Facebookで宣伝されている偽のAI画像生成ツールが、「Noodlophile」と呼ばれる新たな情報窃盗ツールにつながっていると、Morphisecが報じています（https://www.morphisec.com/blog/new-noodlophile-stealer-fake-ai-video-generation-platforms/）。
Morphisecの研究者たちは、正規のテキスト動画AIサービス「Luma Dream Machine」を装ったFacebookページを発見しました。これらのページは、無料の画像動画AI生成サービスを謳う偽ウェブサイトにリンクされていました。
Morphisecが公開したスクリーンショットによると、偽ページの1つには約4,000人のフォロワーがおり、もう1つのページは青いチェックマークで「認証済み」と表示されていました。さらに、偽動画生成ツールを宣伝する投稿の1つは、62,000回以上の閲覧数を獲得していました。
ユーザーがこれらのサイトのいずれかで動画に変換したい画像をアップロードすると、サイトはAI動画が含まれていると主張するアーカイブのダウンロードを提供しますが、実際には悪意のある実行ファイルと、その他の悪意のあるファイルを含む隠しフォルダが含まれていました。
最初の実行ファイルは「Video Dream MachineAI.mp4.exe」という名前で、偽のビデオファイル拡張子と空白文字が含まれており、本来の性質を隠蔽しています。このファイルは正規のビデオ編集ツール「CapCut」の改変版であり、WinAuthを使用して作成された証明書で署名されているため、マルウェアがセキュリティ警告を回避するのに役立つ可能性があります。
このファイルが実行されると、隠しフォルダ「5.0.0.1886」内の追加ファイルを利用した多層的な攻撃チェーンが開始されます。最初の実行ファイルは、「CapCut.exe」という2つ目の実行ファイルを見つけて実行します。これは、悪意のある.NETペイロードが埋め込まれたC++ラッパーです。
Morphisecによると、「CapCut.exe」には約275個のポータブル実行ファイル（PE）も埋め込まれており、サイズが140MBに膨れ上がっています。これにより、正規のソフトウェアアプリケーションに見せかけ、静的スキャナを回避できる可能性があります。
「CapCut.exe」は、悪意のある.NETコンポーネント「CapCutLoader」を起動します。このコンポーネントは、google.comに最大10回pingを送信してインターネット接続を確認し、「AICore.dll」ファイルから関数wgomをインポートします。wgom関数はコマンドライン関数の実行を容易にし、「install.bat」の実行を可能にします。このファイルは、実行前に「CapCutLoader」によって元のファイル名「Document.docx」から名前が変更されます。
Word文書に偽装された難読化されたバッチスクリプトファイルは、一連のアクションを実行することで、永続性を確立し、調査を妨害し、最終的なNoodlophileペイロードを取得します。
このスクリプトは、新しいバッチスクリプト「Explorer.bat」を作成し、それをRunレジストリキーに登録することで永続性を確立します。また、「srchost.exe」というファイルを使用してPythonコードを実行し、リモートURLから別のPythonスクリプト「Randomuser2025.txt」を取得します。その後、攻撃のフォレンジック痕跡を消去するため、自身と抽出したアーカイブを削除するとMorphisecは説明しています。
「Randomuser2025.txt」ファイルは、Noodlophileペイロードを動的にデコードし、Pythonベースのローダー「XWorm」とともにメモリにロードします。また、「Randomuser2025.txt」のファイル先頭には、約1万回の「1 / int(0)」の繰り返しが含まれており、これは「特に逆アセンブリやバイトコード解析、ASTパーサーを試みる自動化ツールを破る」ように設計されていると、Morphisecのセキュリティリサーチ担当シュムエル・ウザン氏は述べています。
Noodlophile情報窃取マルウェアは、ブラウザの認証情報、Cookie、暗号通貨ウォレット情報、その他の機密情報やトークンを収集します。抽出した情報はTelegram経由で攻撃者に送信され、Morphisecによるマルウェア開発者の調査によると、サービスとしてのマルウェア（MaaS）として提供されていると考えられています。
発見された攻撃の中には、NoodlophileにXWormドロッパーツールが バンドルされているものがあり、これはローカルシェルコードローダー関数を用いてメモリ内でdonutコードを直接実行することで感染を促進し、RegAsm.exeを標的としたPEホローイングを実行して正規のシステムプロセスにマルウェアを注入するものです。ただし、これはAvastツールが存在する場合のみだとMorphisecは指摘しています。
生成AIツールが個人およびビジネス用途で普及するにつれ、ユーザーを騙してマルウェアをインストールさせる偽のAIツールも増えています。最近発生したマルウェア拡散キャンペーンの一つであるTookPSは、DeepSeekの無料インストールやその他のビジネスツールをソーシャルエンジニアリングの餌として利用しました。
別の例として、昨年発見された攻撃では、偽の Python Package Index (PyPI) パッケージ ChatGPT および Claude への API アクセスを提供すると主張 が、JarkaStealer インフォスティーラー マルウェアのインストールにつながりました。