正規の「Exodus Wallet」を悪用してRATを展開、ブラウザの認証情報やセッションクッキーを窃取

正規のExodus Walletインストーラーをトロイの木馬化して認証情報を窃取

正規の暗号資産ウォレット「Exodus Wallet」のインストーラーをトロイの木馬化し、ブラウザの認証情報やセッションクッキー、拡張機能のデータなどを窃取するマルウェアキャンペーンが確認された。攻撃は2026年7月末から8月中旬にかけて観測されており、ブラウザデータを窃取するだけでなく、Hidden VNCやSOCKSプロキシ、ファイル管理などの機能を備えたモジュール型のリモートアクセス型トロイの木馬（RAT）も展開する。

攻撃では、ソフトウェアアップデートを装ったPDFファイルや、ZIPアーカイブに格納されたJavaScriptファイルなどを利用して被害者を誘導する。特に、Windowsでファイル拡張子が非表示となる設定を悪用し、JavaScriptファイルをPDF文書のように見せかける手法が用いられている。

ユーザーが不正なファイルを実行すると、画面上では正規の文書が表示される一方、バックグラウンドでは悪意のあるMSIパッケージがインストールされる。こうしたデコイ文書とバックグラウンドでの不正な処理を組み合わせることで、ユーザーに感染を認識させにくくしながら後続のマルウェアを展開する。

モジュール型RATをメモリ上で実行、Azure Table StorageをC2に悪用

攻撃では、実際のExodus Walletを「%APPDATA%\ExdBackupTool」にインストールした後、特定のJavaScriptコンポーネントを介してモジュール型RATをメモリ上で実行する。RATはブラウザに保存されたパスワードやセッションクッキー、自動入力情報、拡張機能のデータなどを収集する機能を備えている。

さらに、RATは既存のクッキーを削除してユーザーに再認証を促し、新たに生成されたセッション情報を取得するための動作も行う。これにより、攻撃者はブラウザに保存された認証情報だけでなく、更新されたセッション情報も継続的に窃取できる可能性がある。

マルウェアはコマンド＆コントロール（C2）通信にAzure Table Storageを利用する。正規のMicrosoftクラウドサービスをC2インフラとして悪用することで、通常のクラウドサービスへの通信に不正なトラフィックを紛れ込ませ、ネットワークベースの検知や遮断を困難にする仕組みとなっている。

不審なプロセスの監視とセッション無効化による対策

組織では、「ExdBackupTool」に関連するプロセスや%APPDATA%配下で実行される不審なプロセス、通常とは異なるJavaScriptの実行などを監視することが対策となる。特に、窃取されたセッションクッキーはパスワードを変更した後も有効な場合があるため、侵害が確認された場合には認証情報の変更だけでなく、アクティブなWebセッションを無効化して既存のセッションクッキーを失効させる必要がある。

また、攻撃経路や組織の運用環境を確認したうえで、不要なWebClientサービスを無効化することも攻撃対象領域を縮小する手段となる。エンドポイント上の不審なJavaScriptやMSIの実行、Exodus Walletに関連する通常とは異なるプロセス、Azure Table Storageへの不審な通信などを組み合わせて確認することで、今回の攻撃チェーンを検知できる可能性がある。