ClickFix向けローダーDOUBLECUPのマルウェア配布

報告の内容

開発者と運用者の分担

SOCRadarの報告によると、DOUBLECUPの開発者が提供するのは、ライセンスとクライアントのエージェントである⁠［2］。運用者はそれでキャンペーンを作り、必要なコードを自分のページに埋め込んでペイロードを読み込ませる⁠［2］。ライセンスは固有の鍵を持ち、顧客のIPアドレス・有効日数・ラベル・版のメタデータを含む⁠［2］。顧客は1つのライセンスで複数のキャンペーンを設定でき、設定はロシア語で書かれたDOUBLECUPの文書に従って作る⁠［2］。

SOCRadarは、ライセンスのポータルがペイロードの生成器を備え、テンプレートも作れると説明した⁠［2］。DOUBLECUPの文書では、ステガノグラフィのPNGファイル、セッションとシグナルのエンドポイント、暗号鍵、自動の再生成を開発者側が受け持つ⁠［2］。運用者の側は独自のデザインとテンプレートを置き、悪性のクライアント（Goで書かれたWindowsのGUIアプリケーション）を動かす⁠［2］。キャンペーンを作るときの設定の項目は、ドメイン、スラッグ、ステガノグラフィの方式、埋め込みの種類、動作、payload_urlsである⁠［2］。

感染までの流れ

SOCRadarは最近のキャンペーンの分析で、CRMのログインページを装う一群を見つけたと報告した⁠［2］。装われたのはNetSuite、Odoo、HubSpot、Salesforceなどで、ページは埋め込みのiframeでDOUBLECUPを差し込んでいた⁠［2］。MITRE ATT&CKへの対応付けでは、ClickFixのページへの差し込みをT1204.004（「User Execution: Malicious Copy and Paste」）に当てた⁠［2］。

SOCRadarの報告によると、運用者はClickFixのサイトにフロントエンドのコードを入れる必要がある⁠［2］。コードが問い合わせる設定のエンドポイントは、対象ドメインに置いたステガノグラフィの画像のURL、画像のサイズ、セッションのエンドポイントを返す⁠［2］。Chrome・Edge・Firefox・Brave・Opera向けのブラウザ別のコマンドも、この応答に含まれる⁠［2］。追加の難読化や解析妨害は、運用者に任されている⁠［2］。

ページは被害者の公開IPアドレスを調べて記録し、ステガノグラフィの画像をブラウザに裏で読み込ませてキャッシュさせ、セッションの状態を1.2〜3秒の間隔で問い合わせる⁠［2］。ブラウザに合ったコマンドは、被害者のクリップボードにコピーされる⁠［2］。被害者がそのコマンドを実行すると、スクリプトはファイルのサイズを手がかりに、ブラウザのキャッシュからPNGを探し出す⁠［2］。第1段は、certutil、findstr、LSB抽出などで画像から取り出した埋め込みのコードである⁠［2］。

このコードはC2サーバーに感染を通知し、PNGに格納したJScript・VBS・PowerShellのスクリプトで第2段を起動する⁠［2］。第2段は、被害者の公開IPv4アドレスを鍵導出（PBKDF2）に通し、独自の暗号で最終段をメモリ上で復号するドロッパーで、ファイルを残さない⁠［2］。SOCRadarは、オフラインのサンドボックスや標的外のネットワークで動かすと鍵が合わず、復号に失敗すると説明した⁠［2］。復号した結果は埋め込みのハッシュと照合し、一致すれば.NETのアセンブリをプロセスのメモリに直接読み込む⁠［2］。

読み込まれるマルウェア

SOCRadarによると、CountLoaderの基本の機能はCyderes、SilentPush、McAfeeが以前に報告していた⁠［2］。今回の版は、Windows向けのPowerShellとmacOS向けのMach-Oの形で見つかった⁠［2］。正規のユーティリティ（conhost.exe、powershell.exe、mshta.exe）をコピー・改名してPEヘッダーを書き換えるのは、コマンドを目立たずに実行するためである⁠［2］。スケジュールされたタスク（GoogleUpdateService<GUID>とMSEdgeUpdateService<GUID>）を作り、25分ごとにC2から最新版を取って実行する⁠［2］。

CountLoaderは45種のブラウザのユーザーデータから48の拡張機能ID（主に暗号資産のウォレット）を探し、Signal Desktopの有無も調べてC2に送る⁠［2］。ブラウザのショートカットを書き換える関数も持つが、呼び出されていない⁠［2］。SOCRadarは、未完成の機能か開発中の死んだコードの可能性があるとした⁠［2］。

DeviceManagerはモジュール型のPythonのRATで、Delphiで作られたInno Setupのインストーラーで届く⁠［2］。独立国家共同体（CIS）の言語のロケールを検出すると、タスクとインストール先を消して終了する⁠［2］。常駐の手段は、10分（600秒）ごとに実行するスケジュールされたタスクである⁠［2］。

DeviceManagerのC2は、EtherHiding（EthereumやPolygonのスマートコントラクトからC2を引く手法）で解決する⁠［2］。このサンプルの設定はSepoliaのテストネットを向いており、コントラクトへの最新の取引を復号するとC2の設定は「dns://91.92.240[.]100」だった⁠［2］。DNSの問い合わせにはmicrosoft.comのドメインを付け、DNSのログではMicrosoftの通信に似せる⁠［2］。HTTPのC2とWMIのイベント購読による常駐は、このサンプルでは使われていなかった⁠［2］。

運用者とVS Codeの拡張機能

SOCRadarの報告では、DOUBLECUPの背後の脅威アクターは運用の通知にTelegramのボット（@harrypoterlohBOT）を使っていた⁠［2］。ボットを運用するのは脅威アクターRognar（@johnysilverhe）〔注1〕である⁠［2］。この人物は以前、現在は消えた悪性のVS Code拡張機能の作成と結び付けられていた⁠［2］。

The Hacker Newsは、ボットを管理する脅威アクターが、公式のマーケットプレイスに不審なVS Code拡張機能「Agent IDE」を公開していると報じた⁠［5］。

目次へ

時系列

目次へ

根拠と範囲

SOCRadarの調査は、複数のテスト用ファイルを置いた公開ディレクトリの分析から始まった⁠［2］。同じIPアドレスには、DOUBLECUPのライセンスのパネル（サーバー側）が置かれていた⁠［2］。DeviceManagerは、DOUBLECUPの基盤のサーバー側の分析で、Seagateの基盤に置かれた状態で見つかった⁠［2］。

Lab539の報告によると、ClickFixのキャンペーンの最終ペイロード（IntelSoftwareUpdaterV8.exe）は、独自のPython 3.11の実行環境を持つInno Setupのパッケージだった⁠［3］。Lab539は、SOCRadarが説明したDeviceManagerが、常駐、ホストの情報収集、EtherHidingによるC2の解決、DNSかHTTPのC2を含めて、自らが回収したペイロードに「非常に近い」とした⁠［3］。Ethereumのコントラクトから独自に回収したC2のアドレスは、ThreatFoxにもClickFix・DeviceManagerAgentなどのタグで載っている⁠［3］。

目次へ

関係者の対応

RH-ISACは要約に、F4N6のセキュリティ研究チームが示した緩和策を載せた⁠［4］。緩和策のAgent IDEの項目では、情報源はこの拡張機能を不審としているが悪性の挙動は確認していないとして、予防のための扱いとするよう注記した⁠［4］。

目次へ

未公表の事項

• 被害者を偽のログインページへ誘導する経路
• 感染した端末・組織の数と、DOUBLECUPの顧客（ライセンス）の数
• SOCRadarによるライセンスのパネルへのアクセスの方法と許可
• SOCRadarが挙げた消えたVS Code拡張機能とAgent IDEとの対応
• DeviceManagerのバックエンドの運用主体（Lab539は、UNC5142に直接帰属させるだけの証拠をまだ持っていないとした⁠［3］）

注

• 〔注1〕SOCRadarは「@johnysilverhe」と書き、The Hacker NewsとRH-ISACは「johnnysilverhe」と書いた⁠［2、4、5］。

出典

更新記録

• 2026年8月13日：公開した。
• 2026年8月18日：SOCRadarの報告の8月18日の更新版（出典2）に合わせ、出典の節の注記を改めた。

目次へ