独自開発のステルスインプラント：WLDR agent ｜ブログ(ほぼこもセキュリティニュース)

脅威アクターのひとつである、UAT-11795の脅威活動が確認されています。
一見すると従来の手法で構成された内容であるようにも思われますが、特徴的な部分もわかってきています。
どんな活動なのでしょうか。

Web3（Polygonブロックチェーン）を悪用した、テイクダウン不能な「予備の通信インフラ」
通常、セキュリティ機関はマルウェアが通信するサーバ（C2ドメイン）を特定し、ドメインの差し押さえ（テイクダウン）によってマルウェアを無害化します。
- 何が新しい？
  UAT-11795は、Polygon（イーサリアム系）のスマートコントラクトをC2サーバの「復旧ポータル」として悪用しています。
- なぜ脅威か？
  スマートコントラクトは分散型のブロックチェーン上で動いているため、特定の企業や政府機関であってもデータの書き換えや削除、アクセス遮断が不可能です。
  仮にメインのC2サーバをすべてブロック（遮断）されたとしても、マルウェアはスマートコントラクト（暗号化されたJSON-RPCコール経由）から「新しいC2サーバのアドレス」を自動的に取得して復活します。
  「絶対に遮断できないC2フォールバック（予備回線）」を実装している点が、これまでにない最も警戒すべき新しさです。
今回初めて確認された、独自開発のステルスインプラント「WLDR C2」
一般的な攻撃では、市販（またはリークされた）のツールをそのまま使い回すことが多いですが、今回はこのグループが独自にゼロから設計した専用の潜伏用インプラントが発見されました。
- 何が新しい？
  「WLDR agent」と呼ばれる、非常に難読化されたPowerShellベースの独自メモリアシスタントを投入しています。
- なぜ脅威か？
  Starland RAT（Python製）などの「表に立つマルウェア」がセキュリティソフトに検知・駆除されても、このWLDR agentはメモリ（RAM）上だけに存在し、ファイルとしてはディスクに残らないため検知をすり抜けます。
  さらに、独自の「タスク実行エンジン（Runspace）」を備えており、後から別のマルウェア（RemcosやCastleStealerなど）を再びメモリ内に注入・再起動できる「復旧用のマスターキー」として機能し続けます。
APIを自前でマッピングして検知を避ける「Starland RAT」の高度な回避設計
Pythonで書かれたマルウェアは、通常、外部パッケージやライブラリを多く読み込むため、セキュリティソフトにパターン検知されやすいという弱点があります。
- 何が新しい？
  Starland RATは、Windowsの標準システム機能（API）を使う際、外部インポート処理に頼らず、Pythonのctypes機能を用いて「APIの定義や構造をコード内に直接書き起こして自前でマッピング」しています。
- なぜ脅威か？
  セキュリティソフトの「不審な外部ライブラリを読み込んでいるか？」という監視網を潜り抜けることができます。
  さらに、サンドボックス（自動解析環境）を検知すると完全に無害なプログラムのように振る舞い、さらに「ブラウザからダウンロードされた形跡があるか（Zone.Identifier）」まで自らチェックして、不自然に直接実行された解析環境での動作を防ぎます。