Amatera Stealer、偽ゲーム配布とRenPy Loaderを悪用した多段階感染を確認

Amatera Stealer、偽ゲーム配布とRenPy Loaderを悪用した多段階感染を確認

Amatera Stealerを拡散するため、偽のゲームやクラック版ソフトウェアを悪用した攻撃キャンペーンが確認された。攻撃者は、RenPy LoaderやMSBuild、EtherHidingといった複数の技術を組み合わせた多段階感染チェーンを構築し、情報窃取型マルウェアを配布している。

攻撃では、Ren’Pyエンジンを利用した一見無害なゲームやMODファイルが配布される。感染はRenPy Loaderから始まり、その後MSBuildやEtherHidingを利用した複数の段階を経てマルウェアが実行される。EtherHidingはブロックチェーン上にC2サーバーの情報を隠す手法で、攻撃インフラの追跡や悪性ペイロード配信元の特定を困難にすることから、検知回避のために悪用されている。

マルウェアは偽のダウンロードサイトを通じて配布される。ユーザーがダウンロードリンクをクリックすると、リダイレクトを経て「Setup.exe」が実行され、システムが感染する仕組みとなっている。特にゲームやソフトウェアのクラック版を求めるユーザーが標的となるケースが多い。

今回の事例は、正規ツールやプラットフォームを悪用して検知を回避する近年の攻撃手法を示すものとなっている。EtherHidingのような新たな技術の採用により、攻撃インフラの秘匿性がさらに高まっており、セキュリティ対策の高度化が求められる。

また、攻撃者は偽サイトやファイル共有サービスなど複数の経路を利用してマルウェアを継続的に拡散している。組織ではシステムやネットワークの監視を強化するとともに、ソフトウェアは公式サイトなど信頼できる提供元からのみ入手することが、感染リスクの低減につながる。