高度な暗号化ツール「Cruciferra」が台頭、BYOVDやプロセスゴースティングで検出を回避

要点

• セキュリティ企業Proofpointが、Windowsマルウェアを隠蔽する洗練されたクリプターサービス「Cruciferra」の分析を公表した。

• 犯罪市場で月額450ドル〜2000ドルで販売されており、2025年秋頃から利用されているという。

• 脆弱な正規ドライバーを悪用するBYOVD攻撃や、ディスク上の痕跡を消して実行するプロセスゴースティングなど、高度な回避技術を備える。

• Agent TeslaやAsyncRATなどの多様なマルウェアの配布に悪用され、金融、ヘルスケア、政府機関など幅広い分野が標的となっている。

• 米国のセキュリティ企業Proofpointは2026年7月下旬、Windows向けマルウェアを検出から隠蔽する高度なクリプターサービス「Cruciferra（クルシフェラ）」に関する分析結果を公開した。このツールは複数の異なるサイバー犯罪グループに悪用されており、広範なリモートアクセスツール（RAT）や情報窃取型マルウェアの配布に利用されているという。Cruciferraは、セキュリティ製品による検知やインシデント解析の妨害を目的とした多様な技術を統合していることが明らかになった。

動的な暗号化による静的解析の妨害

クリプターとは、マルウェアの本体プログラムを暗号化・難読化し、セキュリティ製品による検出を回避して配信成功率を高めるツールである。CruciferraはMonoで記述されており、サイバー犯罪コミュニティで「最も致命的なクリプター」として月額450ドルから2000ドルで販売されている。

このツールの特徴は、独自の暗号化処理を組み込んでいる点だ。サンプルごとに暗号化や文字列の難読化に用いられるアルゴリズムが異なっており、既存のハッシュ関数や疑似乱数ジェネレーター、暗号化アルゴリズムを組み合わせることで動的に変化させている。これにより、セキュリティ対策チームによるシグネチャ（検出用パターン）の作成を困難にしている。

フィッシングメールを用いた oportunistic な攻撃

Cruciferraは金融、ヘルスケア、政府機関、教育機関、製造業など、さまざまな業界を狙ったフィッシング攻撃で広く使用されている。攻撃キャンペーンあたりの送信メール数は数百通から数万通に及び、機会主義的な（手当たり次第の）攻撃が行われている。

具体的な事例として、中国語を話す犯罪グループ「TA4922」によるキャンペーンでは、インドの納税者や企業の財務チームを狙った所得税関連の偽メールによるフィッシングで、2026年4月から6月初旬にかけて4回のキャンペーンが確認されている。この活動は「Silver Fox」グループと重複しており、セキュリティ企業Seqrite Labsには「Operation DragonReturn」として追跡されている。

また、2026年5月には米社会保障局（SSA）を騙って「XWorm」や「AdaptixC2」を配布するメール、6月下旬にはホテル・旅行業界を標的に宿泊客の苦情を装って「zgRAT」を配布するメールなどが確認されている。

多彩な検出回避技術と権限昇格

Cruciferraは実行プロセスにおいて、監視の目をすり抜けるための回避技術を駆使する。侵入時には正規プログラムのライブラリ読み込み機構を悪用する「DLLサイドローディング」を用い、起動後はWindowsのユーザーアカウント制御（UAC。システム変更時の警告機能）をバイパスして管理者権限への昇格を試みる。

再起動後も自動実行されるよう、レジストリの自動実行キー（Runキー）に「putty」という値で自身を登録して永続化を確立する。さらに、セキュリティ製品による動作監視を解除する「APIアンフッキング」や、OSのシステム呼び出しを直接行う「間接システムコール」などの手法で監視を回避する。

BYOVDとプロセスゴースティングの悪用

特に脅威となるのが、セキュリティソフトを停止させる「BYOVD（Bring Your Own Vulnerable Driver。正規の脆弱なドライバーを持ち込み、管理者権限でセキュリティソフトを停止させる手法）」攻撃だ。脆弱性のある正規ドライバー（「GoFlyDrv.sys」）を強制インストールし、カーネル（OS中核部）の権限を悪用してセキュリティ製品のプロセスを強制終了させる。

最終的なマルウェア本体の実行には、検出回避技術である「プロセスゴースティング（Process Ghosting。ファイルをディスクから削除しつつメモリ上でプロセスを起動する技術）」の亜種が使用される。これにより、ディスクスキャンからプロセスを隠蔽し、証拠調査における痕跡を残りにくくしている。

配信される多様なコモディティマルウェア

Cruciferraは、闇市場で広く流通しているコモディティマルウェア（一般的なマルウェア）の配信に悪用されている。対象には「Agent Tesla」や「Snake Keylogger」「AsyncRAT」「Remcos RAT」「XWorm」「zgRAT」「Formbook」「XLoader」などが含まれる。

これらの多彩なマルウェアファミリーを同一のツールで保護することにより、攻撃者はセキュリティ製品の検知をかいくぐり、標的の端末内で情報窃取や遠隔操作を継続できる状態を作り出している。