disconnect | ソケットサーバーとの接続を終了して待機する。 |
| reconnect | ソケットサーバーとの接続を再確立する。 |
| processControl | OtterCookieの他のプロセスを操作する。

| メッセージ | 行為 |
| --- | --- |
| whour | 先ほど収集したシステム情報を送信する。 |
| command | 与えられたコマンドを実行する。 |
| disconnect | ソケットサーバーとの接続を終了して待機する。 |
| reconnect | ソケットサーバーとの接続を再確立する。 |
| processControl | OtterCookieの他のプロセスを操作する。

caption - メッセージに応じて実行される行為

processControl機能は、ldbScript、autoUploadScript、socketScriptを停止または再開できるように設計されているが、現時点では停止機能のみが実装されている。

caption - 未完成のprocessControl機能

socketScriptもコメントが詳細に施されていることや、ユーザーには表示されないコンソール出力が頻繁に行われることなどの特徴があり、LLMを介して作成されたものと推測される。