画像にマルウェアを隠す新サービス「DOUBLECUP」が判明、偽エラー画面で感染へ誘導

要点

• ロシア発とみられる新しいマルウェア配信代行サービス「DOUBLECUP」の存在が明らかになった。

• ブラウザのエラー修復を装って偽の操作を行わせる「ClickFix」と呼ばれる詐欺手法でユーザーを騙す。

• ブラウザのキャッシュに保存させた画像ファイル（PNG形式）から、隠された悪意あるコードを抽出して実行する。

• 解析を回避するため、被害者のグローバルIPアドレスを暗号鍵として使用する独自の保護機能を備えている。

• サイバーセキュリティ企業のSOCRadar（ソックレーダー）は2026年8月4日、ロシア発とみられる新しいマルウェア配信代行サービス（LaaS：マルウェアの侵入・配信を請け負うサービス）「DOUBLECUP」に関する詳細な調査レポートを公開した。このサービスは、Webブラウザのエラー画面を装う「ClickFix」と呼ばれる詐欺手法と、画像の中にデータを隠す「ステガノグラフィ」技術を組み合わせ、セキュリティ検知をすり抜けて標的のデバイスに不正プログラムを送り込む。2026年6月初旬から活動を開始したとみられ、WindowsとmacOSの両方を狙った複数のキャンペーンで利用されている。

偽ログイン画面から画像キャッシュを悪用した侵入まで

調査によると、DOUBLECUPを用いた攻撃は、企業の顧客関係管理（CRM）システムであるNetSuite、Odoo、HubSpot、Salesforceなどのログインページを精巧に模倣した偽サイトから始まる。これらの偽サイトには、別のページを埋め込む「iframe」要素を介して悪意あるプログラムが仕込まれている。

ユーザーがこれらのサイトにアクセスすると、Webブラウザに何らかの不具合が発生したかのように見せかけた警告画面（ClickFix）が表示される。この画面は、エラーを解決するために必要な「修復コマンド」と称するコードを提示し、それをコピーして実行するよう指示する。

ユーザーが騙されてこのコマンドを実行すると、まずWebブラウザのキャッシュ（データを一時保存する領域）に対して、外見上は無害なPNG画像ファイルがダウンロードされる。この画像にはステガノグラフィ技術によって悪意あるコードが隠されており、実行されたコマンドがこのキャッシュ画像からコードを抽出して、第2段階のプログラムを起動する仕組みになっている。

被害者のIPアドレスを鍵にする強固な解析回避

第2段階のプログラムは、最終的に標的のPCで実行される悪意あるプログラムの本体（ペイロード）を展開するが、この際にセキュリティ製品や研究者による解析を妨害するための極めて強固な防御策が取られている。

このプログラムは、侵入したPCのインターネット上の接続先を示す「パブリックIPv4アドレス」を取得し、それを鍵の生成データ（シード）として利用する。これは「環境キーイング」と呼ばれる手法で、あらかじめ狙いを定めた被害者のネットワーク環境でなければ、暗号化されたペイロードを正しく復号できない。これにより、セキュリティ研究者が別の解析用ネットワークでファイルを入手して実行しても、IPアドレスが異なるために復号が失敗し、検知や解析を逃れることができる。

最終的に復号されて実行されるプログラムには、すでに知られているマルウェア「CountLoader（カウントローダー）」のWindows版およびmacOS版のほか、これまで文書化されていなかった新種の遠隔操作プログラム（RAT：外部からPCを遠隔操作するツール）「DeviceManager（デバイスマネージャー）」が含まれる。DeviceManagerは、ブロックチェーン上に指令サーバーのアドレスを隠す「EtherHiding（イーサハイディング）」と呼ばれる技術を使用し、DNS（ドメイン名とIPアドレスを紐づけるシステム）やHTTPの通信をトンネルのように使って外部と通信する。

攻撃者を支援する管理パネルとTelegramボットの存在

DOUBLECUPは単一の攻撃ではなく、複数の攻撃者が利用できるように体系化されたサービスとして運営されている。

開発者は、攻撃の実行者（オペレーター）に対してライセンスキーと、Go言語で開発されたWindows用の管理ツール（GUIクライアント）を提供している。オペレーターはこのツールを用いて、ClickFixで使用する偽のドメインや、マルウェアを仕込んだ画像のURL、対象とするブラウザ（Chrome、Edge、Firefox、Brave、Operaなど）に応じた個別の設定などを簡単に構築できる。

さらに、このサービスではTelegram（テレグラム）の自動プログラム（ボット）である「@harrypoterlohBOT」が利用されている。このボットは、標的ユーザーのアクセス状況の追跡や、コマンドの送信、ライセンスキーの配布などを担っている。このボットを管理する「johnnysilverhe」と呼ばれる人物は、マイクロソフト社のプログラム開発ツールである「Visual Studio Code（VS Code）」の公式マーケットプレイスにて、「Agent IDE」という不審な拡張機能を公開していることも明らかになった。