VectraRAT：月250ドルの完全自作MaaS ｜ブログ(ほぼこもセキュリティニュース)

研究者によってまた一つ新たな脅威のレポートが公開されました。
それはマルウェアに関する内容で、名前はVectraRATです。
VectraRATは、2026年6月に初めてインフラが発見・確認されたWindowsシステムを標的とする未記録の全スタック型Malware-as-a-Service（MaaS）です。
サイバー脅威インテリジェンス企業であるSOCRadar Threat Research Unit (STRU) が、露出したオープンディレクトリの分析を皮切りに全貌を解明し、2026年9月14日に一次情報レポートとして公開しました。

従来のMaaSで頻繁に見られる「既存マルウェア（AsyncRAT、XWorm、QuasarRAT等）のソースコードを流用・フォーク（改変）したクラック版」ではなく、サーバ・クライアント・通信プロトコルのすべてが開発者（攻撃者名：Vectra / 2022年8月から活動が確認されている旧名 Nyxel）によって完全新規（ゼロから）開発されている点が大きな特徴です。
月額250ドルという低価格で、リモートアクセス（RAT）機能と自動的な情報窃取（Stealer）機能を統合した高度なプラットフォームが地下フォーラムで提供されています。
特徴的な部分をみてみましょう。

完全新規開発されたアーキテクチャと制御システム
- 独自設計のシステム
  C2制御サーバはGo言語製の単一ELFバイナリ（VectraHub）で構築され、Vue3ベースのWeb型管理パネルが埋め込まれています。
  被弾側（感染端末）で動くインプラント（マルウェア本体）は、C++（Win32 / GDI+）で開発されています。
- 独自通信プロトコル
  C2サーバとインプラント間の通信には、5バイトの独自ヘッダーとMessagePackペイロードを組み合わせた独自のバイナリTCPプロトコル（デフォルトでTCP 3308ポート）を使用します。
高度なリモート制御およびデータ窃取機能
- ステルス遠隔操作（HVNC）
  被害者に気づかれずに裏で独立したデスクトップ環境を操作するHVNC（Hidden Virtual Network Computing）機能を備えており、キーロギング、SOCKS5プロキシリレー、リモートシェル、クリップボードの改ざん（特定文字列の置換）をリアルタイムに実行します。
- 自動情報窃取（Stealer）
  端末への接続と同時に、ブラウザに保存された認証情報や特定の重要ファイル（.env、.conf、.configなど）を全自動で収集・送出（Exfiltration）します。
UACバイパスによる権限昇格
ユーザアカウント制御（UAC）を潜り抜ける特有のバイパス技術を搭載しています。被害者の画面に警告ダイアログ（昇格プロンプト）を表示させることなく、最高権限（High-Integrityプロセス）の権限を取得・保持します。
配信経路と感染被害の分布 (Victimology)
- 主な配信手法
  マルウェアローダーである「Amadey」や、ブラウザのトラブルシューティングを装うソーシャルエンジニアリング技術「ClickFix」ページを経由して配信されています。
- 企業環境が標的の半数を占める
  SOCRadarが観測した被害セッションの分析結果から、被感染端末の約48%が企業向けWindowsエディション（Windows Enterprise、Enterprise LTSC、IoT Enterprise LTSC、およびWindows Server 2025）であることが判明しています。
  個人端末のみならず、企業ネットワーク内部への進入手段としても使用されています。
洗練された地下ビジネスモデル
- 厳格なアクセス制限とエコシステム
  開発者はソースコードを販売せず、インフラ管理とサポートをTelegramや暗号通貨取引で行っています。
  HackForumsやExploit.inなどのアンダーグラウンドフォーラムで集客を行い、研究者のアクセスを排除するため「開設後1年以上経過した評価のあるアカウント」にのみ体験ライセンスを提供するフィルタリング手法を採用しています。
- 関連サービス
  アンチウイルス回避（FUD）化のための暗号化（Crypting）サービス（100〜350ドル）やYouTube上でのデモ動画掲載など、MaaSとしてのマーケティング体制が確立されています。

VectraRATの出現は、地下のサイバー犯罪市場において「低価格でありながら企業グレードの侵入・窃取能力を持つツール」が急速に普及している現状を象徴しています。
月額250ドルという低予算で未検知のゼロから設計された侵入ツールを入手できるため、標的型攻撃やランサムウェアの事前侵入者（Initial Access Broker）による利用増加が懸念されます。

次のような対策が考えられます。

ソーシャルエンジニアリング対策 (ClickFixへの警戒)
「Windowsキー＋R」を押下して特定コマンドを実行させるような、Web上の偽検証画面（ClickFix手法）に対する従業員教育を徹底する。
UACおよび権限昇格の監視
昇格プロンプトなしに高権限プロセスを起動する不審な動作や、Win32 APIを悪用した権限昇格挙動をEDR（Endpoint Detection and Response）で監視・ブロックする。
ネットワーク監視 (IoCの適用)
不審な外部IPアドレスおよび非標準ポート（TCP 3308等）を使用したアウトバウンド通信、ならびにMessagePack形式によるバイナリ通信のログを精査する。

結局一番強い攻撃手段が『ユーザに自分でコマンドを打たせる』ということなんですかね、頭の痛いところです。