［4月｜マルウェア分析レポート］暗号資産ユーザーを狙うSvcStealer、Diamotrix Clipperとの関連の兆候

2025年04月30日

脅威分析

サンズラボの脅威分析チームは、毎月マルウェアを選定してレポートを作成しています。

サンズラボの脅威分析チームは、毎月マルウェアを選定してレポートを作成しています。
専門的な分析で把握したマルウェアの特徴、脅威の動向、関連情報などを共有し、安全なサイバー環境の実現を目指しています。
マルウェアの詳しい情報は、サイバー脅威インテリジェンスサービス<CTX>でご確認いただけます。

1. 概要

本レポートは、2025年初めにサンズラボのCTXプラットフォームで新たに検知されたインフォスティーラー、SvcStealerを分析します。

SvcStealerはC++製の情報窃取型マルウェアで、感染したシステムから暗号資産ウォレット、メッセンジャー、FTPクライアント、システム情報、ソフトウェア一覧、ブラウザー保存情報、ユーザー文書などの機密データを収集し、外部へ送信します。

情報窃取にとどまらず、攻撃者のC2から追加ペイロードをダウンロード・実行する多段階のモジュール構造を持ちます。後続のqq.exeとpxcc.exeは、それぞれクリップボードとファイル内の暗号資産ウォレットアドレスを攻撃者のものに置き換えるクリッパー（Clipper）として動作します。被害者は気付かずに資産を奪われる可能性があり、実際の取引分析からは組織的な資金洗浄の流れも一部確認されました。

分析で抽出したPDBパスとネットワーク通信構造から、過去に報告されたDiamotrix Clipper系マルウェアと開発者または攻撃インフラを共有する可能性が高いと判断されます。

初期感染から情報収集・送信、ペイロード実行、クリッピング、痕跡削除まで、SvcStealerの攻撃全体を段階別に分析します。さらに攻撃者のウォレット取引に関連する資金の流れも説明し、実際の金銭窃取の目的と脅威レベルを総合的に明らかにします。類似の脅威への技術的な対応体制の構築と侵害指標（IOC）の確保に役立てることを目指します。

2. マルウェア情報

2025年4月初め、サンズラボCTXで新しいインフォスティーラーSvcStealerが検知されました。

［図1］サンズラボCTXでのssks.exe検知

C++で作成され、パッキングやコード難読化は適用されていません。「ssks.exe」として配布され、感染したシステムの機密情報を収集して攻撃者のサーバーへ送ります。対象は広範で、以下を含みます。

暗号資産ウォレットデータ、メッセンジャーの設定、FTPクライアントデータ、スクリーンショット、導入済みソフトウェア一覧、

システムと実行中プロセスの情報、開いているウィンドウの情報、ブラウザー保存情報（パスワード、閲覧履歴、クレジットカードなど）

明確なUIや反応を表示せず、バックグラウンドで密かに動作します。解析や検知を妨げるプロセスの検出・終了機能と痕跡削除処理を備え、解析妨害（Anti-Analysis）機能を持ちます。

収集データは、ボリュームシリアル番号に基づく22文字の一意な識別子を名前とするZIPに圧縮され、C2サーバー185.81.68.156へ送られます。multipart/form-data形式のHTTP POSTで通常のWeb通信を装い、ネットワーク検知を回避します。システムのプロキシ設定を無視して直接接続し、APIも直接宣言せず動的に読み込むことで、セキュリティ製品の検知を回避します。

［図2］APIの動的読み込みコード

情報窃取後、攻撃者のサーバーから「qq.exe」と「pxcc.exe」を取得・実行します。qq.exeはクリップボードを監視してコピーされた暗号資産アドレスを攻撃者のものに置き換え、pxcc.exeは文書やWebディレクトリ内のアドレス文字列を直接探索・置換します。いずれも送金先を攻撃者のウォレットへ誘導し、被害者が気付かないうちに資産を窃取する設計です。

ファイル名（Original Filename）	役割	作成日時（KST）
ssks.exe	メインのインフォスティーラー	2025-04-03 01:59:52
qq.exe (System.exe)	クリップボードの暗号資産アドレスを乗っ取る	2025-04-01 23:34:22
pxcc.exe	ファイル内の暗号資産アドレスを乗っ取る	2025-04-01 23:31:30

［表1］実行ファイルごとの機能と作成日時

pxcc.exeのPEファイルから、次のPDBパスを抽出できました。

［図3］pxcc.exeで確認されたPDBパス

このパスから、開発者のローカルユーザー名（Diamotrix）とプロジェクト名（FileClipper）が分かります。

既知のDiamotrix Clipper系との関連が示唆されます。Diamotrix Clipperは暗号資産アドレスを攻撃者のものに置換するマルウェアで、多くの事例が報告されています。これらを総合すると、SvcStealerはDiamotrix Clipperと同じ開発者、または関連する攻撃グループが作成したと推測できます。

3. マルウェアの動作順序

実行すると、暗号資産ウォレット、メッセンジャー、FTP設定、スクリーンショット、ソフトウェア一覧、システム情報、実行中のウィンドウとプロセス、ブラウザー情報、ユーザー文書など、広範な機密データを収集します。

データを圧縮してC2サーバー185.81.68.156へ送信し、追加のC2通信でqq.exeとpxcc.exeをダウンロード・実行します。それぞれ次の動作を行います。

- qq.exe：クリップボードにコピーされた暗号資産アドレスを検出し、攻撃者のアドレスへ自動置換（クリップボードの乗っ取り）。

実行時にwinserv.exeという名前で複製し、そのパスをレジストリのスタートアップに登録して再起動時に自動実行。

- pxcc.exe：文書内の暗号資産アドレスを探索・置換（ファイルの乗っ取り）。

最後にC2への再接続を試み、応答がなければ自分自身を再実行して活動を再開します。情報窃取に加え、永続性の確保、データ流出、資産窃取、再実行まで含む高度な多段階攻撃を構成しています。

［図4］マルウェアの動作フロー

4. マルウェア分析

4.1. ssks.exe

4.1.1. ディレクトリの作成

システムドライブのボリュームシリアル番号を取得し、一連の計算で一意な22文字の文字列を生成します。それをProgramDataのパスに加え、「C:\ProgramData\<고유 문자열>」を作成して、その後の悪意のある動作の作業フォルダーにします。

［図5］ProgramDataに作成された一意な識別子のディレクトリ

4.1.2. 解析ツールを検出するプロセス監視

バックグラウンドで継続動作するスレッドを作成し、プロセスの検出と終了を行います。

スレッド内の関数は1秒間隔で無限にプロセス一覧を巡回し、解析ツールを確認します。Taskmgr.exe、ProcessHacker.exe、procexp.exe、procexp64.exeを見つけると、ハンドルを取得して強制終了します。解析環境のツールを遮断し、悪意のある動作の検知を妨げる手法です。

［図6］解析ツールのプロセス検出・終了コード

4.1.3. 暗号資産ウォレット情報の収集

作業フォルダー内に「Wallets」を作成します。ハードコードされたパスに基づき、%AppData%\Localと%APPDATA%Roamingの下にあるウォレットアプリやブラウザー拡張のデータを探索・収集します。データはWallets内にアプリや拡張名で作ったサブフォルダーへコピーされます。

対象のアプリと拡張機能は次のとおりです。

ウォレットアプリ	Exodus, Electrum, Bitcoin, Atomic
Chrome拡張機能	Metamask, Binance, Tron, Phantom, Ton, OKX, Trust, FRWT, CoinWallet, Cirus, InternetMoney, Keeper, LastPass, MultiPassword
Brave拡張機能	Metamask, Binance, Tron, Phantom, Ton, OKX, Trust, FRWT, CoinWallet, Cirus, InternetMoney
Edge拡張機能	Metamask, Binance, Ronin

［表2］収集対象の暗号資産ウォレットと拡張機能

［図7］ウォレットとブラウザー拡張のパス探索コード

4.1.4. メッセンジャー情報の収集

作業フォルダー内に「Messengers」を作成し、ハードコードされた%AppData%\RoamingとAppData%\Local配下のパスでメッセンジャーのデータを探索・収集します。各メッセンジャー名のフォルダーに保存され、対象は次のとおりです。

Telegram, 64gram, Unigram, Discord, Tox

［図8］メッセンジャーデータの収集パス設定コード

以下の文字列に一致する名前のファイルやフォルダーはコピー対象から除外されます。

“dumps”, “emoji”, "tdummy", "temp", "user_data", "user_data#2", "user_data#3", "dictionaries", "user_data#4"

4.1.5. FTPクライアント情報の収集

「FTP Clients」サブフォルダーを作成し、ハードコードされたパスでFTPクライアントのデータを探索・収集します。%AppData%\Roaming\FileZillaにあるデータが対象で、FTP Clients配下に作成したFileZillaフォルダーへ保存します。

［図9］FTPクライアントデータの収集パス設定コード

4.1.6. 画面のキャプチャーと保存

画面全体をキャプチャーし、作業フォルダーに「Screenshot.jpg」として保存します。画面情報を取得してGDI+（Graphics Device Interface+）を初期化し、解像度を取得して互換DC（Device Context）と画面サイズのビットマップを作成します。画面全体をビットマップへコピーし、JPEGとして保存します。

［図10］スクリーンショットを保存する画面キャプチャーコード

4.1.7. 導入済みソフトウェア情報の収集

作業フォルダーに「Software_Info.txt」を作成し、APP、VERSION、INSTALL DATE、IDENTIFYING NUMBERというヘッダーを書き込みます。導入済みソフトウェアを列挙してProductName、VersionString、InstallDate、ProductIDを収集し、1行ずつ記録します。

［図11］導入済みソフトウェア情報の収集コード

［図12］Software_info.txt

4.1.8. システムとプロセスの情報収集

「System_info.txt」を作成してシステム情報を保存します。先頭行にマルウェア名の「SvcStealer」を記録し、収集情報を[Machine]と[Processes]に分けて書き込みます。

[Machine]セクション
Username	ユーザー名
Compname	コンピューター名
System	OSのバージョン
CPU	CPUアーキテクチャとコア数
RAM	物理メモリの総容量
DATE	システムの現在時刻
SCREEN	画面解像度
Current EXE Path	マルウェア実行ファイル（EXE）の完全なパス
BIOS	BIOSのメーカーとバージョン
Antivirus	導入済みセキュリティ製品（ウイルス対策）の情報
[Processes]セクション
-	実行中の全プロセス一覧と各PID
Total Processes	実行中プロセスの総数

［表3］収集するシステム情報

［図13］ハードコードされたSvcStealer識別文字列

［図14］System_info.txt

4.1.9. 実行中のウィンドウとプロセスの情報収集

「Windows_Info.txt」を作成し、攻撃者が誤字を含めて記述した「WinodowName」「WinodowTitle」「WinodowID」「ProcessName」をヘッダーにします。全プロセスIDを列挙してハンドルを取得し、実行ファイルのパス、最上位ウィンドウの名前（Window Title）、識別子（Window ID）、プロセス名を収集します。

［図15］Windows_Info.txt

4.1.10. ブラウザー保存情報の収集

「Browsers」を作成し、Chrome、Edge、Brave、Opera、Vivaldi、Yandex、Comodo、UR_Browserなどから機密情報を窃取します。ログイン情報、クレジットカード情報、閲覧履歴、ダウンロード履歴を、それぞれ<브라우저>_Passwords.txt、<브라우저>_CreditCards.txt、<브라우저>_History.txt、<브라우저>_Downloads.txtとして保存します。ブラウザーはハードコードされた数値に対応付けられ、その数値を関数の引数として渡します。下図は各引数と対応するブラウザーを示します。

［図16］ブラウザー引数値と関数の対応構造

コードを変更するだけで、別のブラウザーを容易に追加できる構造です。

今回の検体は、収集項目ごとに対象ブラウザーを分けて、次の情報を抽出します。

ログイン情報
対象ブラウザー	Chrome, Brave, Opera, Vivaldi
クエリ	SELECT origin_url, action_url, username_value, password_value FROM logins
クレジットカード情報
対象ブラウザー	Chrome, Edge, Brave
クエリ	SELECT name_on_card, expiration_month, expiration_year, card_number_encrypted FROM credit_cards
閲覧履歴
対象ブラウザー	Chrome, Edge, Brave, Vivaldi
クエリ	SELECT url, title, visit_count, last_visit_time FROM urls
ダウンロード履歴
対象ブラウザー	Chrome, Edge, Brave
クエリ	SELECT tab_url FROM downloads

［表4］収集項目ごとのブラウザーとクエリ

収集はすべてブラウザーのSQLiteデータベースにアクセスしてSQLクエリを実行する方式で、抽出データを整形してテキストファイルへ保存します。

収集中にエラーが発生すると「debug.txt」にデバッグメッセージを記録します。対象となる状況は次のとおりです。

① ブラウザーデータファイルの読み取り・復号に失敗

② SQLiteへの接続またはクエリ実行に失敗

③ 抽出データの保存ファイル作成に失敗

④ 処理中のデータ構造や形式が想定と異なる

［図17］debug.txt

4.1.11. ユーザー文書の収集

「FileGrabber」を作成してユーザー文書を窃取します。デスクトップのパスを特定し、その配下を再帰的に探索して条件に合うファイルをコピー対象にします。

ファイルの抽出条件は次のとおりです。

- 拡張子：.txt、.pdf、.sql、.cpp、.h、.dat、.wallet、.pkey

- サイズ制限：1MB以下

- 属性：ディレクトリではなく、隠し／システム属性のない通常ファイル

- 除外パス：Windows、Users、Program Files、Program Files (x86)、PerfLogs、$Recycle.Bin、Boot

［図18］ユーザー文書収集の拡張子フィルターコード

［図19］実際に収集されたユーザー文書一覧

すべての条件に合うファイルは、指定されたFileGrabberディレクトリへコピーされます。

主にユーザーが作成・常用するファイルを対象とし、システムファイルや設定ファイルを意図的に除外します。主要な作業ファイルに焦点を当て、実質的な情報窃取の効果を最大化しています。

4.1.12. 収集情報の圧縮とサーバー送信

収集完了後、作業フォルダー内の全データを一つのZIPに圧縮し、先に生成した一意な文字列を名前に使います。その後、次の手順でサーバー185.81.68.156へ送ります。

① サーバー接続の設定

INTERNET_OPEN_TYPE_DIRECTでプロキシ設定を回避し、インターネットへ直接接続します。システムのプロキシやセキュリティポリシーを無視して、攻撃者の185.81.68.156、ポート80へ接続します。

［図20］サーバー接続の設定

② HTTP POSTリクエストの構成

ZIPをアップロードするため、/svcstealer/get.phpへのPOSTを作成し、本文をmultipart/form-data形式にします。通常のブラウザーによるアップロードと似た形式で、検知を回避する偽装効果があります。

User-AgentもMozilla/5.0に設定し、実際のブラウザーからのリクエストを装います。

［図21］HTTP POSTリクエストの構成1

［図22］HTTP POSTリクエストの構成2

③ ファイルデータの添付

ZIPをmultipart形式の本文に添付します。ヘッダーには固定の境界値を含め、実際のWeb通信に似た構造にすることで検知を難しくします。

④ データ送信と応答受信

完成したリクエストを送り、応答をメモリで読み取って送信の成否を確認します。

4.1.13. 収集の痕跡削除と隠蔽

収集と送信を終えると、作業フォルダーと配下のすべてのファイル・ディレクトリを再帰的に削除します。

同名の.zipファイルも削除します。収集・流出時に作成した全ファイルを消して存在を隠し、フォレンジック解析や検知を妨げる目的と考えられます。

［図23］ディレクトリとZIPの削除コード

4.1.14. C2命令によるペイロードの取得と実行

外部サーバーから追加ペイロードを取得・実行します。

185.81.68.156へHTTP POSTを送り、本文にtsk=<식별자>形式のパラメーターを含めます。識別子はボリュームシリアル番号由来の作業フォルダー名と同じで、被害システムの識別に使われた可能性があります。送信先は/svcstealer/get.php、ヘッダーはContent-Type: application/x-www-form-urlencodedです。

Webフォーム送信と同じ形式で、通常のブラウザー通信を装う手法とみられます。サーバーは次の形式の文字列を返します。

［図24］ブラウザー通信の偽装コード（上）と実際のリクエスト（下）

［図25］サーバーから返されたペイロード取得パス

応答は改行（\r\n）で分割され、各行はセミコロン（;）区切りの2項目です。第1項目が0なら、第2項目は取得する実行ファイルのURLです。次の手順で処理します。

① URLの解析とダウンロード

0で始まる項目を特定し、そのURLから実行ファイルを取得します。

データはバイナリとしてメモリに保存され、実際の取得ファイルはqq.exeとpxcc.exeです。

② ファイルの保存

実行ファイルは%LOCALAPPDATA%\Tempにtemp_<랜덤숫자>.exe形式で保存されます。

通常のWindows一時フォルダーで、ユーザーのアクセスが制限され、比較的検知も難しい場所です。

［図26］実行ファイルの保存形式

③ ファイルの実行

保存したファイルは直ちに実行され、それぞれの悪意のある処理を行います。

4.1.15. C2応答に基づく実行制御

終了直前にC2へ接続し、応答に応じて終了または自己再実行を行います。通信状態によって活動を継続・終了する構造です。

185.81.68.156の/svcstealer/get.phpへHTTP POSTを送り、本文には同じ識別子を使ったuplog=<식별자>を含めます。接続に失敗すると、バックアップの176.113.115.149へ同じリクエストを再送します。主サーバーが遮断・停止されても動作を続けるための二重サーバー構成です。

［図27］バックアップC2への接続・送信コード

応答に「Ok」が含まれるかどうかで、次の動作を決めます。

- 本文にOkがあれば正常終了。

- Okがないか接続に失敗すると、自分自身を再実行して現在のプロセスを終了。

［図28］サーバー応答に基づく実行制御（再起動と終了）

4.2. qq.exe

4.2.1. ミューテックスによる多重起動の防止

多重起動を防ぐため「SVC_DiamoTrix」というミューテックスを作成します。同名のものが存在すれば実行中と判断し、新しいインスタンスは直ちに終了します。作成後にGetLastErrorを呼び、ERROR_ALREADY_EXISTS（0xB7）ならハンドルを閉じて終了処理へ進みます。1台のシステムで重複実行しないための制御です。

［図29］多重起動を防ぐミューテックスの作成と確認

4.2.2. ファイル偽装と自動実行登録による永続性の確保

システム内で密かに存続するため、%AppData%配下にWinservを作成し、実行中のqq.exeをwinserv.exeとしてコピーします。正規のWindowsサービスを装う命名とみられます。作成・コピーに失敗した場合は、代わりに%App

Data%の直下へwinserv.exeを保存します。その後、Hidden属性を設定して通常のエクスプローラーでは表示されないようにします。

［図30］ファイルのコピーとHidden属性設定コード

［図31］コピーされたwinserv.exeの属性

コピー後、レジストリに自動実行を登録します。

まずHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunにSystemServicesという名前で現在のqq.exeのパスを登録し、続いて同じ項目をコピー先のwinserv.exeのパスで上書きします。winserv.exeのコピーに失敗しても、先に登録したqq.exeを実行できるようにした設計と考えられます。

［図32］自動実行のレジストリ登録比較（上：qq.exe、下：winserv.exe）

再起動やログオンのたびに自動実行する永続性（Persistence）の確保手段です。SystemServicesというWindows関連の名前は、疑念や検知を避けるためとみられます。

4.2.3. クリップボード監視による暗号資産アドレスの改変

クリップボードの暗号資産ウォレットアドレスを監視し、攻撃者のアドレスへ置き換えます。

別のバックグラウンドスレッドで定期的に動作し、メインスレッドはsleep(50)を繰り返す無限ループを維持します。監視スレッドは900ms間隔で内容を確認し、次の処理を繰り返します。

① 正規表現による暗号資産アドレスの検出：クリップボードの文字列に以下の正規表現を適用し、ウォレットアドレスを検出します。

Dash (DASH): \bX[kl][a-zA-Z0-9]{32}\b

Monero (XMR): \b4[0-9AB][1-9A-HJ-NP-Za-km-z]{93}\b

Dogecoin (DOGE): \bD[a-zA-Z0-9]{32,34}\b

Ripple (XRP): \br[a-zA-Z0-9]{24,34}\b

Cardano (ADA): \baddr1[a-z0-9]{54}\b

Bitcoin Cash: \bbitcoincash:[a-zA-HJ-NP-Z0-9]{26,42}\b

Litecoin (LTC): \b(L|M)[a-zA-HJ-NP-Z0-9]{26,34}\b

TRON (TRX): \bT[a-zA-HJ-NP-Z0-9]{33}\b

Ethereum (ETH): \b0x[a-fA-F0-9]{40}\b

Bitcoin (BTC): \b(1|3|bc1)[a-zA-HJ-NP-Z0-9]{25,42}\b

② 攻撃者アドレスへの自動置換：検出したアドレスを以下のウォレットへ置き換えます。

BTC: 1Dk9YCCgTvoZwN3MHwhm1qqYG8P84UZbBb

ETH/ERC-20: 0x8e14fd7c5fcbd7bc4561e781b82518fe5fbb2731

TRX: TRXnBZEwvWD5SZuuEdxsPmkWyeKRGtg18K

LTC: LSjjzjgTqvksGTSW9zPtyWatcxHpQs25Bo

DOGE: DCetGnKH4gR6YevwiSQAFFgjHseqebGzU9

暗号資産の取引でアドレスをコピー＆ペーストする習慣を悪用し、気付かないうちに送金先を攻撃者のウォレットへ変更します。

金銭被害に直結する危険な動作です。別スレッドで監視するため、メインプロセスが終了しない限り長期にわたり機能を維持し、ユーザーの操作をリアルタイムに横取りして検知を回避する設計です。

4.3. pxcc.exe

4.3.1. 保存ファイル内の暗号資産アドレス改変

特定のディレクトリを探索し、保存ファイル内の暗号資産アドレスを攻撃者のものに置き換える静的ハイジャック（Static Hijacking）を行います。クリップボード監視にとどまらず、保存文書のアドレスを直接改変して攻撃範囲と持続性を強化します。手順は次のとおりです。

① 対象ディレクトリの指定：ログイン中のユーザー名に基づき、次のパスを対象にします。

- 個人ディレクトリ（C、D、Eドライブ）：\Desktop、\Document、\Pictures、\Music、\Videos、\Downloads

- Webサーバー関連（C、D、Eドライブ）：\xampp、\wamp64、\inetpub

② ディレクトリとファイルの探索：パスの存在を確認し、有効な場所の全ファイルとサブディレクトリを再帰的に探索します。

③ 拡張子フィルター：.txt、.htm、.phpの通常のテキスト系ファイルのみを解析し、ディレクトリ項目とシステムファイルは除外します。

④ アドレスの検出と置換：次の正規表現で内容を解析し、見つけたアドレスをqq.exeと同じ攻撃者ウォレットへ自動置換します。

Bitcoin (BTC): \b(?:[13][a-km-zA-HJ-NP-Z1-9]{25,34}|bc1[a-zA-HJ-NP-Z0-9]{39,59})\b

Ehereum (ETH): \b0x[a-fA-F0-9]{40}\b

TRON (TRX): \bT[a-zA-Z0-9]{33}\\b|\\bT[a-zA-Z0-9]{34}\b

Litecoin (LTC): \b(?:[LM3][a-km-zA-HJ-NP-Z1-9]{26,33})\b

⑤ 内容の変更と保存：アドレスが実際に変更された場合のみ、攻撃者アドレスを反映して保存します。ファイルの完全性への変更を最小限にし、ユーザーやセキュリティシステムによる異常検知を避ける意図がうかがえます。

実行後に暗号資産アドレスが変更された文書の例を以下に示します。

［図33］実行前後のアドレス変更（左：変更前／右：変更後）

5. 収集・流出する情報

区分	詳細	対象プログラム
暗号資産ウォレット	- ウォレットアプリ	Exodus, Electrum, Bitcoin, Atomic
	- Chrome拡張機能	Metamask, Binance, Tron, Phantom, Ton, OKX, Trust, FRWT, CoinWallet, Cirus, InternetMoney, Keeper, LastPass, MultiPassword
	- Brave拡張機能	Metamask, Binance, Tron, Phantom, Ton, OKX, Trust, FRWT, CoinWallet, Cirus, InternetMoney
	- Edge拡張機能	Metamask, Binance, Ronin
メッセンジャー	- メッセンジャーのデータ	Telegram, 64gram, Unigram, Discord, Tox
FTPクライアント	- FileZillaデータ	FileZilla
スクリーンショット	- 画面全体
ソフトウェア	- 製品名 - バージョン - インストール日 - 製品識別子
システム	- ユーザー名とコンピューター名 - OSのバージョン - CPU, RAM - 現在時刻 - 画面解像度 - マルウェアの完全なパス - BIOS - 導入済みセキュリティ製品の情報 - 実行中プロセス一覧とPID
プロセス	- 実行ファイルのパス - 最上位ウィンドウの名前 - ウィンドウ識別子 - プロセス名
ブラウザー	- ログイン情報（名前、パスワード） - クレジットカード（名前、有効期限、番号） - 閲覧履歴（URL、ページタイトル、訪問回数、最終訪問時刻） - ダウンロード履歴（ダウンロードURL）	Chrome, Edge, Brave, Opera, Vivaldi, Yandex, Comodo, UR_Browser
ユーザーファイル	- .txt, .pdf, .sql, .cpp, .h, .dat, .wallet, .pkey

［表5］収集・流出する情報

6. 結論

2025年初めに登場したSvcStealerは、従来の情報窃取機能に加えて多段階実行によるクリッパー機能を備え、大きな脅威となります。メインのssks.exeはウォレット、メッセンジャー、FTP、システム・ソフトウェア情報、ブラウザー保存情報などを収集して攻撃者へ送ります。その後C2から追加ペイロードを取得・実行し、クリップボードやファイル内の暗号資産アドレスの乗っ取りへ段階的に進みます。

続くqq.exeとpxcc.exeは、クリップボード監視と文書内のアドレス置換をそれぞれ行い、気付かないうちの金銭窃取につながります。特にpxcc.exeは静的なファイル探索で攻撃範囲をシステム全体へ広げ、ユーザーファイルの完全性を損ないながら長期的な持続性を確保する意図があります。

攻撃者のウォレット取引を追跡した結果、現時点ではLitecoin（LTC）のみ活動が確認され、BitcoinやEthereumなどの取引痕跡は見つかりませんでした。LTCではBinanceのウォレットから約186.2001 LTCが一度に入金され、その後41個の異なるウォレットへ分散送金され、一部はBinanceへ戻っていました。繰り返しの送金・流入による資金洗浄や、Binanceを経由した追跡回避の可能性を示します。額がまちまちな無作為送金は通常の取引とは異なり、明確な組織的資産隠蔽のパターンと解釈できます。

［図34］攻撃者LTCウォレットの入出金と取引の流れ

このように単なるアドレス改変を超え、実際の資産窃取や資金洗浄につながる高度な攻撃の流れを備えています。

特に、pxcc.exeから抽出したPDBパス（C:\Users\Diamotrix\source\repos\FileClipper\x64\Release\

fileClipper.pdb）から、開発者名Diamotrixとプロジェクト名FileClipperが確認され、既報のDiamotrix Clipperと同じ名称です。ミューテックス名「SVC_DiamoTrix」も同じ文字列を含み、開発者または攻撃インフラとの直接的な関連を裏付けます。

サンズラボCTXの通信経路分析でも、SvcStealerとDiamotrix ClipperはC2 IPの185.81.68.156を共用し、URLも/svcstealer/get.phpと/diamo/post.phpという類似構造でした。

185.81.68.156はChang Way Technologies Co. Limited、バックアップの176.113.115.149はCat Technologies Co. Limitedの所有として登録されていました。両社は所在地とASN（AS57523）を共有し、同一実体の可能性が高いとみられます。脅威インテリジェンス分析では、この組織は以前からさまざまな攻撃者に悪意のある活動のインフラを提供しており、今回もSvcStealerの活動基盤を提供したと判断できます。

［図35］CTXで確認した185.81.68.156の関連URL（SvcStealerとDiamotrix Clipper）

［図36］Chang Way Technologies Co. LimitedとCat Technologies Co. Limitedが共有するASN（AS57523）のIP範囲

SvcStealerは2025年1月16日の初検知以降も活発に活動し、特に4月中旬以降に検知が急増しています。サンズラボCTXの検知履歴を基に、通信中の「/svcstealer/get.php」で識別した分析結果です。配布経路を維持または拡大しながら活動していることを示唆します。

［図37］日付別のSvcStealer検知推移

SvcStealerは難読化やパッキングなしでも、情報収集、セキュリティ回避、自動実行登録、痕跡削除、ペイロード実行などを体系的に行います。モジュール化と柔軟な設計による拡張性・持続性から、単発のコードではなく組織的な金銭窃取キャンペーンの一部と解釈できます。類似脅威に備え、ブロックチェーン上の資金追跡、動作ベースの検知強化、IoC共有を通じた共同対応が必要です。