偽AIビデオジェネレーターが新たなNoodlophile情報窃取マルウェアをドロップ

AIを搭載した偽の動画生成ツールが、生成されたメディア・コンテンツを装って、「Noodlophile」と呼ばれる新たな情報窃取マルウェア・ファミリーの配布に使用されている。

このウェブサイトは、「Dream Machine」のような魅力的な名前を使い、フェイスブックの知名度の高いグループで宣伝され、アップロードされたユーザーファイルに基づいて動画を生成する高度なAIツールを装っている。

マルウェアを配信するためのAIツールの使用は新しいコンセプトではなく、経験豊富なサイバー犯罪者によって採用されてきたが、Morphisecによる最新のキャンペーンの発見は、ミックスに新しい情報窃盗犯を導入するものである。

Morphisecによると、Noodlophileはダークウェブのフォーラムで販売されており、多くの場合「Get Cookie + Pass」サービスとバンドルされているため、ベトナム語を話すオペレーターと連携した新しいマルウェア-アズ-ア-サービス活動であるという。

多段階の感染チェーン

被害者が悪意のあるウェブサイトにアクセスし、ファイルをアップロードすると、AIが生成した動画が含まれるはずのZIPアーカイブが送られてくる。

その代わり、ZIPには欺瞞的な名前の実行ファイル（Video Dream MachineAI.mp4.exe）と、後続のステージに必要な様々なファイルを含む隠しフォルダが含まれています。Windowsユーザーがファイル拡張子を無効にしている場合（決してそんなことはしないこと）、ぱっと見はMP4ビデオファイルのように見えるだろう。

“ファイルVideo Dream MachineAI.mp4.exeは、Winauth経由で作成された証明書を使用して署名された32ビットC++アプリケーションです “とMorphisecは説明している。

「.mp4ビデオを示唆する）その誤解を招く名前にもかかわらず、このバイナリは実際には、正規のビデオ編集ツールであるCapCutの再利用バージョンです（バージョン445.0）。この欺瞞的なネーミングと証明書は、ユーザーの疑念といくつかのセキュリティ・ソリューションを回避するのに役立つ。”

偽のMP4をダブルクリックすると、一連の実行ファイルが実行され、最終的にバッチスクリプト（Document.docx/install.bat）が起動します。

このスクリプトは、正規のWindowsツール「certutil.exe」を使用して、PDF文書を装ってbase64エンコードされたパスワードで保護されたRARアーカイブをデコードし、抽出します。同時に、永続化のために新しいレジストリキーを追加します。

次に、このスクリプトは「srchost.exe」を実行し、ハードコードされたリモートサーバアドレスから取得した難読化されたPythonスクリプト（randomuser2025.txt）を実行し、最終的にメモリ内でNoodlophile Stealerを実行します。

Avastが侵害されたシステム上で検出された場合、ペイロードをRegAsm.exeに注入するためにPEホロリングが使用されます。そうでない場合は、メモリ内で実行するためにシェルコードインジェクションが使用されます。

Noodlophileは、アカウント認証情報、セッションクッキー、トークン、暗号通貨ウォレットファイルなど、ウェブブラウザに保存されたデータを標的とする新しい情報窃取マルウェアです。

「Noodlophile Stealerは、マルウェアのエコシステムに新たに加わったものです。これまで公開されているマルウェアトラッカーやレポートでは文書化されていませんでしたが、このステーラーはブラウザクレデンシャルの窃盗、ウォレットの流出、オプションのリモートアクセス展開を組み合わせています」とMorphisecの研究者は説明しています。

盗まれたデータはTelegramボットを経由して流出し、ボットは秘密のコマンド＆コントロール（C2）サーバーとして機能するため、攻撃者は盗まれた情報にリアルタイムでアクセスすることができます。

場合によっては、Noodlophileはリモート・アクセス・トロイの木馬であるXWormとバンドルされており、攻撃者は情報窃取ツールによる受動的な窃取をはるかに超える高度なデータ窃取能力を提供します。

マルウェアから身を守る最善の方法は、見知らぬウェブサイトからのファイルのダウンロードや実行を避けることです。

ファイルを開く前に必ず拡張子を確認し、ダウンロードしたファイルを実行する前に最新のAVツールでスキャンしてください。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：10px 20px; width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; text-align: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px; width: 100%; } .ia_button { width: 100%; } .

攻撃の93%を支えるMITRE ATT&CK©テクニック・トップ10

1,400万件の悪意のあるアクションの分析に基づき、攻撃の93%を支えるMITRE ATT&CKテクニックのトップ10とその防御方法をご覧ください。

レッドレポート2025を読む