ブラジル向け地獄絵図 — 地域と言語で分岐するGuildma（Astaroth）の感染連鎖をSANSが再現

SANS Internet Storm Center（ISC）は2026年9月1日、ブラジルのポルトガル語で書かれたフィッシングメールから始まる**Guildma（別名Astaroth）**の感染を、実験室のWindowsホストで再現した結果を報告した。報告を執筆したのは同センターのハンドラーであるBrad Duncan氏で、メールヘッダ、配信リンク、ダウンロードされるファイル、代替データストリーム（ADS）を悪用した永続化、通信先までを具体的なハッシュ値とともに公開した。Duncan氏によると、この感染連鎖はアクセス元の地域と言語設定によって挙動を分岐させ、ブラジル以外からのアクセスには正規のインストーラを返して解析を回避する。

メールとリンク — ブラジル以外には正規ファイルを返す分岐

SANS ISCが分析したメールは、差出人を「Contrato Via Docusing」、件名を「Assine com o Docusing: CONTRATO_ASSINATURA_FINAL.40572684.BPSE.CONTRATOS.DIGITAIS.pdf」として2026年8月26日に送信されたものだった。ヘッダでは送信元IPが185.254.222.105（relatorio01a.colombstracciatella.cfd）と記録され、本文にはcanadacentral-01.azurewebsites.net上のリンク（hxxps://sistema-ekg3h4htc0h0ggdh.canadacentral-01.azurewebsites[.]net/）が含まれていた。

Duncan氏が実験室でリンクを検証したところ、このリンクはジオフェンシングを実装していた。ブラジルのIPアドレス、かつブラウザとOSの言語・地域設定がブラジルのポルトガル語（pt-BR）である場合にのみマルウェアを配信し、それ以外の条件ではAndroid Studioの正規インストーラを返した。SANS ISCは、この分岐が自動解析や国外の研究者による検出を妨げる狙いだと説明している。

感染連鎖 — ZIP→LNK→ADS→DLL→AutoIt

リンクからダウンロードされたのはZIPアーカイブ（ファイル名868283789726483.zip、SHA-256: cc44782356cb0effc528a7ab22c19ab360a55ebbbe01feb0967031aa191c5869、1,661バイト）で、内部にはWindowsショートカット（868283789726483.lNk、SHA-256: 47d2908c4dd7f6f5eb4a8ef4306077b10315c44231f4bacd2bb811b245561911、1,553バイト）が1件だけ含まれていた。

ショートカットを実行すると、外部のWebサーバからコンテンツを取得し、ユーザのAppData\Local\Temp配下に作成したファイル（例: n1LUQ7.log）の**代替データストリーム（ADS）**として保存する。ADSに保存されたのは64ビットDLL（SHA-256: a6044786991afdb9d42ceb350943987765a7d0e8537369b2092e3f019c0f63ca、266,242バイト）で、Duncan氏によるとこのDLL自体は一見無害に見えるが、Guildma本体であるAutoItパッケージの取得と導入に使われた。

最終的に永続化されたのはコンパイル済みのAutoItスクリプト（SHA-256: f62a958faf0491b2b2803be2ee69b664b58e4a1261f64e8530cdc1a3ff666aa4、277,874バイト）で、保存先はC:\Users\Public\Libraries\.cache\PLAX\Beatz.LEDPRO.09662.8729.422.logだった。SANS ISCは、このAutoItパッケージがGuildmaの永続化を担い、以後の情報窃取や追加モジュールの展開の起点になると説明している。なお、Duncan氏は今回のハッシュ値の多くがこの感染事例に固有のものであり、別の事例では異なる値になる可能性があると注意を促している。

通信先と検出の手がかり — SANSが公開したIoC

感染したWindowsホストは、HTTPS（TCP 443）で複数のドメインと通信した。SANS ISCが公開したIoCによると、通信先にはリンクと同じekg3h4htc0h0ggdh.canadacentral-01.azurewebsites[.]netに加え、plosancol.aguamammillaria[.]cfd、crironxil.aguasedum[.]cfdが含まれた。さらに、TCPでomzagdmspc.a.pinggy[.]link:21601への通信も観測された。Duncan氏は、感染後にWhatsAppやGitHubの正規ドメインへのHTTPS通信も見られたが、正規の通信と区別するため今回のIoCには含めなかったと付記している。過去の同キャンペーンではGitHubの悪用が指摘されており、今回も関連する可能性があるとしている。

SANS ISCは、Wiresharkでフィルタした感染トラフィックや、感染ホストで永続化されたファイルのスクリーンショットも公開し、解析の再現性を担保している。

日本の組織が注意すべき点 — 地域分岐とADSの悪用

SANS ISCが示したように、Guildmaはブラジルを標的とする地域特化型のバンキングトロジャンとして知られるが、配信基盤はAzure Websitesやcfdドメイン、pinggyのリレーといった汎用的なインフラを悪用しており、他地域への転用も技術的には可能である。日本企業にとって直接の標的ではないとしても、ZIP内のLNK（ショートカット）やADSを用いたDLLの潜伏、AutoItによる永続化といった手口は、他のマルウェアでも共通して観測される。

SANS ISCは、メールのリンクを安易に開かないこと、ショートカット（.lnk）やスクリプト実行を伴うZIPの取り扱いに注意すること、エンドポイントでADSを含む不審なファイル作成やC:\Users\Public\Libraries配下への異常な書き込みを監視することを推奨しているわけではないが、公開されたハッシュ値やドメイン、TCPポートの情報は、組織のプロキシやDNS、EDRでの検出・ブロックに活用できる具体的な手がかりになる。同センターは、これらのIoCが事例固有である可能性を踏まえ、継続的な監視と情報共有の重要性を強調している。

出典

• SANS Internet Storm Center, Brad Duncan氏「Guildma (Astaroth) malware infection from Brazilian Portuguese email」（2026年9月1日公開） — https://isc.sans.edu/diary/rss/33300