マルウェア

Google DoubleClick悪用したDesckVB RAT配布を確認

Mainichisecu 2026年 6月 4日

2026年6月、セキュリティ研究者らはGoogleのDoubleClickドメインを利用したマルウェア配布キャンペーンを確認した。本キャンペーンでは、DesckVB RATと呼ばれるリモートアクセス型トロイの木馬（RAT）が配布されていた。

分析によると、攻撃者はGoogle DoubleClickドメインを経由した誘導フローを利用しており、専用の大規模スパムインフラを必要としない構成が確認されている。

攻撃では、メールに添付されたHTMLファイルが利用される。利用者がファイルを開くと、ブラウザ上でリダイレクト処理が実行され、Base64形式でエンコードされたメールアドレス情報が処理される仕組みとなっている。

その後、利用者は「PDFダウンロード」を装ったページへ誘導され、ZIPファイルを取得する流れとなる。ZIPファイルには、後続ペイロードを展開するためのJavaScriptローダーが含まれていたことが報告されている。

DesckVB RATの実行フローとプロセスホローイング技術

分析によると、今回の攻撃では.NETベースのDesckVB RATが最終ペイロードとして利用されている。配布されたJavaScriptローダーはPowerShellスクリプトを展開し、外部サーバーから.NETローダーを取得して実行する構成となっている。

その後、攻撃チェーンではプロセスホローイング（Process Hollowing）技術が利用される。研究者によると、この手法は正規プロセス内に別のコードを挿入して実行する方式であり、本件ではMicrosoft署名プロセスが利用されていたと報告されている。

DesckVB RATが起動すると、コマンド＆コントロール（C2）サーバーとの通信を開始する。また、システム情報の収集、データ取得、追加ペイロードの展開などの機能を備えていることが確認されている。

今回のキャンペーンでは、HTML添付ファイル、JavaScriptローダー、PowerShellスクリプト、プロセスホローイングなど複数の技術を組み合わせた攻撃チェーンが確認された。

分析では、メールを起点として利用者を外部サイトへ誘導し、ZIPファイルや追加ペイロードを段階的に取得させる構成が採用されていた。また、攻撃フローにはDMARC、DKIM、SPFなどのメール認証技術や、添付ファイル検査機能を対象とした回避手法の分析も含まれている。

さらに、本件ではHTML添付ファイル、PowerShell実行、Microsoft署名プロセスを利用したプロセスホローイングなど、複数の要素を組み合わせたマルウェア配布活動が確認されている。

研究者らは、Google DoubleClickを利用した誘導手法からDesckVB RATの実行に至る一連の攻撃フローについて継続的な分析を進めている。