クリプターサービスCruciferraの検知回避の手口
The Hacker Newsによると、Proofpointは、クリプターサービスCruciferraがBYOVD（脆弱なドライバの持ち込み）によるEDRの妨害やプロセスゴースティングの独自の実装など、検知・解析・インシデント対応を逃れる多数の手法を持つと説明した［1］。Cruciferraの販売は2025年秋に始まった［1］。
報告の内容
The Hacker Newsの2026年7月27日の記事では、Proofpointは、互いに関係の無い複数のサイバー犯罪の脅威クラスタがCruciferraでRATと情報窃取マルウェアを配ってきたと分析した［1］。配られたマルウェアはAgent Tesla・AsyncRAT・DarkCloud Stealer・Formbook・Phantom Stealer・Remcos RAT・Snake Keylogger・ValleyRAT・XLoader・XWorm・zgRATなどである［1］。Cruciferraは地下市場で「最も致命的なクリプター」として、月450〜2,000ドルで宣伝されている［1］。
暗号化の仕組み
The Hacker Newsは、Cruciferraが既存の暗号アルゴリズムから動的に組み立てたとみられる独自の暗号化ルーチンを複数持ち、検体ごとの違いで静的解析とシグネチャによる検知を難しくすると報じた［1］。Proofpointの研究者は、検体の組ごとにペイロードと文字列の暗号化のアルゴリズムが異なり、既知のハッシュ・PRNG・暗号の要素から多態的に乱数生成されている可能性が高いと述べた［1］。
Infosecurity Magazineの7月20日の記事では、CruciferraはExploitフォーラムで売り出され、数十のキャンペーンを支えている［4］。ペイロードはバイナリの.relocセクションに置かれ、90を超える暗号化ルーチンの1つで展開された［4］。各ルーチンは、Keccak・Threefish・Feistelの変種など既存のアルゴリズムの部品を組み合わせたものだった［4］。同誌は、Proofpointが本番用と試験用とみられる検体の両方を確認しており、開発が続いていることを示すと報じた［4］。
実行と防御の回避
The Hacker Newsによると、Cruciferraを使ったキャンペーンはフィッシングを主な初期侵入の経路とし、暗号化したペイロードをディスクに落とすか、ステージングサーバーから取得するかを選べる［1］。Cruciferraを実行する手段は、どのキャンペーンでもDLLサイドローディングである［1］。回避の手口として、記事はコンソール窓の非表示・Windows APIのアンフック・間接システムコール・利用者への通知の無効化と、BYOVD攻撃の一部として「GoFlyDrv.sys」ドライバを悪用したセキュリティ製品のプロセスの終了を挙げた［1］。
Infosecurity Magazineは、被害者が正規の実行ファイルと悪意あるDLLを組にしたZIPを受け取り、実行ファイルを動かすとDLLがサイドロードされたと報じた［4］。DLLは環境を調べてからペイロードを落とした［4］。DLLには無意味なコードを指す数百のおとりのエクスポート関数があり、本当の処理を呼ぶのは1〜2個だけだった［4］。実行の前にIATにパッチを当て、汚れていないntdll.dllの写しを読んで間接システムコールに使い、GoFlyDrv.sysなどの署名済みの脆弱なドライバを読み込んでIOCTLコマンドでセキュリティ製品のプロセスを終了させた［4］。
The Hacker Newsの記事で引かれたProofpointの説明では、Cruciferraは管理者権限で動いているかを確かめ、無ければCOM Elevation MonikerでUACを回避して権限昇格を試みる［1］。レジストリのSoftware\Microsoft\Windows\CurrentVersion\Runキーに既定値「putty」で書き込んで永続化し、再起動の後も動く［1］。
最終段階のペイロードの読み込み
Elasticは2021年6月15日の解説で、プロセスゴースティングを、ファイルを作って削除待ちの状態にし、イメージセクションに割り当てる手法と説明した［2］。その後にファイルのハンドルを閉じて削除を完了させ、ファイルの無くなったセクションからプロセスを作るとした［2］。
The Hacker Newsによると、Cruciferraの最終的なペイロードはプロセスゴースティングの変種でメモリに読み込まれる［1］。CruciferraはZwQueryVirtualMemoryのフックにパッチを当て、NtManageHotPatchルーチンの改変を試みて、ファイルの削除を隠し完全性の検査を無効にする［1］。
Infosecurity Magazineは、ZwQueryVirtualMemoryへのパッチで、ゴースト化したメモリへのEDRの照会に無害化した結果が返るようになったと報じた［4］。読み込んだイメージをディスク上の元と照合できるカーネルの関数NtManageHotPatchも、Cruciferraが無力化した［4］。
The Hacker Newsが伝えたProofpointの結論では、Cruciferraは広範で独自の防御回避の機能、モジュール型の設計、高度に作り込まれた多様なペイロード保護の手法で際立つ［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | TA4922 | 税をテーマにした誘導で攻撃者の管理するランディングページに誘い、ZIPファイルでマルウェアを配るキャンペーンを4件行った〔注1〕 | ［1］ |
| 2026年 | - | 米社会保障庁（SSA）を装うメールでXWormとAdaptixC2を配った | ［1］ |
| 2026年 | - | トコジラミと宿泊客の苦情を題材にしたメールで宿泊・旅行業の組織を狙い、zgRATを配った | ［1］ |
| 2026年 | - | Cruciferraで包んだ新しい検体が数分おきにVirusTotalに現れた | ［4］ |
| 2026年 | Proofpoint | Cruciferraの分析を自社のブログに公開した | ［3、4］ |
根拠と範囲
Infosecurity Magazineは、ProofpointがCruciferraを使った複数のキャンペーンを、中国語を話すグループTA4922に帰属させたと報じた［4］。TA4922は、インドの所得税局を装う税の誘導で、Cruciferraを介してAsyncRATを配った［4］。Proofpointは標的の選び方を無差別と評した［4］。
The Hacker Newsによると、インドの納税者・税理士・企業の財務部門を所得税関連のフィッシングで狙う中国と結び付いたサイバー犯罪グループが、Cruciferraを使っているのが観測された［1］。記事は、キャンペーンの1つを、Silver Foxと一定の重なりがある中国語を話すサイバー犯罪の攻撃者TA4922の活動とした［1］。
Security Affairsが7月28日に引いたProofpointの報告では、5月のSSAを装うメールは税の書類を扱い、2026年1月までに済ませる項目に触れていた［5］。報告は、攻撃者が古い誘導を使い回したか、誤った日付を入れた可能性があるとした［5］。
The Hacker Newsは、活動が無差別で、1キャンペーンあたり数百〜数千通のメッセージに及ぶとの評価を報じた［1］。TA4922の税をテーマにした攻撃は、Seqrite LabsとCyderes Howler Cellが7月の初めに詳しく報告しており、Seqrite LabsはOperation DragonReturnの名で追跡している［1］。
未公表の事項
- GoFlyDrv.sysの脆弱性の内容とCVE番号
- Cruciferraの被害を受けた組織の数と被害の件数
- Cruciferraの開発者と販売者
注
- 〔注1〕Infosecurity Magazineは、TA4922のキャンペーンの始まりを4月下旬と報じた［4］。
出典
調査・観測
- ［3］Proofpoint, Inc.『Unpacking “Cruciferra”: An Analysis of a Sophisticated Crypter Service』（2026年7月20日公開、保存記録のみ） 保存記録
報道機関
- ［1］The Hacker News『Cruciferra Crypter Uses BYOVD and Process Ghosting to Hide Windows Malware』（2026年7月27日公開）
- ［4］Reed Exhibitions Limited『Cruciferra Crypter Uses Process Ghosting to Evade Detection』（2026年7月20日公開）
- ［5］Security Affairs『New Crypter-as-a-Service Cruciferra Fuels Stealthy Malware Attacks Worldwide』（2026年7月28日公開）
背景資料
- ［2］Elastic N.V.『What you need to know about Process Ghosting, a new executable image tampering attack』（2021年6月15日公開）
更新記録
- 2026年8月13日：公開した。