Stealerium カメラ乗っ取りの危険性と対策を徹底解説

アダルトサイトを閲覧している最中に自分のカメラが乗っ取られ、盗撮されているのではないか──そんな不安から「Stealerium カメラ」と検索した方も多いのではないでしょうか。本記事では、その不安の正体である最新の脅威と、確実に身を守るための対策を整理します。

Stealeriumは、カメラを乗っ取り盗撮を現実化した新世代のインフォスティーラーです。このマルウェアの台頭により、企業と個人の双方がカメラ乗っ取りの深刻なリスクに直面しています。もともとオープンソースとして公開されていたStealeriumは、今や犯罪者の手によって闇ツールへと変貌し、派生マルウェア群が次々と登場しています。

嘘の脅迫にすぎなかったセクストーション（性的脅迫）は、今や実際の映像を利用する現実的な脅威へと進化しました。特に、アダルト関連語を検出すると自動的に撮影を開始するカメラ機能のトリガーや、Phantom・Warpなど派生系マルウェアの拡大、たった1通のメールから感染が始まる実態にも注意が必要です。さらに、Telegram・Discord・Zulipといった正規の通信プラットフォームを悪用したデータ流出、PowerShellやDefender設定変更による永続化など、高度な手口も確認されています。

加えて、羞恥や恐怖といった心理的脆弱性を突く社会工学的な攻撃が広がっており、被害者を巧妙に追い詰めます。本記事では、こうした脅威の全体像を分解し、実際に観測されたハッシュ値（SHA256）や通信先（IOC）をもとに、個人と企業が今すぐ実践すべき7つの防御策までを包括的に解説します。

記事のポイント

Stealerium カメラ乗っ取りの仕組みと特徴
代表的な感染経路と観測された攻撃手口
監視すべき痕跡とIOCの読み解き方
個人と企業が今すぐ取る対策の優先順位

「Stealerium」：カメラを乗っ取り“盗撮”を現実化した新世代インフォスティーラー
企業と個人を襲う「カメラ乗っ取り」リスク：Stealerium派生マルウェアの脅威と対策

「Stealerium」：カメラを乗っ取り“盗撮”を現実化した新世代インフォスティーラー

●このセクションで扱うトピック

嘘の脅迫が現実に──セクストーション攻撃の進化
Stealeriumとは何か：OSSから闇ツールへ変貌した経緯
カメラ機能のトリガー：「アダルト関連語」検出で自動撮影
Phantom・Warpなど、Stealerium派生系の台頭
感染経路の実態：メール1通で始まる人生崩壊

嘘の脅迫が現実に──セクストーション攻撃の進化

2018年前後に世界中で大量に出回ったセクストーション（性的脅迫）メールは、実際には存在しない動画を使って人々を脅す、いわば「虚構の恐怖」を利用した手口でした。メールの送り主は「あなたのカメラで撮影した映像を持っている」と主張し、ビットコインなどの暗号資産で身代金を要求していました。しかし当時、そのような映像は存在せず、単なる詐欺として処理されていました。

ところが近年、脅迫の内容が現実化しつつあります。Stealeriumやその派生マルウェアは、実際にユーザーのPC上でウェブカメラを起動し、スクリーンショットや映像を撮影して攻撃者のサーバーへ送信する機能を備えています。これにより、これまで「あり得ない」と考えられていた脅迫メールの内容が、現実のリスクへと変わりました。被害者の心理的弱点──とくに羞恥心や恐怖心──を突くことで、金銭を支払わせる成功率が高まっているのです。

また、こうした攻撃は個人だけではなく、企業にも影響を及ぼしています。リモートワークが普及し、従業員が私用端末で業務システムにアクセスするケースが増えたことで、個人PCから盗まれた認証情報が企業ネットワーク侵入の足掛かりに使われる事例も確認されています。セクストーションはもはや一過性の詐欺ではなく、情報窃取と脅迫を組み合わせた「ハイブリッド型攻撃」へと進化しているのです。

犯罪対策機関やセキュリティベンダーもこの問題を重く見ています。欧州刑事警察機構（Europol）の報告によると、性的脅迫事件の報告件数は2023年以降増加傾向にあり、特に若年層を狙う事例が増加しているとされています（出典：Europol “Online sexual extortion of minors report ”）。このように、技術的な進化と心理的な操作が融合することで、セクストーションは新たな段階に突入したといえます。

以上の状況を踏まえると、ユーザー教育や心理的リスクマネジメントを含む多層的な防御が求められます。単なるウイルス対策ソフトの導入だけでは、こうした「人間の感情」を狙う攻撃を防ぐことは難しいため、冷静な判断を促す啓発と早期通報の仕組みが欠かせません。

Stealeriumとは何か：OSSから闇ツールへ変貌した経緯

Stealeriumはもともと教育・研究目的でGitHub上に公開されていたオープンソースのインフォスティーラーです。.NETフレームワークで開発され、初期バージョンではブラウザのクッキー、保存されたパスワード、暗号資産ウォレット情報、VPN設定、Wi-Fiプロファイルなど、ユーザー環境の幅広い情報を自動的に収集する機能を備えていました。こうした仕組み自体はセキュリティ研究における挙動分析や防御策検証に活用されることもありましたが、同時に犯罪者にとっても極めて都合のよい“素材”となってしまったのです。

Stealeriumが悪用され始めた背景には、オープンソースソフトウェアの再利用性があります。公開されたコードを基に、攻撃者は難読化や通信経路の暗号化、検知回避アルゴリズムなどを追加し、次々と新しい派生版を作り出しました。その代表例が「Phantom Infostealer」や「Warp Stealer」であり、これらはStealeriumのソースコードを流用しつつ、TelegramボットやDiscordを用いた通信機能を追加した亜種として知られています。特にWarp系は段階的なローダー構造を持ち、アンチウイルスソフトの停止やUAC回避を行ってから最終的なスティーラーを展開する点が特徴です。

さらに、Stealeriumはサイバー犯罪の商業化を加速させるきっかけにもなりました。マルウェアを「サービス（MaaS）」として販売する仕組みが確立し、攻撃者はプログラミングの知識がなくても簡単にスティーラーを導入できるようになりました。たとえばPhantom Infostealerは、2週間単位で約70ドルというサブスクリプションモデルで販売され、利用者はダッシュボード上で被害者数や収集データを確認できる設計になっています。こうした“闇のSaaS化”は、攻撃の敷居を著しく下げ、世界中で被害が拡大する要因となりました。

StealeriumのGitHubリポジトリはその後、利用規約違反として削除されましたが、すでに多くのコピーがダークウェブやフォーラム上で拡散しています。現在も別名で再配布されており、派生系を完全に封じ込めることは困難な状況です。結果として、かつて教育目的で公開されたツールが、実際のサイバー犯罪の主力兵器へと変貌したのです。

このようなケースは、オープンソースの透明性と悪用リスクの両面を考えるうえで示唆に富んでいます。公開コードを活用する際には、法的・倫理的な観点からの検証体制とモニタリングが不可欠であり、開発者と利用者の双方が責任を共有することが求められます。

専門用語の補足

用語	説明
GitHub（ギットハブ）	ソフトウェア開発者がソースコードを共有・管理・共同開発できるプラットフォーム。多くのオープンソースプロジェクトがここで公開されている。
オープンソース（OSS）	ソースコードを自由に閲覧・改変・再配布できるソフトウェアの形態。透明性が高い一方で、悪用のリスクもある。
インフォスティーラー（Infostealer）	ユーザーの認証情報やブラウザデータ、暗号資産ウォレットなどを盗み出すタイプのマルウェア。情報窃取型ウイルスとも呼ばれる。
.NETフレームワーク	Microsoftが提供する開発基盤で、Windows上で動作するアプリケーションを構築するための環境。
クッキー（Cookie）	Webサイトがユーザーのブラウザに保存する小さなデータ。ログイン情報や閲覧履歴を保持するために使われる。
難読化（Obfuscation）	プログラムの解析を妨げるために、コードをわざと読みにくく変換する手法。マルウェアの検知回避に多用される。
通信経路の暗号化	通信データを暗号化することで、傍受や改ざんを防ぐ仕組み。攻撃者が検出を逃れるために悪用するケースもある。
Telegramボット	メッセージングアプリTelegram上で自動的に動作するプログラム。攻撃者がデータ送信や指令伝達に利用する。
Discord Webhook	Discordのチャットサーバーに外部システムからメッセージやファイルを投稿できる仕組み。正規機能がデータ流出経路として悪用される。
ローダー構造（Loader）	小さなプログラムが本体マルウェアを段階的に読み込む設計。検知を避けるための多段階感染手法。
UAC回避（User Account Control Bypass）	Windowsのユーザー権限昇格機能を無効化し、管理者権限で不正コードを実行する攻撃手法。
MaaS（Malware as a Service）	マルウェアをサービスとして提供・販売するビジネスモデル。誰でも簡単に攻撃を行える点が問題視されている。
サブスクリプションモデル	定期課金制の販売形態。マルウェアでも「利用期間制」で提供されるケースが増えている。
ダッシュボード	攻撃者が感染状況や収集データを可視化できる管理画面。被害者数や送信ログなどを確認可能。
ダークウェブ（Dark Web）	一般の検索エンジンではアクセスできない匿名通信ネットワーク。違法取引や情報販売が行われる領域。
リポジトリ（Repository）	ソースコードや開発履歴を保管する場所。GitHubでは各プロジェクト単位でリポジトリが作成される。
モニタリング（Monitoring）	システムやネットワークの状態を継続的に監視すること。マルウェアの早期発見や不正利用防止に重要。

カメラ機能のトリガー：「アダルト関連語」検出で自動撮影

Stealerium派生マルウェアの特徴の一つに、ユーザーの閲覧行動を“条件トリガー”として盗撮を自動化する仕組みがあります。単純な情報窃取にとどまらず、ユーザーの心理的弱点を突くためにカメラを悪用するという点で、従来のスティーラーとは一線を画します。特に、ブラウザのウィンドウタイトルやタブ名を監視し、あらかじめ設定されたアダルト関連語を検出すると、即座にスクリーンショットとウェブカメラ映像を同時取得する機能が確認されています。

こうして取得された画像や映像は、一時的にローカルストレージ内に暗号化されたフォルダとして保存され、後続処理で自動的に圧縮・送信されます。送信先はTelegramボットAPIやDiscord Webhookなど、正規サービスを悪用したC2通信チャネルが多く、通信内容が暗号化されるため検知が難しくなっています。特に、データはBase64形式でエンコードされるか、ZIP暗号付きで送信されるケースが多く、一般的なトラフィックモニタリングでは見逃されやすい構造になっています。

この機能の危険性は、単なる“カメラハイジャック”にとどまらない点にあります。Stealerium派生系は、映像やスクリーンショットと同時にブラウザのCookieやパスワードも取得するため、脅迫だけでなく、金融・暗号資産・SNSアカウントなどへの不正アクセスにも直結します。実際に欧米のセキュリティ研究機関では、映像とともに暗号資産ウォレット情報が窃取された事例も報告されています（出典：European Union Agency for Cybersecurity（ENISA）“Threat Landscape Report 2024”）。

実装のポイント

Stealerium派生系のカメラトリガー機能は、複数の検知回避・情報収集テクニックを組み合わせることで高いステルス性を実現しています。

ブラウザ起動オプションやリモートデバッグの悪用
Chromium系ブラウザ（Google Chrome、Edgeなど）が提供するリモートデバッグポートを悪用し、ユーザー操作をシミュレートすることでCookie保護機構（Protected Storage API）を回避します。これにより、通常のブラウザ保護設定では防げない範囲まで認証データを抜き取ります。
Wi-Fi情報の列挙と位置推定
コマンドラインツールnetsh wlan show profilesやnetsh wlan show networksをループ実行し、接続済みおよび周辺のWi-Fiネットワーク情報を収集します。SSIDやBSSIDを解析することで、おおまかな地理的位置を特定できるため、被害者の実在確認や追加攻撃（たとえば特定地域へのフィッシング）に悪用される可能性があります。
解析回避と環境チェック
仮想環境（VMware、VirtualBoxなど）やサンドボックス、デバッガを検出するコードが組み込まれており、解析ツールが起動している場合は自動的に活動を停止します。また、システムクロックの差分を測定し、タイミング操作による逆アセンブル解析を妨害することもあります。
プロセス名の照合とブロックリスト更新
セキュリティ製品や解析支援ツール（Wireshark、Process Monitorなど）のプロセス名を動的に照合し、見つかった場合は即座に終了処理やスリープを挿入する挙動が観測されています。ブロックリストはC2サーバから随時更新されるため、従来のシグネチャ検知では追随が難しい構造です。

これらの技術が組み合わさることで、取得から送信までの一連の動作が完全に自動化され、感染後わずか数分で映像・スクリーンショット・認証情報の漏洩が発生します。つまり、ユーザーが何か“異常”を感じたときには、すでにデータ流出が完了している可能性が高いのです。

専門用語の補足

用語	説明
トリガー（Trigger）	ある条件を満たしたときに自動的に処理を実行する仕組み。ここでは「特定の語句を検出したら撮影を開始する」という条件動作を指す。
ローカルストレージ（Local Storage）	ユーザーの端末内にデータを一時的または永続的に保存する領域。ブラウザやアプリケーションが一時ファイルや設定を保持する際に利用する。
C2通信（Command and Control Communication）	マルウェアが攻撃者の管理サーバー（C2サーバ）と通信して指令を受け取ったり、盗んだデータを送信したりする仕組み。
Base64エンコード	バイナリデータをテキスト形式に変換する符号化方式。通信内容を難読化する目的でマルウェアに多用される。
ZIP暗号化	圧縮ファイル（ZIP形式）にパスワード保護を施すこと。メール添付やデータ転送時の隠蔽に利用される。
カメラハイジャック（Camera Hijacking）	コンピュータやスマートフォンのカメラを不正に制御し、本人の知らないうちに映像を撮影・送信する行為。
Cookie保護機構（Protected Storage API）	ブラウザが認証情報やセッションデータを暗号化して保存する仕組み。正規アプリ以外が読み取れないよう設計されている。
リモートデバッグポート（Remote Debugging Port）	開発者がブラウザの挙動を外部から確認・制御するための機能。悪用されると内部データへの不正アクセスが可能になる。
netsh wlan	Windows標準のネットワーク設定コマンド。Wi-Fiネットワークの一覧取得や接続設定の確認ができる。
SSID／BSSID	SSIDはWi-Fiネットワーク名、BSSIDはアクセスポイントを識別する物理アドレス。これらの情報から位置推定が可能になる。
仮想環境（VMware・VirtualBoxなど）	物理PC上で仮想的に別のOSを動作させる技術。マルウェア解析や安全なテスト環境に利用される。
サンドボックス（Sandbox）	プログラムを隔離環境で動作させ、外部への影響を防ぎながら挙動を観察するセキュリティ技術。
デバッガ（Debugger）	プログラムの動作を解析・修正するための開発者ツール。マルウェアは解析防止のため検出して自動終了することがある。
逆アセンブル解析（Disassembly Analysis）	実行ファイルを命令単位に分解して内部処理を解析する手法。セキュリティ研究やマルウェア分析で多用される。
プロセス名照合	動作中のプログラム（プロセス）名を監視し、特定の解析ツールやセキュリティ製品を検出・排除する機能。
ブロックリスト（Blacklist）	実行を禁止するプログラムやプロセスの一覧。マルウェアは自身を守るため、解析関連のツールをブロックリストに登録することがある。
スリープ挿入（Sleep Injection）	一定時間プログラムの動作を停止させる手法。解析環境を欺く目的で使用される。
ENISA（European Union Agency for Cybersecurity）	欧州連合の公式サイバーセキュリティ機関。EU圏内の脅威分析・防御策をまとめた報告書を定期的に発行している。

Phantom・Warpなど、Stealerium派生系の台頭

Stealeriumのオープンソースコードを基盤に、多数の派生マルウェアが誕生しています。その中でも特に注目すべきは「Phantom Infostealer」と「Warp Stealer」です。これらは単なるコピーではなく、サイバー犯罪の“商業化”を象徴する存在です。

Phantom Infostealerは、サブスクリプションモデルで販売される「MaaS（Malware-as-a-Service）」型マルウェアの代表例です。契約者は専用ポータルでビルド済みの実行ファイルを生成し、被害者数やログ取得状況をダッシュボードで閲覧できます。利用料金は2週間単位で約70ドルからとされ、誰でも容易に攻撃を実行できる環境が整っています。

一方のWarp Stealerは、より技術的に洗練された構造を持ちます。初期段階のローダーがUAC（ユーザーアカウント制御）をバイパスし、次にEDR（Endpoint Detection & Response）やAV（アンチウイルス）を停止するモジュールを展開。その後、改造版Stealeriumを最終ペイロードとして注入します。この多段階設計により、検知率を下げつつ長期間の潜伏を可能にしています。

こうした派生マルウェア群は、地下フォーラムで共有される「再利用可能なコード断片」や「設定テンプレート」によって連携しており、一種の“エコシステム”を形成しています。つまり、1つの検体を分析しても、同系統の他の派生が次々と現れるという「無限再生構造」が存在しているのです。この構造が、マルウェアの多様化と拡散スピードを支えていると言えます。

専門用語の補足

用語	説明
Phantom Infostealer	Stealerium派生の一つで、商用的に販売されるインフォスティーラー。サブスク形式で配布され、ユーザー管理用の管理画面を通じて被害状況を確認できることが多い
Warp Stealer	Stealerium系の技術を拡張した亜種で、多段階のローダー構造や検知回避モジュールを組み合わせて最終ペイロードを展開する高度な攻撃ツール
専用ポータル	攻撃者や購入者がマルウェアの設定やビルド、配布状況を管理するウェブ型の管理画面。被害者データの閲覧や設定変更が可能
ビルド済み実行ファイル	攻撃者が配布用にあらかじめコンパイル・生成した実行形式ファイル。利用者はソースの理解を要せずに配布・実行できる
ペイロード（Payload）	ローダーやドロッパーが最終的に配布・実行する本体の悪意あるコード。情報窃取やバックドア設置など主要な攻撃機能を担う
コード断片（コードスニペット）	フォーラムや共有サイトで交換される短いプログラム片。攻撃者はこれを組み合わせて新たなマルウェア機能を素早く構築する
設定テンプレート（コンフィグテンプレート）	マルウェアの動作設定（ターゲット語句、送信先、永続化手法など）を定義したひな形。非技術者でも容易に攻撃を展開できるようにする
地下フォーラム（サイバー犯罪フォーラム）	攻撃者同士がツール、サービス、攻略情報を売買・共有するオンラインコミュニティ。マルウェアの配布やサポートもここで行われることが多い
マルウェア・エコシステム	マルウェア開発者、配布者、サービス提供者、サポート業者などが相互に関係し合う産業的な生態系。再利用性や商業化を支える構造を指す
多段階感染（マルチステージ感染）	小さなローダーが段階的に機能を読み込み、順次権限昇格や検知回避を行って最終的に本体を展開する手法。単一段階より検出が困難になる

感染経路の実態：メール1通で始まる人生崩壊

Stealeriumおよびその派生マルウェアの感染経路の多くは、極めてシンプルです。多くのケースでは、たった1通のメールが発端となります。攻撃者は、件名・差出人・本文のすべてを巧妙に偽装し、受信者が無意識に添付ファイルを開くよう誘導します。特に多いのは、次のような手口です。

支払い期日や督促を装う「請求書」
裁判所や行政機関を名乗る「召喚状」
有名企業の人事・経理部を偽装した「給与明細」
航空会社・旅行代理店を装った「予約確認」

添付ファイルは、ZIP・RAR・ISO・IMG・PDFなどの形式で偽装されており、中には実行ファイル（.exeや.scr）が潜んでいます。ユーザーが誤ってこれを開くと、ローダーが起動し、C2サーバーからドロッパーをダウンロードします。このドロッパーは、UACバイパスやEDR停止を試みながら、最終的なStealerium派生スティーラーを展開します。

一連の流れは数十秒以内に完了することが多く、その後はバックグラウンドで情報収集・盗撮・送信が継続的に行われます。感染後は、OS再起動後も永続化処理により活動が続き、ユーザーがタスクマネージャーなどで異常を検出することはほとんどできません。

このように、感染の出発点は「メール添付」というごく日常的な行動に潜んでいます。企業や個人がこれを防ぐためには、添付ファイルの自動隔離・実行制御ポリシーの導入、そして「見慣れない送信者からのファイルは開かない」という習慣の徹底が不可欠です。加えて、EDR製品によるPowerShell実行監視やプロセスツリー分析を組み合わせることで、感染初期段階での封じ込めが可能になります。

企業と個人を襲う「カメラ乗っ取り」リスク：Stealerium派生マルウェアの脅威と対策

●このセクションで扱うトピック

Telegram・Discord・Zulipを使ったデータ流出ルート
カメラ乗っ取りを支える技術：PowerShell・Defender除外・永続化
心理的脆弱性を突く：羞恥と恐怖を利用した社会工学
検知指標とIOC：観測されたSHA256・通信先の一覧
Stealeriumによるカメラ乗っ取りに関するのまとめ

Telegram・Discord・Zulipを使ったデータ流出ルート

近年のインフォスティーラーは、情報を盗み出すだけでなく、いかに確実に外部へ送信するかという点に重点を置いて設計されています。通信が1経路でも遮断されれば攻撃が失敗するため、複数の送信ルートを併用し、リダンダンシー（冗長化）を確保するのが一般的です。これにより、検知や遮断をかいくぐりながら高確率でデータ流出を成立させます。

Stealerium系では、メールのSMTP送信やファイル共有APIの利用に加えて、Telegram、Discord、Zulipなどの正規メッセージングサービスを悪用するケースが増えています。これらのサービスは、組織や開発チームの業務で広く利用されているため、不審通信として検知されにくいのが特徴です。また、暗号化通信（HTTPS/TLS）を使用していることから、DLP（データ損失防止）システムやIDS（侵入検知システム）による可視化が難しくなっています。

代表的な流出経路の整理（例）

送信手段	想定される使われ方	リスクの要点
SMTPメール	盗んだデータをZIP形式で圧縮添付して送信	送信元アドレスの偽装が容易で、ログ追跡を回避しやすい
Discord Webhook	チャンネルにファイルやテキストを投稿	業務利用と混在し、企業ネットワークでは検知が難しい
Telegram Bot API	sendDocumentやsendMessageメソッドでデータを転送	モバイル利用に紛れやすく、リアルタイム転送が可能
Gofile・AnonfilesなどのストレージAPI	一時サーバを選択してデータをアップロード	匿名利用・再配布が容易で、削除要求も実効性が低い
Zulip API	アカウントを紐づけてメッセージとして投稿	監視対象外になりやすく、社内SaaS利用の盲点になる

これらの送信経路は、多層的に設定されていることが多く、ひとつの経路を遮断しても別の経路が自動的に有効化されます。特にTelegram Bot APIは、単純なHTTP POSTで動作し、トークンさえあれば即座にファイル転送が可能なため、攻撃者にとって非常に扱いやすい通信手段です。また、DiscordのWebhookはAPI制限が緩く、1つのトークンで複数のチャンネルへ同時送信できるため、数百件単位の被害報告にも対応可能です。

このような複数経路の冗長化設計により、セキュリティ担当者は単一の通信遮断やURLブロックだけでは被害を防げない状況に直面しています。対策としては、通信プロトコル単位での異常検知（たとえば、通常業務時間外におけるDiscord通信の急増）や、APIトークンの挙動監査を導入することが有効です。
さらに、ゼロトラスト型ネットワークを採用し、外部通信ごとに動的ポリシーを適用することで、これらの流出経路を段階的に封じることが可能となります。

専門用語の補足

用語	説明
SMTP	電子メールを送受信するための標準プロトコル（Simple Mail Transfer Protocol）。サーバ間でメールを中継する際に使われる
ZIP形式	ファイルを圧縮し複数ファイルを一つにまとめるフォーマット。パスワードで保護できるためデータ隠蔽に利用されることがある
DLP（Data Loss Prevention）	組織内の機密データの流出を防止するための仕組みやソフトウェア。ファイル転送やメール送信の内容を検査して遮断できる
IDS（Intrusion Detection System）	ネットワークやホストの通信・動作を監視し、不正な侵入や攻撃の兆候を検出するシステム
HTTPS／TLS	Web通信を暗号化する仕組み。TLSは通信の暗号化を提供するプロトコルで、HTTPSはそれを用いたHTTP通信の安全版を指す
Gofile／Anonfiles	匿名性の高い無料ファイル共有サービスの例。攻撃者は一時的なアップロード先として利用し、再配布や長期保存に悪用することがある
APIトークン	外部サービスのAPIを利用する際に発行される認証情報（文字列）。これを使えばプログラムからファイル送信などを自動化できる
HTTP POST	Webサーバへデータを送信するためのHTTPメソッドの一つ。ファイルやフォームデータの送信に広く使われる
冗長化（リダンダンシー）	単一障害点を避けるために同じ機能を複数用意する設計。攻撃では複数経路を持つことで送信失敗を回避する狙いがある
APIトークン挙動監査	発行されたAPIトークンの使用状況を監視・分析すること。不正利用や異常な利用パターンを検出するのに有効
ゼロトラスト型ネットワーク	内部・外部の区別なく全ての通信を検証する考え方。接続ごとに認証と権限確認を行い、最小権限でアクセスを許可する方式

カメラ乗っ取りを支える技術：PowerShell・Defender除外・永続化

Stealeriumおよびその派生マルウェアの中核には、Windows環境を深く理解した上で設計された“持続的な潜伏機構”があります。これは単なる情報窃取ではなく、システムへの長期的な居座りと検知回避を目的とした一連の処理で構成されています。

最初のステップとして、攻撃者はPowerShellを利用してWindows Defenderに除外ルールを追加します。具体的にはAdd-MpPreference -ExclusionPathや-ExclusionProcessコマンドを使い、自身の実行ファイルや一時フォルダをスキャン対象から外します。この操作は管理者権限を必要としますが、感染初期段階で権限昇格を試みるコード（UACバイパス）が組み込まれているため、実行されてしまうことが多いのです。

次に、永続化のためにスケジュールタスクやレジストリRunキーが設定されます。スケジュールタスクでは/SC MINUTEオプションを用いて定期実行を設定し、再起動後も活動を継続します。Runキーでは「MicrosoftUpdateService」「DefenderHealthTask」などの正規名を偽装し、ユーザーに気付かれないよう工夫されています。

また、ブラウザからCookieやセッション情報を抜き取る際には、リモートデバッグポートを利用します。これは通常、開発者がWebアプリのデバッグを行うための機能ですが、攻撃者はこの仕組みを悪用してブラウザプロセスにアクセスし、保護領域のデータを読み取ります。さらに、netsh wlan show profileコマンドを連続実行してWi-Fiネットワークのプロファイルを収集し、SSID・BSSIDなどの情報から位置推定を行うことも確認されています。

解析回避の手法も高度です。GPU名やユーザー名をブラックリストと照合し、研究者用の仮想環境や既知の解析アカウントであれば自動停止します。プロセス監視ツール（Procmon、Wiresharkなど）の起動を検知してスリープモードに入るケースもあり、動的解析を大きく困難にします。

このような検知回避機構を突破するためには、EDR（Endpoint Detection and Response）のテレメトリを細かく観測することが重要です。具体的には以下のような項目を連携して可視化する必要があります。

PowerShellの実行引数およびスクリプトブロックログの監査
Windows Defender設定変更イベントの監視（Event ID 5007など）
スケジュールタスク作成（Event ID 4698）の検出
ChromeやEdgeのヘッドレスモード起動オプションの解析
異常なネットワークコマンド実行（netsh, ipconfig /allなど）の追跡

これらを組み合わせた行動ベースの検知により、従来のシグネチャ方式では見逃されていた活動を把握できるようになります。特に、PowerShell経由でDefender設定を変更する動作は、通常の業務ではほとんど発生しないため、明確な侵入兆候として検知可能です。

防御側がこのような低レベルの挙動を監視・解析できる体制を整えることこそ、Stealerium型攻撃の最も有効な防御手段となります。

専門用語の補足

用語	説明
PowerShell	Windowsに標準搭載された強力なコマンド実行環境。スクリプトやコマンドでシステム管理を自動化できるため、マルウェアでも悪用されやすい
Add-MpPreference	Windows Defenderの設定をPowerShellから変更するためのコマンドレット。除外パスやプロセスを追加する際に使われる
ExclusionPath / ExclusionProcess	Windows Defenderのスキャン対象から除外するファイルパスやプロセスを指定する設定項目。除外されると当該項目は検知対象から外れる
Runキー（レジストリ）	Windowsのレジストリにある自動実行用のキー（例：HKCU\Software\Microsoft\Windows\CurrentVersion\Run）。起動時の常駐設定に用いられる
スケジュールタスク（Task Scheduler）	Windowsの定期実行機能。/SC MINUTEのようなオプションで短周期実行を設定でき、永続化に悪用されることがある
Event ID 5007	Windows Defenderの設定変更に関するイベントIDの一例。Defender除外や設定変更の検出に使われる（環境によってIDは異なる場合あり）
Event ID 4698	Windowsの監査イベントで、スケジュールタスク作成を示すイベントID。タスクによる永続化の痕跡として重要な手がかりになる
スクリプトブロックログ	PowerShellが実行したスクリプト内容を記録する機能。攻撃に使われたコマンドを追跡するための重要なログソース
ヘッドレスモード（Headless）	ブラウザがグラフィカル表示なしで動作するモード。自動処理やスクレイピングに使われ、悪用されると通常のUI監視で気付かれにくい
ipconfig	Windowsのネットワーク設定を表示するコマンド。インターフェース情報やIPアドレスなどを取得する際に使われる
テレメトリ（EDRテレメトリ）	EDRなどのセキュリティ製品が収集する活動ログやイベント情報の総称。細かなプロセス挙動やコマンド実行履歴の分析に利用する
シグネチャ方式検知	既知のマルウェアパターン（ファイルハッシュやバイト列）を基に検出する従来型の手法。難読化や派生に弱い点がある
行動ベース検知（振る舞い検知）	プログラムの振る舞い（例：Defender設定変更→外部通信）を基に異常を判断する検出方法。TTPに基づく検知に近い

心理的脆弱性を突く：羞恥と恐怖を利用した社会工学

サイバー攻撃の多くは、技術的な脆弱性ではなく「人間の心理的な隙」を突くことで成立します。Stealeriumをはじめとするインフォスティーラーも例外ではなく、被害者の羞恥心や恐怖心を最大限に刺激するように設計されています。メールやメッセージの件名、本文、添付ファイルの名称やデザインに至るまで、受信者が“反射的にクリックしてしまう”よう心理的誘導が組み込まれています。

典型的な手口としては、「支払い期限の切迫」「法的手続きの開始」「セキュリティ違反の警告」「予約確認」「スキャン済み請求書」などがあります。これらはいずれも人間の不安や焦りを呼び起こすテーマであり、社会工学的観点から極めて効果的です。とくにアダルト関連サイトや性的内容をトリガーにした盗撮手法は、羞恥心を利用して支払いを即決させる“最後の一押し”として機能します。実際に、攻撃者は被害者の映像を偽装または実際に撮影した画像とともに送りつけ、「公表されたくなければ支払え」という形で脅迫を行うことがあります。

企業環境においても、この心理的操作は深刻な影響をもたらします。特に、私用端末から業務システムへアクセスするケースや、非公式のコミュニケーションツール（いわゆるシャドーIT）を通じた情報の持ち出しはリスクを高めます。従業員が“自分のミスを隠そう”という羞恥心から報告を遅らせることで、感染拡大や二次被害が発生するケースも少なくありません。

こうした攻撃に対抗するには、技術的防御だけでは不十分です。セキュリティ教育においては、「羞恥」や「恐怖」を利用した脅迫に対して冷静に対応する訓練が欠かせません。組織としては、従業員がミスや感染を報告しやすい心理的安全性を確保することが極めて重要です。また、国家レベルでも社会工学攻撃の増加が認識されており、国立研究開発法人情報通信研究機構（NICT）が公表した調査では、フィッシングや詐欺メールの約7割が「心理的動機付け」を要素として含んでいると報告されています（出典：NICT「NICTER観測レポート2024の公開」）。

最終的に、人間の心理を悪用する攻撃は防御システムをすり抜ける可能性が高く、唯一の対抗策は「教育」と「冷静な判断力」です。感情的な反応を抑え、どのようなメールや通知もまず疑う姿勢を持つことが、自身と組織を守る第一歩になります。

検知指標とIOC：観測されたSHA256・通信先の一覧

Stealeriumおよびその派生ファミリーは、複数のステージに分かれた感染チェーンを持ち、単純なファイルスキャンでは全貌を把握できません。多くの事例で、最初に圧縮実行ファイルやスクリプト（VBS、JS、BATなど）が投入され、それがローダーやドロッパーとして機能し、最終的に改造版のStealeriumが展開される流れが確認されています。この多層構造によって、セキュリティ製品による初期検出を回避しつつ、時間差で本体を展開することが可能になります。

セキュリティ担当者は、以下のようなIOC（Indicators of Compromise：侵害指標）を参考にすることで、初動対応や封じ込めを効率化できます。特にSHA256ハッシュや通信先URLの識別は、感染経路を追跡する上で有用です。

参考となるIOC例（抜粋）

種別	値	備考
SHA256	d4a33be36c…a6914c0e	圧縮実行ファイル（SCR形式）
SHA256	41700c8fe2…b8b23	金融テーマのVBScriptペイロード
SHA256	b640251f82…d676e	スキャン支払いを装ったJSペイロード
SHA256	a00fda931a…df4bb	旅行関連テーマの圧縮実行ファイル
SHA256	e590552eea…3f45e	予約問い合わせ＋永続化機能搭載型
SHA256	50927b350c…81e3	法務関連テーマのVBScript＋IMG併用
URL	hxxps://api.telegram.org/bot…/sendDocument	Telegram Bot API経由でのデータ送信
URL	hxxps://softstock.shop/download/Adobe%20Acrobat%20Update.exe	ダウンロード誘導URL（偽アップデート）

これらの指標は、単体ではなく相関分析によって真価を発揮します。たとえば、EDRログ、プロキシ通信記録、DNSクエリ、メールゲートウェイのアラートを突き合わせることで、感染の全体像を特定できます。特に「PowerShell実行→Defender設定変更→通信先APIアクセス」という一連の挙動が見られる場合、Stealeriumまたはその派生マルウェアの関与が強く疑われます。

IOCはあくまで過去の観測値であり、攻撃者は頻繁にC2アドレスやハッシュ値を更新してきます。そのため、TTP（Tactics, Techniques, and Procedures）に基づく検知、すなわち“行動そのもの”の監視が必要です。MITRE ATT&CKのフレームワークで言えば、「T1059: Command and Scripting Interpreter」「T1071: Application Layer Protocol」「T1112: Modify Registry」などの技術的行動がStealerium活動の指標として該当します。

このように、IOCとTTPを組み合わせた分析によって、検知精度と再現性を高めることができます。セキュリティチームは定期的にIOCフィードを更新しつつ、自社環境での挙動監視ルールに反映することが求められます。

個人と企業が取るべき7つの防御策

不審なメール添付は開かない
OSとブラウザ、セキュリティ製品を最新に保つ
ウェブカメラに物理カバーを付ける
二要素認証を広範囲に適用する
パスワード管理ツールで使い回しを排除する
ウォレットはホットとコールドを分離する
ネットワーク監視で外向き通信の変化を追う

専門用語の補足

用語	説明
SHA256	ファイルの内容から生成される固定長のハッシュ値（256ビット）。改ざん検知やファイル一致判定に用いられ、マルウェアの識別でよく使われる
SCR形式	Windowsのスクリーンセーバー用実行ファイルの拡張子（.scr）。実行可能ファイルとして扱われるため、マルウェア偽装に悪用されることがある
VBS（VBScript）	Windowsで動作するスクリプト言語の一つ。簡潔な自動化やファイル操作が可能で、ペイロードやローダーに利用されることがある
JS（JavaScript）	本来はウェブページ上で動作するスクリプト言語だが、悪用されるとローカルでのファイル実行やダウンロードを引き起こすことがある
BAT（バッチファイル）	Windowsのコマンドを順次実行するテキストファイル形式。簡単に実行可能で初動攻撃に使われる例が多い
DNSクエリ	ドメイン名をIPアドレスに変換する問い合わせ。異常なドメイン問合せはC2通信やデータ流出の兆候となるため監視対象になる
相関分析	複数種類のログ（EDR、プロキシ、DNS、メールゲートウェイなど）を突合して事象の関連性を明らかにする手法。単独インジケータより精度が高い
TTP（Tactics, Techniques, and Procedures）	攻撃者の戦術・技術・手順を示す概念。IOCが示す痕跡に対し、TTPは“行動そのもの”を捉える観点を提供する
MITRE ATT&CK	攻撃者のTTPを体系化したフレームワーク。検知カバレッジや対策の優先順位付けに広く利用される（例：T1059などの識別子が用いられる）
DNSログ	ネットワーク機器やDNSサーバが記録するドメイン名問い合わせの記録。C2ドメインやドメイン生成アルゴリズムの検出に有用