SectopRATの新たな変種：正規ソフトの現地改変で静的検知を潜り抜ける｜ブログ(ほぼこもセキュリティニュース)

Windows環境を標的とした .NET 製の遠隔操作型トロイの木馬（RAT）「SectopRAT（別名：ArechClient2）」の新たな変種に関する分析レポートが公開されています。
攻撃者は被害端末上の正規アプリケーション構成ファイルを改変し、マルチステージローダーを介して暗号化されたマルウェア本体をメモリ上で展開・実行します。
また、タスクスケジューラに登録された正規コンポーネント（ReportDump.exe）を介して永続性を確保します。
感染後はコマンド＆コントロール（C2）サーバからの指令により、ブラウザの認証情報や暗号資産ウォレットの窃取、画面キャプチャ、リモートシェルの実行など、デバイスの完全な制御を可能にします。
特徴的な部分をみてみましょう。

ローカル環境での正規アプリケーション改変（非サプライチェーン攻撃）
- 技術的詳細
  攻撃者は正規 DLL（FrameworkBase.dll）の Import Address Table（IAT）を書き換え、悪意ある sdkcra.dll を自動読み込みさせる構造を作りました。
- 従来との違い
  一般的な RAT やマルウェアは「不審な単体 EXE ファイルの配布」や「ベンダーのインフラを乗っ取るサプライチェーン攻撃」によって侵入します。
  一方、本手口は開発元を侵害せず、端末導入後のソフトウェア（C:\ProgramData 配下の不審なパス）のファイルをローカルで直接書き換えることで、信頼されたプロセスに便乗しホワイトリスト検知を回避します。
データベースファイルを模した多段暗号化ローダー
- 技術的詳細
  ペイロード本体は .db 拡張子を持つファイル（Activation.Desktop.db や pool.db）内に暗号化データとして隠蔽されています。
  復号プロセスでは、Windows API（EnumSystemCodePagesW）のコールバック関数を悪用してシェルコードを実行し、最終的に .NET ペイロードをメモリ上で直接実行します。
- 従来との違い
  従来のような単純な暗号化リソースの保持や不審な別ファイル作成ではなく、一見正常に見えるデータベース（.db）ファイルにデータを分散配置し、完全なファイルレス（メモリ上のみ）で展開することで、アンチウイルス製品の静的スキャンを巧みに欺きます。
高度な難読化と分析妨害（calli 命令の乱用）
- 技術的詳細
  .NET 製の SectopRAT ペイロードには、クラス名や変数名のランダム化、制御フローの平坦化（Control-flow flattening）が施されています。
  特に .NET の CIL（共通中間言語）命令である calli（関数ポインタを介した呼び出し）が全面的に使用されています。
- 従来との違い
  通常の難読化（難読化ツールの適用など）であれば逆コンパイル時にある程度の処理フローを追跡できますが、calli 命令の多用によってメソッド呼び出しの動的解決が強制され、セキュリティアナリストによる静的解析や自動解析ツールのデコンパイルを強力に妨害します。
Binance Smart Chain（BSC）ノードを悪用した C2 リカバリ
- 技術的詳細
  ハードコードされた C2 サーバに接続できない場合、12 箇所のバックアップドメインへ HTTP リクエストを送信し、応答データ（Base64 / AES 暗号化テキスト）から動的に新しい C2 IP アドレスを復元します。
- 従来との違い
  従来の RAT は単一の IP アドレスや Dynamic DNS（No-IP 等）に依存するため、ドメイン遮断で容易に無効化されました。
  本変種は Binance Coin（BNB）のパブリック RPC ノードを予備の通信チャネルとして悪用しており、正常な暗号資産ノードとの通信に紛れ込ませて新しい C2 アドレスを取得することで、通信遮断による無効化を極めて困難にしています。
外部モジュール連動による広範なクレデンシャル窃取
- 技術的詳細
  C2 から DeployBrowserKey コマンドを受信すると外部 DLL（WbElevation.dll）をロードし、Chrome / Edge などの 40 以上の Web ブラウザ、Thunderbird（メール）、Steam（ゲーム）、および MetaMask や Exodus 等の暗号資産ウォレットから認証情報を一括収集します。
- 従来との違い
  従来の単体スパイウェアと異なり、リモートアクセス（遠隔操作機能）とモジュール型の広範な窃取機能を兼ね備えており、単なる遠隔監視にとどまらない総合的なデータ奪取プラットフォームとして動作します。

今回の SectopRATの変種は、「正規アプリケーションに対するシステムや保護機能の信頼」を逆手に取った高度な回避技術の典型例です。
サプライチェーン侵入を経ずとも、被害端末上の既存ファイルを改変することで従来型の静的検知を無効化します。
対策としては、ファイル名やデジタル署名だけに頼るのではなく、C:\ProgramData など不審なパスでの正規プロセスの挙動監視、DLL の整合性チェック、並びにメモリスキャンを中心とした EDR/XDR による動的検知の導入が不可欠です。

Uncovering a SectopRAT Variant Embedded in Legitimate Software
https://www.fortinet.com/blog/threat-research/uncovering-a-sectoprat-variant-embedded-in-legitimate-software