1年前、ESET Researchは、当時重大な影響を及ぼしていたサイバー犯罪活動であったLumma StealerとDanabotを阻止した2つの大規模な作戦に参加しました。最近、ESETの研究者は再び民間企業のパートナーや法執行機関と連携し、サービスとしてのマルウェア（MaaS）として提供されているAmadeyボットネットとStealc情報窃取型マルウェアの解体を目的とした作戦に参加しました。このエンドゲーム作戦では、Microsoftのデジタル犯罪対策部門Microsoft Digital Crimes Unit（DCU）、BitSight、Lumen、三井物産セキュアディレクション（MBSD）などのパートナーが連携し、AmadeyおよびStealcのアフィリエイトが利用している既知のすべてのネットワークインフラを標的とし、そのサイバー犯罪活動の遂行能力を大幅に低下させることを目指しました。

ESETは、この作戦において技術分析、統計情報、既知のコマンド＆コントロール（C&C）サーバー、暗号化キー、キャンペーン識別子やビルド識別子など、両方のマルウェアを長期にわたって追跡する中で収集した脅威インテリジェンスを提供しています。

本ブログの要点：

• ESETは、AmadeyおよびStealcの解体を目的としたグローバルな共同作戦であるエンドゲーム作戦に参加しました。
• エンドゲーム作戦では、AmadeyおよびStealcに関連する約50のドメインと、利用されていた約200のIPベースのC&Cサーバーを無力化しました。
• ESETは、技術分析、統計情報、既知のC&Cサーバー、暗号化キー、キャンペーン識別子、その他の知見を提供しました。
• 両方のマルウェアについて、アフィリエイトから見たMaaSエコシステムの概要を提供します。
• AmadeyおよびStealcの活動をどのようにクラスタリングしたかについて解説します。
• C&C通信、埋め込み識別子、暗号化キーなど、これらのマルウェアを追跡して無力化するために特に重要となる技術的な特徴を要約しています。
• Amadeyの活動とLumma Stealerのアフィリエイトに見られる共通点について詳述しています。

ESET Researchは、過去3年間にわたりAmadeyボットネットおよびStealc情報窃取型マルウェアの両方を追跡してきました。今回の解体作戦において、ESETは2025年第4四半期から2026年上半期にかけて収集した統計情報に加え、マルウェア検体を分析して抽出した技術的な指標および設定データを共有しました。

ESETの自動化システムは、AmadeyおよびStealcの検体を解析し、大規模な追跡において特に重要となるフィールドを特定してきました。これには、C&Cサーバー、ビルド識別子、暗号化キー、URLパス、キャンペーン識別子、そしてこのマルウェアが攻撃者の管理するインフラと通信する時に使用するその他の埋め込み値が含まれます。

ESETの取り組みにおける重要な焦点の一つは、大量の検体を効率的に処理し、クラスタリングのために整理する信頼できる方法を特定することでした。AmadeyおよびStealcはいずれもサービスとして提供されていることから、このような分析手法が重要となりました。マルウェアはアフィリエイトによって配信および運用されており、アフィリエイトは、それぞれ独自のインフラを運用し、独自のビルドを生成または要求し、個別のキャンペーンを実行しています。このようなエコシステムにおいて活動クラスタを特定することにより、今回のような解体作戦において優先すべき重要な標的を把握できるようになります。

C&Cサーバーリスト、アフィリエイト識別子、暗号化キーといった技術的な分析、統計情報、脅威インテリジェンスを法執行機関と共有することで、インフラを高い精度で特定し、優先順位を付けて対応することが可能になります。また、セキュリティ侵害の痕跡（IoC）は、個別のクラスタ、共有インフラ、大きな影響を及ぼしているボットネットを識別し、脅威全体を弱体化するために最も効果的な対象を特定するのに役立ちます。最終的に今回の解体作戦では、AmadeyまたはStealcに関連するC&Cサーバーとして使用されていた約50のドメインと約200のIPアドレスを無力化しました。

Amadeyはモジュール型のマルウェアローダーです。このローダーの主な目的は、侵害されたシステムに追加のマルウェアを配信することですが、加えて、データ窃取やリモートアクセス用のモジュールも提供しています。

一方、Stealcはサービスとして提供されている典型的な情報窃取型マルウェアです。認証情報、クッキー、暗号資産ウォレット、ブラウザ拡張機能、そしてアフィリエイトが定義したパターンに一致するファイルを標的としています。

両方のマルウェアはサービスとして提供されており、ダークネットフォーラムで宣伝されています。ダークネットフォーラムの動向を探るために、ESETは地下コミュニティを監視する脅威インテリジェンスプラットフォームであるFlare.ioを使用しました。両エコシステムでは、アフィリエイトは自身でホストする管理パネルを提供されます。これはアフィリエイト自身のサーバーインフラに展開する必要があります。そのためアフィリエイトには一定の技術スキルが求められる一方で、被害者データやペイロードの配信を直接制御できるという利点があります。

このモデルは他のMaaSエコシステムとは異なります。例えばDanabotでは、アフィリエイトがC&Cインフラをサービスとしてレンタルすることも可能でした。一方でLumma Stealerは、データ窃取のネットワークを運営者側が完全に管理していました。これに対しAmadeyおよびStealcでは、アフィリエイト自身がインフラを構築および運用しているため、インフラの解体が困難になっていました。こうした理由から、クラスタリングの手法が不可欠となっていました。

マルウェアの配信手法は各アフィリエイトに委ねられていますが、ESETのテレメトリでは、両方のマルウェアはいずれもさまざまなチャネルから配信されていることが一貫して確認されています。最も一般的な手口は、偽のソフトウェアアップデート、クラックされたソフトウェアインストーラー、サードパーティのマルウェアローダーの利用でした。

Amadeyは、ビルド生成ごとに課金するモデルを採用しています。アフィリエイトはライセンスを購入した後、新しいビルドを生成するたびに追加料金を支払う必要があります。例えば、新しいC&Cサーバーにローテーションするときに料金を支払います。つまりAmadeyの運営者はアフィリエイトにビルダーツールを提供するのではなく、各アフィリエイトにリクエストに応じてビルドを生成して提供していました。

一方Stealcは、よりアフィリエイト向けの仕組みを採用しており、サブスクリプションを購入すると、無制限にビルドを生成（図1）できます。これによりC&Cインフラのローテーションにかかる運用コストが低下し、アフィリエイトは必要に応じて容易に新しいビルドを生成できる仕組みになっていました。

なりすまし詐欺を避けるため、両サービスの運営者はダークネットフォーラムで、アフィリエイト候補に対して公式チャネルのみを通じて連絡するよう明確に指示していました。Amadeyは、広告を掲載しているダークネットフォーラム内のプライベートメッセージから連絡するように指示していた一方、StealcはダークネットフォーラムのプライベートメッセージまたはTelegramを通じて連絡していました。

Amadeyはモジュール型のマルウェアローダーであり、2018年10月以降、ダークネットフォーラム上でInCreaseというアカウント名によって広告および宣伝されてきました。その後、Amadeyは安定性が高く、継続的にメンテナンスされるマルウェアの一つとなり、ダークネットフォーラムのチャネルを通じて継続的にサポートされています。

ESETのテレメトリに基づく検出状況（図2）によると、Amadeyは特定の地域に偏ることなく世界中で観測されています。ただし、インド、トルコ、エジプト、メキシコ、スペインで最も多く検出されています。

Amadeyの主な機能は、被害者に追加のマルウェアを配信することです。さらに、データ窃取およびリモートアクセス用に、クリップボード監視、認証情報窃取、VNCベースのリモートアクセスという3つのモジュールを提供しています。

このサービスは、単一ライセンスあたり600米ドルで、ビットコインで支払います。さらに、新しいビルドを生成するたびに50米ドルの追加料金が発生します。アフィリエイトが新しいビルドを生成するたびにコストが発生し、例えば新しいC&Cサーバーにローテーションするときに課金されます。この価格設定は、最初に広告された初期バージョンからほぼ変更されていないことから、安定した顧客基盤が確立されていることを示しています。

長年にわたり、ESETは、Amadeyのバージョンが継続的に更新されており（図3）、現在も活発な開発が続けられていることを観測しています。Amadeyの開発における最も重要なマイルストーンは2020年8月のバージョンv1.99.5であり、このときにコードベースが全面的に書き直されました。次の大きな進化が見られたのは、2024年10月にリリースされたバージョンv5.03です。このバージョンでは多くの新機能が追加されました。具体的には、リバース接続に対応するhVNC、MSIサイレントインストーラーへの対応、RDPの有効化、SYSTEM権限によるcmd.exeの実行、暗号化ペイロードの統合サポートなどが含まれています。全体として、それ以外の比較的小規模な更新の多くは一貫して、アンチウイルスによる検出を回避することを目的としていたと考えられます。

Amadeyの各検体には、少なくとも1つのハードコードされたC&CサーバーURLが含まれており、最大3つのエントリを保持できる設定になっています。また各検体には、C&Cサーバーとの通信を暗号化するために使用されるRC4キーが埋め込まれています。

ESETによる分析の結果、このRC4キーは各検体から抽出可能であり、信頼性の高いクラスタ識別子として利用できることが確認されました。これにより、検体を個別のボットネット単位にクラスタリング（分類）することが可能となります。この詳細については「クラスタリング」セクションで説明します。

さらに、もう1つのハードコードされた値に、内部的にsdとして参照される値が存在します。これはランダムに見える6文字の16進数文字列であり、[0-9a-f]{6}のパターンと一致します。この値は、アフィリエイト環境内の特定のビルドを識別するために、最初のC&Cハンドシェイク時に送信されていると考えられます。研究者の間ではこの値がキャンペーンIDやAmadey IDと呼ばれることもありますが、Amadeyが採用しているビルド単位での課金モデルを踏まえると、正確にはビルド識別子として扱うのが適切です。

各検体にはバージョン番号も含まれています。ESETはバージョンv5.xを中心に分析を行っています。このバージョンは2025年初頭以降、ESETのテレメトリで確認されている主要な亜種となっています。

また、このボットは被害者が使用しているキーボードレイアウトもチェックします。独立国家共同体（CIS）諸国に関連するキーボードレイアウトと一致した場合、すべてのネットワーク通信を開始しなくなります。東欧を拠点とするサイバー攻撃グループは、このようなセーフガードを組み込むことで、CIS諸国の企業や政府機関に影響を与えないようにし、現地当局の注意を引いたり訴追を受けたりするリスクを低減しています。さらに、これらの運用者は、CIS諸国内の同業者から「自国のユーザーを標的にしている」と見なされたり、サービスを広告しているダークネットフォーラムのルールに抵触したりすることによる反発を避ける目的でも、このような慣行を取ることが多いとされています。

このセクションではAmadeyの概要のみを説明します。より詳細な技術分析については、公開されているSwisscomのレポートを参照してください。

AmadeyはHTTPを使用し、POSTリクエストによってC&Cサーバーと通信します。この通信は、主に以下の3段階のライフサイクルに従って行われます。

• 初回 – ビーコンボットはまず、最小限のst=sというHTTP POSTリクエストをC&Cサーバーへ送信します。このサーバーは応答として、10のような形式でスリープ間隔を返します。これは、ボットに対して後続のチェックイン間隔を10分に設定するよう指示します。
• 登録 – 次にボットは、システム情報をフラットなキー・値形式の文字列にエンコードし、RC4で暗号化して送信します。このデータには、OSバージョン、ユーザー名、PC名、インストールされているアンチウイルス製品、管理者権限、sd値、その他のホスト情報が含まれます。RC4キー自体はネットワーク上で送信されないことに注意が必要です。また、ESETのテレメトリによると、1つのサーバーが同時に複数のRC4キーに対応するタスクを配信する事例は観測されていません。これは、各検体が事前にそのRC4キーを把握しているC&Cサーバーと通信する必要があることを示しています。サーバーはその後、タスクリストを返します。
• タスク配信 – タスクは構造化されたコマンド文字列として配信されます。このコマンド文字列は、とタグで区切られ、個々のコマンドは#によって分離されます（図4）。各タスクには、EXEのダウンロードおよび実行、VNCの起動、スティーラープラグインの実行などのコマンドタイプが含まれます。またタスクには、権限昇格フラグ、対象ディレクトリ、ペイロードURLなどのパラメータも含まれます。

各タスクはそれぞれ独自の処理ロジックを持ち、単にダウンロードして実行する場合から、hVNCやプロキシコンポーネントのより複雑な実行する場合もあります。これらの内部動作の詳細については、過去の技術レポートで公開されています。

MaaSマルウェアを追跡する際の重要な課題の1つは、同一のサイバー攻撃グループに属する検体を信頼性の高い方法でグループ化する手法を確立することです。そのため、ビジネスモデルとネットワークインフラの分布を理解することは、解体を成功させる上で不可欠です。これにより、防御側および法執行機関は、最も大きな影響を与えられる重要インフラを特定できるようになります。本セクションでは、ESETのクラスタリング手法について説明します。

Amadeyの検体には、ハードコードされた以下の3つの重要な設定値が含まれています。

長期的な追跡の過程で、AmadeyのC&C URLでは以下のように一貫したパターンが確認されました。

http(s)?://<C&C>/<random_path>/index.php

さらに、URLの同じの部分が異なるC&Cサーバー間でも使用されていることが確認されました（図5を参照）。この値はランダムな文字列であると考えられるため、複数のC&Cサーバーで同一の値が観測されるという事実は、それらのサーバーが同一クラスタとして運用されていることを強く示す指標であると判断されました。そのため、ESETは、このC&C URLを、IPアドレスまたはドメイン部分と、URLの<random_path>部分に分解して分析を行いました。

検体の設定値とその目的に関する理解を組み合わせ、グラフモデリングを活用することで、Amadeyエコシステムの構造についての洞察を得ました。図6に示すように、インフラは単一の共有基盤ではなく、複数の小規模なサブボットネットに分かれており、その中でも明確に支配的なクラスタが存在することが確認できます。次のセクションでは、この最大規模のクラスタについてさらに詳しく分析します。

分析の主な結果は次のとおりです。

1. ESETは、Amadeyのエコシステム内で、合計53個の固有クラスタを特定しました。
2. 各sd値は、必ず1つのRC4キーに対応しています。
3. 3RC4キーは再ビルドした後も維持される一方で、sd値は変更されることから、RC4キーはアフィリエイトを特定するための有効な識別子となります。
4. C&C URLに含まれる<random_path>の部分は、C&Cサーバーを切り替える際に再利用されることがあり、それらのC&Cサーバーが同一クラスタに属していることを示す信頼性の高い証拠となります。

1つのクラスタが際立って大規模であり、分析したAmadey検体全体の約34％を占めていました。また、このクラスタは、分析対象期間を通じて継続的に活動が確認された唯一のクラスタでもありました。分析のタイムラインは図7を参照してください。

さらに、この最大規模のボットネットは、1回の実行で被害者に配信するペイロード数の平均でも他のボットネットクラスタを大きく上回っていました。ESETのクラスタリング手法に基づく分析では、この最大クラスタに属するAmadeyの検体は、1回の実行で被害者1人当たり平均約14個のペイロードを同時に配信していました（図8）。

配信されるマルウェアは、情報窃取型マルウェアやRATから、高度なコード保護機構でパッキングされたマルウェアまで、多岐にわたっていました。図9は、追跡期間中にこのボットネットから配信されたペイロードの内訳を示しています。

さらに、ESETの研究者は、1人の被害者に対して、異なるアフィリエイトが利用している複数のLumma Stealerが配信されるケースが数多く存在することを確認しました（詳細については、以前のLumma Stealerに関する調査を参照してください）。その結果、複数のLumma Stealerのアフィリエイトが同じデータを窃取して入手する状況が発生していました。このことからESETは、この最大規模のクラスタを運営するサイバー攻撃グループは、インストール毎に請求する独自のモデルを運用し、ボットをさらに収益化していた可能性が高いと結論付けています。

Stealcは、plymouthと名乗るサイバー攻撃グループによって広告されています。この運営者はStealcを継続的に開発しており、新しいバージョンをリリースするたびに、ダークネットフォーラムに投稿し、リリースノートを公開していました。過去3年間で、このようなリリースノートは37回公開されています。Stealcは月額制のサブスクリプションとして提供されており、以下のように、料金体系はこれまでほとんど変更されていません。

• 1か月300米ドル
• 3か月700米ドル
• 6か月1,000米ドル

2025年3月には、バージョン2への移行に伴ってアーキテクチャが大規模に更新されました。このアップデートでは、ネットワークプロトコルと設定の構造に大きな変更が加えられています。それ以降は、バージョン2系統がESETのテレメトリで主に確認されています。図11に示すように、2026年6月時点でバージョンは2.22.1に達しています。

Stealcは、主要な窃取対象に加え、任意のファイルを収集できる機能も備えています。アフィリエイトは、侵害したマシンから窃取するファイルを、パターンを指定して設定できます。StealcのC&C通信および検体内に埋め込まれた文字列は、ビルドごとに異なるRC4キーを用いて暗号化されています。

Stealcは単一の標準的な配信手法を採用しておらず、配信方法は各アフィリエイトが決定しています。しかし、Amadeyと同様に、ESETのテレメトリでは、トロイの木馬化されたソフトウェアインストーラーや、Amadeyのような既知のマルウェアローダーを利用した配信が、主な感染経路として一貫して確認されています。

Stealc v2の詳細な技術分析については、Lumma-Labsが公開しています。本セクションでは、主にクラスタリングに利用可能な特徴について解説します。

現行バージョンのStealcには、検体ごとに以下の2つの異なるRC4キーが埋め込まれています。

• 実行時に難読化された文字列を復号するためのRC4キー
• C&Cサーバーとの通信を暗号化するためのRC4キー

これら2つのRC4キーに加えて、ESETではStealcの検体からbuild識別子も抽出しています。この値は個々のStealcキャンペーンを示しており、他の文字列とは異なり、バイナリ内で保護（暗号化や難読化）されていません。この値が重要なのは、C&Cサーバーとのハンドシェイクの一部として送信されるためです（図12を参照）。

また、通信に使用されるC&CサーバーのアドレスとURLパスも、RC4で暗号化された文字列の中に格納されており、ESETが自動化した設定解読パイプラインによって抽出されています。

StealcはHTTPを使用し、RC4で暗号化されたJSONオブジェクトによってC&Cサーバーと通信します。C&Cサーバーに送信される最初のリクエストには、次の3つの値が含まれています。

• ビルド識別子（build）
• 侵害したマシンのフィンガープリント（hwid）
• リクエストタイプ（初回リクエストではcreateタイプが指定されます）

このマシンのフィンガープリントは、システムのボリュームシリアル番号から生成され、UUIDv4形式の文字列としてフォーマットされます。この初回リクエストのJSONオブジェクトの例を図12に示します。

C&Cサーバーは、Stealcが実行する必要がある機能を定義した複雑なJSONオブジェクトを応答として返します。この応答にはaccess_tokenと呼ばれるランダムに生成された値も含まれます。この値はセッションキーとして機能し、後続のすべてのリクエストに含める必要があり、含まれていない場合、サーバーからそのリクエストは拒否されます。このJSONオブジェクトでは、窃取対象に関する詳細な定義に加え、スクリーンショットを取得するかどうか、処理完了後に自分を削除するかどうか、さらに追加のペイロードをダウンロードして実行するかなども定義されています。この応答用のJSONオブジェクトの例を図13に示します。

サーバーから返される各応答には、先頭にランダムに生成されたキーと値のペアが含まれています。この16進数文字列は、一度使用されると後続のC&C通信で再利用されることはありません。Zscalerの調査によると、この仕組みにより、同じRC4暗号化キーが繰り返し使用されている場合でも、RC4で暗号化された通信に対する静的なシグネチャベースの検知を回避できます。図13に示すように、ランダムに生成されるノンスは"bf66e52": "03030ac3e9a8cebf"です。

初回の登録処理が完了すると、Stealcはその後の動作を実行するために、分かりやすい名前の3種類の以下の操作タイプを使用します。

• upload_file – 収集したデータの外部への送信
• loader – 追加のペイロードの取得と実行
• done – 処理完了の通知

前述のとおり、Stealcの運営者は、Lumma Stealerとは異なり、アフィリエイトに共有インフラを提供していません。Amadeyで用いたクラスタリング手法と同様に、Stealcについても、設定情報から抽出した値と、それらの目的に関する理解を組み合わせ、グラフモデリングを活用することで、Stealcエコシステムの構造についての洞察を得ました。その結果、Stealcエコシステムは、実に多くの小規模クラスタに分散していることが分かりました（図14を参照）。各クラスタは少数のC&Cサーバー（多くの場合は1台のみ）を中心に構成されており、通常は少数のbuild識別子またはC&C URLパスが関連付けられています。このように、インフラが多数の小規模クラスタへ分散していることから、集中的に対処すべき単一の弱点が存在せず、インフラを解体することが困難になっています。全体として、ESETは2025年3月以降に活動していたStealcについて、合計73個の異なるクラスタを特定しました（図14を参照）。

AmadeyおよびStealcを対象としたエンドゲーム作戦のような世界規模の解体作戦を成功させるには、マルウェアを長期間にわたって自動的に追跡して分析することが不可欠です。このブログでは、そのような手法で収集した情報を紹介するとともに、各マルウェアが採用しているMaaSビジネスモデルと、ネットワークインフラが断片化する仕組みについて解説しました。また、それぞれの主要な埋め込み識別子やC&C通信プロトコルを整理し、ESETの研究者が、解体作戦において重要となる標的の特定にどのように貢献したかについても紹介しました。AmadeyおよびStealcに関するESETの脅威インテリジェンスは、パートナーから共有されたデータと組み合わせることで、今回の解体作戦および法執行機関による捜査活動を支える強固な基盤となりました。

エンドゲーム作戦では、AmadeyおよびStealcで使用されていることが確認されているすべてのC&Cサーバーのテイクダウンまたは無力化を目的とし、両方のMaaSアフィリエイトが利用しているインフラを直接解体しました。ESETは今後も両方のマルウェアの監視を継続し、今回の解体作戦後に運用インフラの再構築が試みられるかどうかを引き続き追跡していきます。

ファイル

この表は、MITRE ATT&CKフレームワークのバージョン19を使用して作成されています。