caption - 攻撃概要図

2.1. 99 Nights Script.zip

圧縮ファイルには、「99 Nights Script Installer.msi」ファイルと、GTAオンラインのチートモード「Ultimate Menu」を動作させるためのファイルが含まれています。

caption - 圧縮ファイルのプレビュー

「99 Nights Script」は人気ゲームRobloxのオープンソースModの名前であり、攻撃者はEtherRATマルウェアを該当するModのインストールファイルに偽装し、ユーザーにマルウェアを実行させようと誘導しました。

2.2. 99 Nights Script Installer.msi

msiファイルを実行すると、3つのファイルが「%LOCALAPPDATA%\msitemp」パスに作成されます。作成されるファイルの情報は、以下の表をご参照ください。

| ファイル名 | 説明 |
| --- | --- |
| Dt2fWrOyPtRxL28.js | EtherRATを復号する難読化されたJavaScriptファイル |
| IEgrjQr6OI6C3pf | 暗号化されたEtherRATマルウェア |
| syBKJQiN.cmd | nodejsをダウンロードしてJavaScriptファイルを実行するバッチスクリプト

| ファイル名 | 説明 |
| --- | --- |
| Dt2fWrOyPtRxL28.js | EtherRATを復号する難読化されたJavaScriptファイル |
| IEgrjQr6OI6C3pf | 暗号化されたEtherRATマルウェア |
| syBKJQiN.cmd | nodejsをダウンロードしてJavaScriptファイルを実行するバッチスクリプト

| ファイル名 | 説明 |
| --- | --- |
| Dt2fWrOyPtRxL28.js | EtherRATを復号する難読化されたJavaScriptファイル |
| IEgrjQr6OI6C3pf | 暗号化されたEtherRATマルウェア |
| syBKJQiN.cmd | nodejsをダウンロードしてJavaScriptファイルを実行するバッチスクリプト

caption - 作成ファイル一覧

ファイルの作成後、msiのCustomAction機能により、syBKJQiN.cmdファイルが実行されます。

caption - msiファイルのCustomActionテーブル

2.3. syBKJQiN.cmd

バッチファイルが実行されると、まずWindows用のnodejsを「%LOCALAPPDATA%\6gahPD」パスにダウンロードします。その後、先ほど作成された「Dt2fWrOyPtRxL28.js」および「IEgrjQr6OI6C3pf」の2つのファイルを「%LOCALAPPDATA%\6gahPD」パスにコピーします。コピーが完了すると、ダウンロードしたnodejsを使用して「Dt2fWrOyPtRxL28.js」を実行します。

caption - syBKJQiN.cmdのコード

2.4. Dt2fWrOyPtRxL28.js

「Dt2fWrOyPtRxL28.js」ファイルは、obfuscator.ioによって難読化されています。また、解析を妨害する目的で、以下の2つの保護手法が適用されています。

• コンソール出力の無効化: すべてのコンソール出力を遮断し、ログの確認を困難にします。

• フォーマット検知: コードがフォーマット（整形）されている場合、ダミーコードが実行されてエラーが発生します。

ダミーコードが実行されない場合にのみ復号ルーチンが動作し、「IEgrjQr6OI6C3pf」ファイルをAES-256-CBCで復号して、現在の実行パスに「f6gK5600n6.js」ファイルとして保存します。

caption - AES-256-CBC復号ルーチン

その後、「f6gK5600n6.js」ファイルを実行します。正常に実行されると、「f6gK5600n6.js」ファイルを実行するJavaScriptコードを現在の実行パスに「areAx6ey.js」ファイルとして保存し、自動実行レジストリパスにそのファイルを実行するキーを追加して永続性を確保します。

2.5. f6gK5600n6.js

復号されたJavaScriptファイルはEtherRATマルウェアであり、EtherRAT Decryptorと同様の難読化および保護手法が適用されています。EtherRATマルウェアは%APPDATA%パスに「svchost.log」ファイルを作成し、そのファイルにログを記録します。

caption - ログ記述ルーチン

例示されるログは以下の通りです。

[2025-12-31T06:57:30.086Z] Fetching URL from blockchain...
[2025-12-31T06:57:30.086Z]

[2025-12-31T06:57:30.086Z] Fetching URL from blockchain...
[2025-12-31T06:57:30.086Z]

[2025-12-31T06:57:30.086Z] Fetching URL from blockchain...
[2025-12-31T06:57:30.086Z]

C&Cサーバーアドレスの設定

EtherRATマルウェアは、C&Cサーバーのアドレスをハードコーディングせず、イーサリアムのスマートコントラクトを介して動的に取得します。このプロセスの過程で、eth_callメソッドを使用してハードコードされたコントラクトアドレスにクエリを送信します。この際、送信されるデータは、関数シグネチャである0x7d434425とコントラクト作成者のウォレットアドレスで構成されます。

caption - コントラクトクエリ送信ルーチン

また、EtherRATマルウェアは単一のRPCエンドポイントにリクエストを送信するのではなく、計9つのイーサリアムRPCエンドポイントに同時にリクエストを送信します。その後、受信した応答の中で最も多く受信されたURLをC&Cサーバーとして使用します。

• https://eth.llamarpc.com

• https://mainnet.gateway.tenderly.co

• https://rpc.flashbots.net/fast

• https://rpc.mevblocker.io

• https://eth-mainnet.public.blastapi.io

• https://ethereum-rpc.publicnode.com

• https://rpc.payload.de

• https://eth.drpc.org

• https://eth.merkle.io

設定ファイルパスの作成

EtherRATマルウェアは、設定ファイルを保存するパスを生成する際に、感染システムの固有情報を活用します。まず、コンピュータ名とユーザー名を連結した文字列に対するMD5ハッシュを生成し、ハッシュの最初の1バイトの値を5で割った余りを計算して、フォルダ名として使用する文字列を選択します。余りの値に応じて一致する文字列は以下の通りです。

• 0: Microsoft

• 1: Windows

• 2: Programs

• 3: Package

• 4: Google

続いて、2番目の1バイトの値を5で割った余りを計算し、サブフォルダ名として使用する文字列を選択します。余りの値に応じて一致する文字列は以下の通りです。

• 0: Services

• 1: Components

• 2: Assemblies

• 3: Extensions

• 4: Modules

「%LOCALAPPDATA%\[フォルダ名]」のパスがすでに存在する場合、「%LOCALAPPDATA%\[フォルダ名]\[サブフォルダ名]\[ハッシュの最初の4バイト]」を設定ファイルパスとして使用します。「%LOCALAPPDATA%\[フォルダ名]」のパスが存在しない場合は、「%LOCALAPPDATA%\[ハッシュの最初の8バイト]」を設定ファイルパスとして使用します。

最後に、フォルダパスのハッシュのうちの6バイトを設定ファイル名として使用します。

caption - 設定ファイルパス作成ルーチン

生成された設定ファイルの内容は、Base64でエンコードされたJSON形式で保存されます。インデックスごとの設定ファイルの内容は以下の通りです。

• 0: 固有ID

• 1: reobfエンドポイントへの接続可否

• 3: reobfエンドポイントへの接続時間

• 5: ログファイルの書き込み可否

ID生成

EtherRATマルウェアは、感染したシステムを識別するために固有IDを使用します。まず、特定のファイルを探索し、以前に発行されたIDがあるかどうかを確認します。最初に探索するファイルは設定ファイルで、設定ファイルにIDが保存されている場合は、設定ファイルからIDを読み取って使用します。この際、IDは設定ファイルのインデックス0に保存されています。

もし設定ファイルにIDが保存されていない場合は、2番目に「.node_bot_id」ファイルを探索します。「.node_bot_id」ファイルが存在する場合、そのファイルの内容をIDとして使用します。

caption - .node_bot_idファイル探索ルーチン

「.node_bot_id」ファイルが存在しない場合は、3番目にファイル名が「.」で始まり、文字数が11文字のファイルを探索します。条件を満たすファイルが見つかった場合、そのファイルの内容をIDとして使用します。しかし、すべての探索に失敗した場合は、cryptoモジュールのrandomUUID関数によりランダムなIDを生成し、設定ファイルに書き込みます。

caption - ファイル探索およびID生成ルーチン

C&Cサーバーとの初期通信

最初にC&Cサーバーと通信する際、設定ファイルのインデックス1に値が存在し、かつインデックス3に値が存在しないかどうかを確認します。この条件を満たす場合、設定ファイルが保存されているフォルダから、インデックス1の値と同じ名前のファイルを、「[C&Cサーバーアドレス]/api/reobf/[ID]」のエンドポイントに送信します。

caption - ファイル送信ルーチン

その後、設定ファイルのインデックス3の値を現在時刻に変更し、C&Cサーバーに送信したファイルデータをC&Cサーバーの応答で上書きして実行します。

caption - ファイルデータの変更および実行ルーチン

C&Cサーバー通信

初期通信の後、C&Cサーバーとの通信の前に偽装を目的として、拡張子リスト（png, jpg, gif, css, ico, webp）と変数名リスト（id, token, key, b, q, s, v）からそれぞれ1つずつランダムに選択し、通信時に「[C&Cサーバーアドレス]/api/[ランダム16進数]/[ID]/[ランダム16進数].[拡張子]?[変数名]=5a15c932-4675-4a53-920d-3f3a7aa2e835」に向けてPOSTリクエストを送信します。

caption - C&Cサーバー通信ルーチン

C&Cサーバーから応答を受信できない場合は、約3秒後に再度リクエストを送信します。応答を受信すると、その応答内容をJavaScriptコードとして実行します。

caption - 応答実行ルーチン

解析時点ではC&Cサーバーそのものはアクティブでしたが、何の応答も返ってこなかったため、追加の解析は行えませんでした。