メキシコの金融機関利用者を狙う新手のマルウェア「SCMBANKER」が判明、偽CAPTCHAやWindows更新画面で欺く

要点

• メキシコの銀行や暗号資産取引所などの利用者を標的とした、新たな詐欺キャンペーンが検出された。
• 偽のCAPTCHA検証を利用して悪意あるコマンドを実行させ、PowerShellベースのマルウェア「SCMBANKER」を感染させる。
• 感染プロセスでは、偽のWindowsアップデート画面の表示やマウスのロックを行い、ユーザーの目を逸らして実行時間を稼ぐ。
• マルウェアは銀行セッションの監視や口座番号の改ざん、電話による詐欺（ビッシング）への誘導などの多彩な機能を持つ。
• 開発には大規模言語モデル（LLM）が使用された形跡があり、攻撃インフラの設定ミスから詳細が明らかになった。

リード文

セキュリティ企業のElastic Security Labsは2026年7月8日、メキシコの銀行やフィンテック（金融とITを融合したサービス）、暗号資産取引所の顧客を標的とした新たな不正金融キャンペーン「REF6045」に関する調査結果を公開した。被害者は偽のCAPTCHA（人間とプログラムを識別する認証画面）検証ページから誘導され、「SCMBANKER」と呼ばれる悪意あるPowerShell（Windowsの管理や自動化を行うコマンドラインシェル）のツールキットをインストールさせられるという。同社のセキュリティ研究者であるJia Yu Chan氏とSalim Bitam氏によると、このマルウェアのコンポーネントの一部は2025年10月まで遡るものもあることが明らかになった。

本文

攻撃インフラの不備から詳細が露出

Elastic Security Labsのレポートによると、今回の発見は攻撃者グループ「REF6045」のインフラ管理における不備がきっかけとなった。攻撃者が使用していたIPアドレス「68.211.161[.]46」上の公開ディレクトリから、キャンペーンのWebルートディレクトリ全体を含むZIPアーカイブを回収することに成功したため、ツールの詳細な解析が可能になったという。解析の結果、SCMBANKERのツールセットの大部分の開発には、大規模言語モデル（LLM）が使用された形跡があることも判明している。

巧妙な初期感染プロセスと欺瞞工作

攻撃は、Googleの「reCAPTCHA（リキャプチャ）」に偽装したCAPTCHA検証ページから開始される。被害者は消火栓の画像を選択するなどのテストを要求され、これが完了すると、Windowsの「ファイル名を指定して実行」ダイアログに特定のコマンドをコピー＆ペーストして実行するよう指示される。

被害者がこのコマンドを実行すると、バッチスクリプトが起動し、以下の段階的なプロセスでマルウェアがインストールされる。

まず、スクリプトは即座にMicrosoft Edgeをキオスクモード（特定のアプリのみを全画面で表示するモード）で起動し、ペネトレーションテスト（侵入テスト）用のサイトとして知られる「fakeupdate[.]net」にアクセスさせる。これにより画面には偽のWindowsアップデート画面が表示され、被害者の目を引きつけて実行時間を稼ぐ。

次に、スクリプトは実行権限が管理者であるかを確認する。管理者権限がない場合、20秒ごとにユーザーアカウント制御（UAC）プロンプトを表示し、被害者が「はい」をクリックするよう執拗に促す。昇格された権限を獲得すると、マウスの動きをロックする。被害者は偽の更新画面の前で待機せざるを得なくなり、その間にWindows標準のファイル転送ツール「bitsadmin」を用いて完全なツールセットがバックグラウンドでダウンロードされる。

ダウンロード完了後、WindowsのスタートアップフォルダとレジストリのRunキーに登録し、PC再起動後もマルウェアが自動実行されるよう永続化を設定する。スクリプトはF11キーとCtrl+Wキーの入力を送信して全画面表示のブラウザを閉じようとするが、キオスクモードでは機能しないため、最終的に「shutdown /r /t 02」コマンドを用いてPCを強制的に再起動させる。

多彩な不正動作を行うモジュール群

PCが再起動されると、永続化されたレジストリキーにより、マスターランチャーであるVBScript（Visual Basic Script）「run.vbs」が実行される。このスクリプトは、以下の複数のPowerShellスクリプト（モジュール）を並行して動かす役割を担う。

• edifhjwe.ps1: ツールキットの自己アップデートを実行する。
• cliente.ps1: コマンド＆コントロール（C2）サーバー（攻撃者が感染PCに指令を送るサーバー）との通信を行い、マルウェアの動作を制御する。
• avs.ps1: 被害者のPCを直接操作できるようにするため、商用の遠隔操作ツール（RAT）「Remote Utilities」のインストーラーをダウンロードする。
• clip.ps1 および clip2.ps1: クリップボードを改ざんするモジュール。メキシコの銀行口座番号規格「CLABE」やクレジットカード番号を監視し、コピーされた口座番号を攻撃者の口座へすり替えて送金を不正にリダイレクトする。
• correr.ps1: 任意のPowerShellコマンドを実行可能にする。
• ini.ps1: 銀行活動モニター「jujuzkt.ps1」を起動する。1秒ごとに画面上のウィンドウタイトルをスキャンし、メキシコの金融機関のリストと照合する。一致した場合は、画面のスクリーンショットを撮影し、キーボードの入力履歴（キーログ）を保存する。
• rotor2.ps1: 「mensaje1.ps1」を呼び出すラッパー。偽のセキュリティ警告を画面に重ねて表示し、特定の電話番号へ電話をかけるよう仕向けるビッシング（電話を用いた音声によるフィッシング詐欺）を実行する。
• remo.ps1: ブラウザのリダイレクトを行う「jujuzkt2.ps1」を起動する。ウィンドウタイトルをスキャンし、設定されたURLを検出すると、あらかじめ用意されたフィッシングURLをクリップボードに配置してブラウザで開くなどの操作を行う。

補足

SCMBANKERはメキシコの金融エコシステムを標的として巧妙にカスタマイズされたマルウェアであり、その手法は偽のCAPTCHA検証からブラウザのキオスクモードを用いた欺瞞、クリップボードのすり替えまで多岐にわたる。