Windows 10ユーザーの暗号資産ウォレットを狙う新種マルウェア「ElectroRAT」の全貌

Windowsシステム上の暗号資産(仮想通貨)ウォレットを標的とする、新種のマルウェアが発見されました。研究者たちによって「ElectroRAT」と名付けられたこのマルウェアは、すでに数千人の被害者を出しており、今後さらに被害が拡大する可能性があります。

ElectroRATがWindows 10ユーザーから暗号資産を窃取

ビットコイン価格が史上最高値を更新し続ける中、暗号資産を盗み出す新たなマルウェアの亜種が相次いで報じられているのは、決して偶然ではありません。

セキュリティ企業Intezerの研究者たちは、現在Windows 10ユーザーを標的としている未知のリモートアクセスツール(RAT)を突き止めました。このマルウェアはmacOSやLinuxユーザーをも標的としています。Intezerのチームはこの暗号資産窃取マルウェアを「ElectroRAT」と命名し、少なくとも6,500人の被害者がいると推定しています。

ElectroRATは極めて侵入性の高いマルウェアです。キーロギング、スクリーンショットの撮影、ディスクからのファイルアップロード、ファイルのダウンロード、被害者のコンソール上でのコマンド実行など、多様な機能を備えています。これらの機能は、Windows版、Linux版、macOS版のいずれの亜種にも共通して搭載されています。

研究チームによると、この攻撃キャンペーンは2020年1月頃から活動しているとみられており、約12か月もの間、検知されることなく運用され続けていたことになります。

ElectroRATは、SNSや暗号資産関連フォーラムへの投稿を通じて、暗号資産ユーザーをトロイの木馬化されたアプリケーションのダウンロードへと誘導します。これらの偽アプリは、人気の暗号資産取引アプリ「Jamm」や「eTrade」とそっくりに見え、実際に同様の機能を果たします。さらに、暗号資産ポーカーアプリ「DaoPoker」のトロイの木馬化バージョンも確認されています。

一度インストールされると、ElectroRATは被害者のシステム上にある暗号資産ウォレットの秘密鍵(プライベートキー)を探し出そうとします。ウォレットの秘密鍵が盗まれると、攻撃者はそのウォレットを自分のもののように自由に操作できるようになります。

Intezerのブログおよび分析では、特定の目的のためにゼロから構築されたリモートアクセスツールの稀さについても言及されています。ElectroRATはプログラミング言語「Golang」で開発されており、Golangは近年、マルウェア攻撃においてますます多く使われるようになっています。

RATがゼロから作成され、暗号資産ユーザーから個人情報を盗む目的で使用されるケースは非常に珍しく見受けられます。さらに、偽アプリや偽ウェブサイト、関連フォーラムやSNSを通じたマーケティング・宣伝活動といった多様な要素を含む、広範かつ標的型のキャンペーンが実行されるのは、なおさら稀です。

増加の一途をたどる暗号資産窃取マルウェア

2020年末から2021年初頭にかけて、ビットコイン価格は史上最高値を更新し続けており、それに伴い暗号資産窃取の被害も増加しています。

2017年に初めて1BTC=2万ドルの大台に達したときほどの社会的な注目度はないものの、ビットコインの急騰を受けて、投資資金の一部を「暗号資産の本命」とされるビットコインに移し替える人が増えています。

こうした状況を踏まえると、今こそ暗号資産ウォレットを保護するための追加対策がかつてないほど重要になっています。マシンを常に最新の状態に保ち、信頼できないソースから不審なアプリをダウンロードしないこと。そして何よりも、ウォレットの秘密鍵は必ずオフライン環境で保管することを心がけましょう。