執筆日：2026年9月18日
筆者がモデレーターを務めるDiscordサーバー（以下、本サーバー）において、直近約1か月の間に3名のユーザーが相次いでアカウントを乗っ取られる事案が発生しました。経緯と実施した対応については、第1部「直近で連発したDiscordアカウント乗っ取り事案について（経緯・対応・予防策）」にまとめています。
この記事では、聞き取りと公開資料、筆者による調査をもとに、感染経路を再現し、使われたと考えられるマルウェアと情報窃取の仕組みを説明します。そのうえで、マルウェアを提供・運用する側の役割分担と、乗っ取られたアカウントを悪用する詐欺インフラを見ていきます。
※記事中の不審なドメインは、誤ってアクセスしないよう、ピリオドを [.] に置き換えています。ただし、調査に使用したurlscan.io（スキャン記録の閲覧サービス）へのリンクは、そのまま記載しています。
1．事件の推移
本サーバーで確認した事案を時系列で整理します。
| 時期 | 出来事 |
|---|---|
| 2026年8月12日〜14日 | 参加者JのDiscordアカウントが乗っ取られ、全体メンションを伴うスパムが投稿される。投稿先には偽カジノへの誘導画像が使われていた |
| 2026年9月13日 | モデレーターMのDiscordアカウントが乗っ取られ、フレンド宛てに詐欺サイトへ誘導するDMが一斉送信される |
| 2026年9月15日 | 別の参加者のアカウントから、過去の事案と同じ画像が複数チャンネルへ投稿される |
| 2026年9月16日以降 | MのSteamアカウントから、フレンド宛てにQRコード入りの偽ギフト券画像が送信される |
Discordでは偽カジノ、Steamでは偽のログインページへ誘導されていました。以下では、感染からアカウントの悪用までを順に説明します。
乗っ取られたアカウントから投稿されたDiscordとSteamのスパム画像と同一の画像。
2．感染経路の再現：動画・検索・配布サイト
今回調べた配布インフラをもとに、動画や検索からファイルの実行へ至る典型的な経路を再現します。以下で紹介する内容は実際に本キャンペーンで用いられているシナリオですが、実際の感染経路はさまざまであり被害者によって異なります(聞き取りを行った二人もこれとは異なります)。
動画からダウンロードまで
例えば、次のような流れでファイルの実行へ誘導します。
| 段階 | 利用者の操作 | 使われるサービスやサイト |
|---|---|---|
| 1 | ゲームの紹介動画を見る | YouTubeなどの動画投稿サービス |
| 2 | ゲーム名を検索する | 検索エンジン |
| 3 | 紹介ページを開き、ダウンロードリンクを押す | 作品投稿サイトやゲーム紹介ページ |
| 4 | 案内に従って別のページへ移動する | 中継サイト、配布サイト |
| 5 | ファイルをダウンロードして実行する | ファイルの保存先 |
動画や検索結果から紹介ページへ案内し、その先で外部の配布サイトへ誘導します。利用者自身が検索して見つけたページにも、マルウェアへの導線が置かれています。
ダウンロード先を複数のサイトに分ける構成
配布経路の例を、役割ごとに整理します。
| 順序 | ドメイン・ファイルの例 | 役割 |
|---|---|---|
| 1 | https://www.youtube[.]com/watch?v=dgJ8W67-RjQ |
フリーゲームの紹介動画 |
| 2 | https://www.deviantart[.]com/sweatybaseballgirl/art/Sweaty-Baseball-Girl-And-Batting-Challenge-Final-1362389230 |
作品投稿サイト上のゲーム紹介ページ |
| 3 | archivegames[.]sbs |
紹介ページから案内される中継先 |
| 4 | skidrowgamerpc[.]com |
ダウンロードボタンなどを表示するページ |
| 5 | filemodo[.]xyz |
転送先の配布ページ |
| 6 | cloud-file-〈文字列〉[.]xyz |
ファイルの保存先として使われるホスト |
| 7 | Download.zip |
ダウンロードされるファイル |
紹介ページ、中継先、ファイルの保存先を分けることで、運用者は各段階のリンクを差し替えられます。filemodo[.]xyzは、Malwarebytesが報告した配布経路にも含まれています。[2]
この経路には、投稿・保存機能を悪用された正規サービス(Youtube,Deviantart)と、攻撃者が用意したとみられるサイトが混在しています。調査では、それぞれの役割と管理主体を分けて扱います。
各段階は、対象サイトへ直接アクセスせず、urlscan.ioに取得させた記録で確認しています。
| 段階 | 公開スキャン記録 |
|---|---|
| 作品投稿サイトの紹介ページ | スキャン記録 |
archivegames[.]sbs/free-game/ |
スキャン記録 |
Deviantart上に投稿された紹介画像。アダルトコンテンツを含むためモザイク処理。
この紹介ページのスキャン記録（urlscan.io）
3．何に感染したのか：情報窃取型マルウェア「Amatera Stealer」
聞き取りの結果と前章で示した配布インフラの一致から、今回の事案ではAmatera Stealerという情報窃取型マルウェアが使われたと考えられます。本章では、セキュリティ企業の公開レポートをもとに、何が盗まれるのか、ファイルの実行後に端末内で何が起きるのかを説明します。
盗まれる情報
Amateraが収集する情報には、次のようなものがあります。[1]
| 対象 | 収集される情報の例 |
|---|---|
| ブラウザ | Cookie、フォームの自動入力データ、閲覧履歴など |
| 暗号資産ウォレット | ウォレットに関連するファイル |
| ブラウザ拡張機能 | パスワード管理ツールやウォレットに関連するファイル |
| メール・接続管理ソフト | メールソフトの保存ファイル、SSH・FTPなどの接続情報 |
| メッセージアプリ | Signal、WhatsAppなどの保存データ |
ログイン状態を維持するCookieなどが盗まれると、サービスの仕組みや有効期限によっては、攻撃者がパスワードや二段階認証のコードを入力せずにアカウントを利用できます。今回のハッキングについてはこのクッキーが盗まれたものと推認されます。
Proofpointは、Chrome系ブラウザの保存データを保護する「App Bound Encryption」を回避する機能も報告しています。解析された検体では、ブラウザのプロセス内で不正な処理を動かし、保護されたデータの取得を試みていました。[1]
ゲームを実行してから情報が盗まれるまで
Malwarebytesは2026年7月、偽ゲームなどを使ってAmateraを配布するキャンペーンを報告しました。解析例の流れは次のとおりです。[2]
- 利用者がゲームを装ったZIPファイルを展開し、実行ファイルを起動する。
- ゲーム制作エンジン「Ren’Py」を悪用したローダーが、後続のプログラムを読み込む。
- ローダーが暗号化されたデータを復号し、一時フォルダにファイルを展開する。解析用の環境を調べる処理も含まれる。
- Microsoftの開発用ツール「MSBuild」などを使って、後続の処理を実行する。
- ブロックチェーン上のデータから外部サーバーの接続先を取得し、追加のプログラムをダウンロードする。
- Amateraが実行され、端末内の情報が収集される。
通常のゲームやインストーラーの画面を表示しながら、これらの処理がバックグラウンドで進むとされています。
本ケースで聞き取った内容では二人とも「実行したが何も起きなかった、セキュリティソフトの警告もなかった」と証言しているため、時期やオペレータにより挙動が異なると思われます。
報告されたマルウェアのファイル構成例(Malwarebytesより転載、実際の被害者から聞き取った構成と一致)。Setup.exeを実行すると感染する。
検知や警告を避ける処理
公開レポートでは、感染の各段階に次のような処理が確認されています。
正規ソフトウェアの悪用
Ren’PyやMSBuildは正規のソフトウェアです。攻撃者は、それらに不正なコードを読み込ませて実行します。ファイル名や実行中のソフトウェア名だけでは、不正な処理に気づきにくくなります。[2]
ダウンロードしたファイルの識別情報の変更
Windowsは、ダウンロードしたファイルに付くMark-of-the-Webという識別情報を、実行時の警告などに利用します。Malwarebytesの解析例では、ローダーが展開後のファイルのZone.IdentifierをZoneId=0に書き換え、この判定を回避していました。[2]
監視されやすい処理の回避
Proofpointの報告では、Amatera本体に、セキュリティ製品が監視する一般的な通信処理やシステム呼び出しを避ける実装が確認されています。同報告が扱った配布プログラムにも、PowerShellのログ記録やスキャン機能を妨げる処理が含まれていました。[1]
外部サーバーの接続先を取得するEtherHiding
EtherHidingは、外部サーバーの接続先をブロックチェーン上のデータから取得する手法です。 Malwarebytesの解析例では、BNB Smart Chain上のスマートコントラクト（ブロックチェーン上で動くプログラム）から、後続プログラムの取得先を読み出していました。[2]
攻撃者は、参照先のデータを書き換えることで、配布済みのプログラムを更新せずに接続先を変更できます。ブロックチェーン上の記録を削除しにくいことも、接続先情報を維持するうえで有利です。対策としては、取得先サーバーの停止や端末側での通信遮断などが考えられます。
ProofpointとMalwarebytesの両報告にこの手法が登場しますが、記載されているコントラクトアドレスは異なります。[1, 2]
4．MaaS：マルウェアを提供するサービス
MaaS（Malware-as-a-Service）は、マルウェアや管理画面、更新、サポートを有料で提供する仕組みです。 利用者は自分でマルウェアを開発せずに、配布や情報収集を行えます。盗んだ情報を、売買や仲介を通じて別の者へ渡す場合もあります。
Amateraの販売・提供の形態
Proofpointの2025年6月の報告によると、Amateraは「ACR Stealer」を改修・改称したもので、MaaSとして提供されていました。報告時点では、月額199ドルから年額1,499ドルの契約が用意され、Web上の管理画面から購入できました。問い合わせ対応にはメッセージアプリのTelegramが使われていました。[1]
ACRの販売停止は2024年7月に告知され、同年12月にはAmateraの管理画面が公開情報に現れています。[1]
開発・配布・悪用の役割分担
今回の事案も、こうしたサービスを利用して作業を分担した可能性があります。ここまで説明したマルウェアの開発・配布と、次章で扱うアカウントの悪用は、次の三つの役割に分けて整理できます。
| 役割 | 主な作業 |
|---|---|
| マルウェアの開発・提供者 | 情報窃取プログラムや管理機能を開発し、利用者に提供する |
| マルウェアの配布・運用者 | 動画や配布サイトなどからファイルを実行させ、盗んだ情報を収集・管理する |
| 盗まれた情報を悪用する者 | アカウントへ不正アクセスし、詐欺メッセージの送信などに利用する |
一人や一つのグループが複数の役割を兼ねる場合も、さらに細かく分担する場合もあります。
5．アカウントの悪用と詐欺サイトのインフラ
乗っ取られたアカウントは、知人や参加先のサーバーへ詐欺メッセージを送るために使われました。誘導先を調べると、詐欺の成果を管理する仕組みと、複数の偽サイトを継続的に運用する共通基盤が見えてきました。
Discordで案内された偽カジノには、どの誘導が登録・入金につながったかを外部で集計する設定がありました。一方、Steamの偽サイト群では、ドメインや接続先が変わっても引き継がれる識別子と、URLに共通する変換規則が見つかりました。これらは、個別の詐欺サイトから背後の基盤へ調査を広げ、移転後も関連サイトを追跡する手掛かりになります。
以下では、偽カジノと偽Steamサイトについて、これらの仕組みと判断の根拠を順に説明します。盗まれた情報が悪用する者へ渡った経路については、未解明の点として最後に整理します。
5.1 Discordから偽カジノへの誘導
ケース1では、Jのアカウントから、著名YouTuberの肖像を悪用した宣伝画像が投稿されました。誘導先はworowin[.]comというカジノ風の詐欺サイトでした。
サイトにはHome、Profile、Bonuses、VIP-Clubなどのページがあり、入出金やプロモーションコード入力の画面も用意されていました。
日本語のUIを用意しており、日本を狙ったものであることが推察されます。
偽カジノサイトのトップページのスキャン記録（urlscan.io）
登録・入金を外部へ通知する設定
サイトの通信を調べたところ、worowin[.]com/api/extra/postbackから取得したデータに、登録や入金をtskupka[.]ccへ通知する「ポストバック」の設定が含まれていました。
設定には、次の三種類の通知先がありました。
| 通知する出来事 | 記録する内容 |
|---|---|
| 利用者登録 | アカウントが作成されたこと |
| 初回入金 | 最初の入金と、その金額・通貨など |
| その後の入金 | 追加の入金と、その金額・通貨など |
通知先のURLには、クリックを識別する値や、国、ドメイン、プロモーションコードなどを渡すための項目もありました。
ポストバック設定を含む通信のスキャン記録（urlscan.io）
この設定から、どの誘導で登録や入金につながったかを、外部のシステムで集計する設計だったことが分かります。 商品購入などの成果に応じて報酬を支払う、アフィリエイト広告に似た仕組みです。実際の通知件数や入金総額は確認できていません。
本人が送信に気づきにくくする操作
聞き取りの結果、Discordにおいて乗っ取られたアカウントは、DMを送る前にまず送信先をDiscordの仕様の一つである「無視するユーザー」に追加されていたとのことでした。これにより、DMの返信で「ハッキングされている」等をもらっても通知されなくなり、また自身が送ったことも気づきにくくなります。
Discordの「無視するユーザー」説明ページへのリンク
本人が事態を把握したきっかけは、別の利用者からの連絡でした。攻撃者が発覚を遅らせる目的で、この機能を使った可能性があります。
通知先の管理画面
tskupka[.]ccの公開スキャン記録には、ロシア語の管理画面が残っていました。未認証の状態では、「アクセス拒否」「管理者専用」の旨が表示されます。Telegram内で動くミニアプリ向けの構成も見られました。
通知先ドメインの管理画面のスキャン記録（urlscan.io、2026年8月31日）
画面はロシア語の利用者向けですが、運用者の国籍や所在地は未確認です。
公開スキャンでの判定
調査時点で、tskupka[.]ccにはurlscan.ioの悪性判定が付いておらず、過去のスキャンも2026年8月12日と8月31日の2件だけでした。前者はケース1が起きた日と同じ日付ですが、誰が登録したスキャンかは分かりません。
いずれもCloudflareの背後にあり、実体のIPは分かりません。偽カジノとの接続は、判定や同居IPではなく、サイトのポストバック設定を調べることで確認できました。
5.2 Steamから偽ログインページへの誘導
9月16日以降、乗っ取られたユーザーのSteamアカウントから、フレンド宛てにQRコード入りの偽ギフト券画像が送られました。QRコードのリンク先は、次のURLでした。
steamcomrnuunity[.]com/code/876809
公開スキャンに残るページには「21 YEARS TOGETHER Get a $100 gift card!」と表示され、Steamの周年記念を装っていました。画像などの一部は、正規のSteamの配信サーバーから読み込まれていました。
読み込み先にはstore.akamai.steamstatic.com、cdn.cloudflare.steamstatic.com、community.steamstatic.comなど、Valveが実際に使用している配信サーバーが含まれます。ページ内のリンク先にもsteamcommunity.comやstore.steampowered.comがあり、見た目と一部の遷移先を正規サイトに依存させる作りでした。偽サイト自身が配信していたのは、ページ本体と誘導部分だけです。
スキャン記録から読み取れる値は次のとおりです。
| 項目 | 観測値 |
|---|---|
| 接続先IP |
62.60.226.75（AS214351、ドイツ・フランクフルト） |
| Webサーバー | openresty |
| TLS証明書 | 2026年9月14日 09:18（UTC）発行、有効期間89日 |
| ドメイン登録からの日数 | スキャン時点で49日 |
| urlscan.ioの判定 | フィッシング（対象ブランド：Steam）、悪性スコア100 |
上の値を確認した偽Steamページのスキャン記録（urlscan.io、2026年9月18日）
steamcomrnuunity[.]com/code/876809をurlscan.ioに取得させた画面（2026年9月18日）。Steamの21周年を名目に100ドル分のギフトカードを提示している。
同じドメインでは、/code/や/activate/に続く番号が異なるURLが2026年7月31日から9月18日にかけて38件記録されており、表示される金額も50ドルと100ドルの二種類がありました。番号ごとに別のリンクとして配られていたとみられます。
QRコードによる誘導
QRコードを使うと、URLを画像に埋め込んで誘導できます。PC上の画像をスマートフォンで読み取ると、閲覧はスマートフォン側で行われ、PCのブラウザ拡張機能などによる保護の対象から外れます。
今回の画像はSteamのフレンドから届くため、受信者が知人からの案内だと思って開いてしまう可能性があります。
実際に送られた画像と同一のもの。Redditのr/SteamScamsへの投稿より転載。
正規サイトに似せたドメイン
誘導先は、正規のドメインと似た文字列を使っていました。
| 種類 | ドメイン |
|---|---|
| 正規のSteam Community | steamcommunity.com |
| 今回の偽サイト | steamcomrnuunity[.]com |
実際のブラウザ(隔離環境)で表示した偽サイト（上）と正規サイト（下）のアドレスバー。本文のような等幅表示と違い、実際の画面では「rn」と「m」の区別がつきにくい。
偽サイトでは、communityの二つ目のmがrnに置き換わり、uが一つ追加されています。表示するフォントや文字の大きさによっては、違いに気づきにくくなります。
このように正規サイトに似たドメインを用意する手口は、タイポスクワッティングと呼ばれます。
5.3 偽Steamサイトから確認できた共通基盤
偽Steamサイトの接続先を起点に、urlscan.ioの過去記録を調べました。その結果、同じIPで多数のドメインが観測され、関連するサイト群では移転後も残る識別子と、URLに共通する変換規則が見つかりました。
この二つは、ドメインやIPが変わった後も、関連するサイトを追跡する手掛かりになります。以下では、調査を広げた順に説明します。
一つの接続先から132ドメインを確認
偽Steamサイトの旧IPと移転先には、次の公開記録がありました。
| IPアドレス | 観測記録の期間 | スキャン件数 | ドメイン数 |
|---|---|---|---|
192.162.199.140 |
2026年6月19日〜9月13日 | 573 | 132 |
62.60.226.75 |
2026年9月15日〜18日 | 24 | 21 |
集計は2026年9月18日にurlscan.ioの検索APIで取得した記録（573件・24件）から、ホスト名の重複を除いたものです。検索条件は以下のURLで再現できます。
新IPの件数が少ないのは移転から日が浅いためで、規模の縮小を示すものではありません。
旧IP上の132ドメインを、名称やページ内容で分類した結果です。
| 分類 | ドメイン数 |
|---|---|
| Steamに似せたドメイン | 45 |
| ギフトカード・ゲームスキン関連の詐欺サイト | 15 |
| 攻撃ツールの管理・配信基盤とみられるもの | 38 |
| その他 | 34 |
関連候補には、FACEIT、Rust、eスポーツチームなどを装うサイトも含まれていました。一つの偽Steamサイトから、複数のゲームやサービスを対象とするサイト群へ調査を広げられたことになります。
同じIPは複数の利用者が共有できるため、ドメイン間の関係は、以下の識別子やURLの解析と合わせて検討します。
「CERBERUS」の表示と管理・配信の構成
関連ドメインのloader.dojiner[.]atなどには、「CERBERUS」というページタイトルがありました。c3rberus[.]atも観測されているため、以下ではこの関連基盤を「CERBERUS」と呼びます。
| ホスト | ページタイトル | 観測IP | 観測時期 | 公開スキャン記録 |
|---|---|---|---|---|
loader.dojiner[.]at/login |
CERBERUS | 196.251.121.39 |
2026年7月31日 | スキャン記録 |
loader2.dojiner[.]at/login |
CERBERUS | 196.251.121.39 |
2026年9月10日 | スキャン記録 |
test2.c3rberus[.]at |
Sign In／Anmelden | 192.162.199.140 |
2026年7月31日〜9月5日 | スキャン記録 |
loader2.dojiner[.]at/loginをurlscan.ioが取得した画面（2026年9月10日）。認証前のログイン画面のみが公開されており、内部は確認していない。
loader系のドメインは、被害者向けの偽ページとは別のIPで観測されていました。管理・配信を担う部分と、偽ページを表示する部分が分かれている可能性があります。この構成なら、偽ページの移転や追加の際にも、共通の管理・配信機能を利用できます。
test2という名称のホストが偽ページ側のIPに同居していることからも、運用者自身が検証に使うホストが含まれていることが窺えます。
移転前後で引き継がれた8個の識別子
関連URLには、次のような構造がありました。
hxxps://8589817314.dojiner[.]at/201a77522e0556075708562857515b0d33570203
| 部分 | 例 | 観測結果 |
|---|---|---|
| サブドメインの数字列 | 8589817314 |
主に8〜10桁。移転前後で8個が一致 |
| 親ドメイン | dojiner[.]at |
f1shh[.]atにも同じ数字列が現れる |
| パス | 201a…0203 |
40桁の16進文字列。273件すべてが異なる値 |
IPと親ドメインが変わっても、8個の数字列が引き継がれていました。 最も古い例は、2025年12月19日と2026年9月17日の記録に現れています。
数字列8589817314の記録を並べると、次のようになります。
| 観測日 | ホスト | 観測IP | 公開スキャン記録 |
|---|---|---|---|
| 2025年12月19日 | 8589817314.dojiner[.]at |
62.60.226.105 |
スキャン記録 |
| 2026年9月17日 | 8589817314.dojiner[.]at |
— | スキャン記録 |
| 2026年9月17日 | 8589817314.f1shh[.]at |
62.60.226.75 |
スキャン記録 |
この数字列は、公開記録の範囲で約9か月にわたり45回観測されています。移転後のf1shh[.]at側はルートパスが404を返しますが、ホスト名としては新しいIP上で応答していました。
8589817314.dojiner[.]atで2025年12月19日に記録された偽Steamログインページ。同じ数字列が9か月後の記録にも現れる。
この一致により、約9か月離れた記録や異なるドメインを、継続して使われる識別子で関連付けられます。配布者、利用者、キャンペーンなどの管理単位が、サイトの移転後も維持されていると考えられます。
数字列の具体的な用途は未確定ですが、既知ドメインが使われなくなった後も、同じ識別子を持つサイトを調べるという追跡方法が得られます。
40桁のパスは273件すべてが異なり、リンクごとの識別に使われている可能性があります。
273件のURLに共通する変換規則
40桁のパスを20バイトのデータとして比較すると、同じバイト位置に現れる値が、それぞれ16種類に限られていました。元のデータが16進文字列だと仮定し、XORによる変換を調べたところ、次の鍵が得られました。
DyNaM1cfakeLoginPage
この鍵で273件すべてを変換すると、20桁の16進文字列になりました。 異なるURL群が同じ変換処理で生成されている可能性を示す結果です。
ここで得られたのは、ページの外観や接続先に加えて、URLの生成処理を比較するための特徴です。別のドメインでも同じ形式・鍵・変換結果が確認できれば、共通実装を使う関連候補として絞り込めます。
接続先の移転と基盤の継続性
関連基盤では、時期を変えて次のIPが観測されました。
| 時期 | 主な観測対象 | IPアドレス |
|---|---|---|
| 2025年12月〜2026年6月 |
dojiner[.]at関連の基盤 |
62.60.226.105 |
| 2026年6月〜9月 | 偽Steamサイトなどを含むサイト群 | 192.162.199.140 |
| 2026年9月 | 移転後の偽Steamサイトなど | 62.60.226.75 |
調査資料では、これらは同じネットワーク「AS214351」に属します。初期と直近のIPは、62.60.226.0/24という同じアドレス範囲に含まれています。サイト群の接続先が、同じネットワーク内で変化していたことが分かります。
識別子の引き継ぎと合わせると、既存の管理単位を保ちながらドメインや接続先を変更していた可能性があります。個別ドメインへの対応と並行して、関連する識別子・URL構造・接続先をまとめて記録することが、移転後の追跡に役立ちます。
偽Steamサイトでは、9月14日発行のTLS証明書と、9月16日の新IPへの接続が記録されており、移転前後の時期を確認する資料になります。
| 観測日 | 記録の内容 | 公開スキャン記録 |
|---|---|---|
| 2025年12月19日 |
dojiner[.]at関連のホストを62.60.226.105で観測（新IPと同一のアドレス範囲） |
スキャン記録 |
| 2026年9月3日 | 旧IP192.162.199.140上で偽Steamサイトを観測（50ドル表示のページ） |
スキャン記録 |
| 2026年9月16日 | 新IP62.60.226.75上で/code/876809を観測 |
スキャン記録 |
| 2026年9月18日 | 新IP上のページで、9月14日発行のTLS証明書を確認 | スキャン記録 |
旧IPでの観測が9月13日まで続いた一方、新IP向けの証明書は9月14日に発行され、9月15日には新IP上で別のドメインが観測されています。証明書の発行から実運用までの間隔は2日ほどで、旧環境を稼働させながら切り替えたことになります。
5.4 盗まれた情報の流通について
マルウェアによる窃取と、Discord・Steamでの悪用を直接つなぐ流通記録は得られていません。tskupka[.]ccで確認できた役割は、偽カジノの登録・入金の通知先です。
この間の処理を考える参考として、おとりの認証情報を盗ませ、その後の利用を追跡した研究があります。
| 調査 | 報告された観測 |
|---|---|
| HoneyCirculator | 332のおとりアカウントに6,320回の不正ログイン。ログイン後すぐにログアウトするなど、有効性の確認とみられる挙動を観測 [3] |
| hookset.dev | 設置した5件の認証情報のうち、権限が高そうに見える2件だけが利用されたと報告 [4] |
これらは、窃取後に情報の有効性や利用価値を確認・選別する処理があることを示唆します。本件でも同様の過程を経て悪用された可能性がありますが、受け渡しや売買の経路は未解明です。両研究はID・パスワードを扱っており、セッション情報の利用条件や悪用までの時間に、そのまま当てはめることはできません。
6．おわりに
今回の調査では、マルウェアの配布経路、偽カジノの成果管理、偽Steamサイトの共通基盤を整理しました。
偽カジノでは、登録・入金を外部へ通知する設定から、誘導の成果を集計する設計が確認できました。偽Steamサイトの関連基盤では、移転後も残る8個の識別子と、273件のURLに共通する変換規則が見つかりました。これらは、個別サイトの移転後も関連基盤を追跡するための具体的な手掛かりです。
今回の事案については、JPCERT/CCへ経緯と調査資料を報告しています。
調査方法と限界
本記事は、被害者への聞き取り、隔離環境で取得したサイト情報、urlscan.ioの過去記録、公開レポートをもとに作成しました。Steam関連の調査は、主に公開済みのスキャン記録によります。
感染端末の復旧を優先したため、実行されたマルウェアの検体や端末ログは保全できていません。マルウェアの種類は、聞き取りと配布インフラ、既存レポートとの一致に基づく推定です。
第2章の誘導シナリオには説明用に構成した部分が含まれます。個々の被害者の経路や、掲載する例との対応関係は示していません。
件数と日付は、取得できた公開記録の範囲を示します。サイトの全数、連続稼働、被害規模は測定していません。共通するIP・識別子・URL構造は関連性を調べる手掛かりであり、同一運用者や商取引の証明には追加の情報が必要です。
管理画面の内部、識別子の具体的な用途、URLの生成コード・有効回数は未確認です。窃取情報の流通経路、実際の被害額、Steam側の認証情報取得処理の詳細も確認できていません。
参考資料
- [1] Proofpoint：Amatera Stealer: Rebranded ACR Stealer With Improved Evasion, Sophistication（2025年6月16日）
- [2] Malwarebytes：Fake games spread stealers with Ren'Py loader, MSBuild, and EtherHiding（2026年7月20日）
- [3] Akiyama, M., Yagi, T., Hariu, T., and Kadobayashi, Y. “HoneyCirculator: distributing credential honeytoken for introspection of web-based attack cycle.” International Journal of Information Security, 17, 135–151（2018年）
- [4] hookset.dev：“Watching a stolen credential get used”（2026年8月2日）
- 関連記事：直近で連発したDiscordアカウント乗っ取り事案について（経緯・対応・予防策）
使用ツール
- ANY.RUN：対話型のオンラインサンドボックス。隔離環境でのサイトへの接続と、表示・通信の確認に使用
- urlscan.io：Webサイトのスキャン・記録サービス。過去のスキャン記録の検索、IP・ドメインの関連調査に使用