注文メール＋RAR の JScript から XLoader：共有セクションでインジェクションを拾う
業務メールの添付 RAR 内 JScript が LuaJIT 互換バイナリを書き出し、最後に共有セクションへ XLoader を載せて別プロセスの実行位置だけ切り替える。添付実行・書き出し・ntdll 改変・セクション共有を一連で相関させる。
いつ使うか
- 注文・見積・支払いを装うメール経由の情報窃取が増えているとき
- EDR で「プロセスホローイングではないのにインジェクションらしい」動きを追うとき
攻撃の流れ（防御側が見る点）
- ギリシャ語などの注文確認メール＋RAR。中身は難読化 JScript のみ、という例が報告されている。
- 実行するとドキュメントフォルダーへ LuaJIT 互換 EXE と拡張子なし Lua を書き出し、非表示起動。
- Lua 側で AMSI／ETW 妨害を試み、パック済み PE を LuaJIT プロセス内にマップして自プロセス指定のスレッドで実行。
- XLoader 本体は、稼働中の x86 か SysWOW64 配下候補を一時停止起動し、両プロセスに同じ共有セクションをマップして複製の入口へ実行位置を切り替え。WriteProcessMemory 全体書き込みやリモートスレッド新規作成に頼らないため、古典的ホローイング検知だけでは足りない。
検知・対応のヒント
- メールゲートウェイで「RAR／JS／拡張子なしスクリプト」の組み合わせを強調表示または隔離。
- エンドポイントで、ユーザー文書フォルダーへの LuaJIT 風バイナリ書き出し＋直後の共有セクション作成／MapViewOfFile を相関。
- ntdll 上のセキュリティー関連関数の書き換え試行を記録（成功しなくても意図の痕跡）。
- 感染後はブラウザ保存パスワード・暗号資産ウォレット・トークンを前提に、Microsoft 365 のトークン窃取からの復旧は「パスワード再設定だけ」で終わらせないと同様の初動を取る。
- C2 一覧にはおとりホストが混ざる報告あり。復号ホスト一覧だけで遮断リストを確定しない。
注意
- 同系統の配信で Agent Tesla／Remcos／XWorm も観測されている。ファミリー名だけでプレイブックを固定しない。
- 攻撃手順の再現はしない。相関ルールと添付ポリシーの設計に使う。