Win・Mac・Linux対応の新型Javaマルウェア「QuimaRAT」が登場、月額150ドルのMaaSとして販売
要点
- Win、Mac、Linuxに対応したJava製の遠隔操作トロイの木馬「QuimaRAT」が確認されました。
- 月額150ドルからのプランで、マルウェアをサービスとして提供する「MaaS」モデルで販売されています。
- C2サーバーから暗号化されたプラグインをロードして機能を動的に拡張できるモジュール設計を採用しています。
- ブラウザキャッシュを利用してSmartScreenを回避し、ペイロードを実行する独自のローダー機能を備えています。
- 起動時にOS名を判別し、仮想環境の回避や永続性の確立を自動で行います。
リード文
サイバーセキュリティ企業のLevelBlueは、Windows、Linux、macOSを標的とする新しいJavaベースの遠隔操作トロイの木馬（RAT：遠隔地からシステムを操作するマルウェア）「QuimaRAT」を確認したと報告しました。このマルウェアは、攻撃ツールを月額制などで提供する「MaaS（Malware-as-a-Service）」モデルで販売されており、高い拡張性と検知回避機能を備えています。
多彩な出力形式とMaaSとしての展開
LevelBlueの分析によると、QuimaRATは1ヶ月150ドル、3ヶ月300ドル、6ヶ月500ドル、12ヶ月700ドル、永久ライセンス1,200ドルで販売されています。
開発者は、JARやEXE、APP、SH、BAT、VBSなど多様な出力形式を生成できる「ビルダー」を提供しており、購入者は標的環境に合わせて最適な実行ファイルを作成できます。開発者の宣伝によると、WindowsとLinuxではUI表示やデスクトップ登録を行わず完全にステルスで動作する一方、macOSでは画面キャプチャや入力制御を行うためにユーザーによる管理者権限の承認が必要となる制限があるとのことです。販売サイトには「プロのセキュリティ研究や許可されたペネトレーションテスト（侵入テスト）専用ツールである」とし、悪用を禁じる警告ポップアップが表示されます。
攻撃を支える「Quima」スイートの4ツール
開発者は、Quimaスイートとして以下の4つのコンポーネントを提供しています。
- Quima Control（QuimaRAT）：Windows用に74個、MacおよびLinux用に46個のモジュールを持つ遠隔管理ツール。
- Quima Builder：LNK、VBS、JS、BAT、DOCMなど多彩な形式に対応したモジュール式のビルダーおよびランチャーツール。
- Quima Loader：ブラウザキャッシュを利用してペイロード（実行コードの本体）を配信するウェブサービス。
- Quima Dropper：HTMLやSVG形式の不正ファイルを生成するツール。
特に「Quima Loader」は、ブラウザのキャッシュ領域を悪用する特徴的な挙動を示します。攻撃者は管理パネルからEXEファイルをアップロードし、配信形式（HTAやLNKなど）と、偽のCAPTCHAやソフトウェア更新警告のランディングページを選択します。被害者がそのリンクをブラウザで開くと、裏でペイロードがダウンロードされてキャッシュに保存されます。被害者がページ上のボタンをクリックすると、ブラウザから信頼される「クリーンな軽量ローダーファイル」が保存され、被害者がこれを実行することでキャッシュ内のメインペイロードが読み込まれて実行されます。これにより、Windowsの保護機能「SmartScreen（不正なプログラムの実行を防ぐ保護機能）」による警告をすり抜けることが可能とされています。
技術的特徴と検知回避のメカニズム
詳細な解析の結果、QuimaRATはJavaのビルド管理ツール「Apache Maven」を用いて作成されたモジュール式のプロジェクトであることが分かりました。内部には各種OSのアーキテクチャに対応した「JNA（Java Native Access：JavaからOSのネイティブAPIを直接呼び出すためのライブラリ）」が埋め込まれており、低レベルのOS APIと直接やり取りすることでマルチプラットフォーム展開を可能にしています。
重複起動を防ぐために、OSの一時ディレクトリ内にロックファイルを作成し、すでに別のインスタンスが起動している場合は即座に動作を終了します。
実行が開始されると、QuimaRATは動作しているOS名を判別し、分析用サンドボックス（安全な仮想解析環境）や仮想環境の検知と回避、システム起動時に自動で実行される永続性（システム再起動後も感染状態を維持する仕組み）の確立などを自動的に行います。さらに、設定で「Binder」機能が有効な場合は、メインのRATプロセスと同時に別の埋め込みペイロードやおとりのアプリケーションを同時に実行させることも可能です。
補足
Javaのクロスプラットフォーム性を悪用したマルウェアは以前から存在しますが、QuimaRATのように検知回避のためのローダーやビルダーをパッケージ化して組織的にMaaSとして提供する手法は、攻撃者側の開発能力やサービス化の進展を示しています。