「Avalon」モジュラー型フレームワーク、ISO＋LNKの多段フィッシングでEDRをすり抜け、CrownXランサムまで一気通貫です

今日の深掘りポイント

• ISOイメージ内LNK起点の多段フィッシングは、メール検査とユーザー認知の双方の盲点を突く古典＋現代の合わせ技です。Avalonはそこに防御回避・横移動・復旧妨害・暗号化を一体化し、運用負荷の低い「侵害の自動化」を志向しているように見えます。
• ランサム機能「CrownX」を内包することで、認証情報収集から暗号化・恐喝までのマネタイズ鎖を短縮し、攻撃者のスループットを押し上げます。コスト低下は中小規模や委託先を巻き込む被害の裾野拡大に直結します。
• AI活用の兆候が示された点は、平準化・量産化のフェーズ入りを示唆します。コード品質の均質化は検知の特徴量を薄め、シグネチャ依存の検出はさらに厳しくなります。
• Microsoft DefenderやCrowdStrikeの回避機能を備えるとの報告は、EDRの「在る前提」を逆手に取る設計思想を意味します。振る舞い・制御面の多層化と、運用監視の“減衰しないシグナル”の設計が鍵です。
• 直近の運用では、ISO/IMG/LNKのメール流通ブロック、WDAC/AppLockerのボリューム制御、LSASS保護や横移動面の抑止、vssadmin系の復旧妨害のモニタリング強化を即応で進める価値が高いです。

はじめに

新たに観測されたモジュラー型マルウェア「Avalon」は、偽の法的文書に見せかけたメールを起点に、ISOイメージ内のショートカット（LNK）をユーザーに実行させる古典的ながら今も有効な手筋で初期侵入を得ます。その後は、認証情報の収集、横展開、リモート操作、復旧妨害、そしてCrownXと名付けられたランサムウェアによる暗号化へと、攻撃ライフサイクルをワンストップで駆け抜けます。報告ではAI活用の痕跡にも触れられており、攻撃者側の開発・運用コストはさらに逓減している印象です。緊急性と新規性のバランスから見て、いま施策に落とし込む価値が高い案件と判断します。

参考: The Hacker News: New ‘Avalon’ Malware Framework Packs CrownX Ransomware

深掘り詳細

事実の整理（公開情報ベース）

• 配布手口は多段のフィッシングチェーンで、偽の法的文書メールをトリガーにISOイメージ内のLNKを実行させる流れです。
• フレームワークはモジュール式で、認証情報・暗号資産ウォレット情報の収集、横移動、リモートアクセス、復旧妨害、ランサム実行（CrownX）までを備えます。
• 収集データはリモートサーバへ送信され、攻撃者のC2経由の運用が前提です。
• Microsoft DefenderやCrowdStrikeなど一般的なエンドポイント防御からの回避機能を備えると報告されています。
• 開発過程にAI活用の兆候が示され、マルウェア開発の参入障壁低下が示唆されています。
• 出典は公開レポートに基づきます（詳細なIOCやバージョン差分などの一次テレメトリは未掲載のため、技術的細部は現時点の範囲での理解です）。

出典: The Hacker News

編集部のインサイト（仮説を含む）

• 一体化の意味合い: 認証情報収集→横移動→復旧妨害→暗号化までを「同一フレームワーク内で閉じる」設計は、RaaSの外注依存を減らし、オペレーションの可観測性（攻撃者目線）を高めます。これにより失敗率低下と平均滞在時間の短縮が見込まれ、結果として検知可能な“移動のノイズ”も減る傾向が出ます。
• ISO＋LNKの粘り強さ: ISOはメールゲートウェイのデコンパイルやプレビューの難しさ、LNKは拡張子偽装やLoLBins呼び出しの踏み台として機能します。ユーザーとの“協働”を必要とするため教育で潰しやすいように見えますが、法務・会計・購買など「外部とやり取りの多い部門」での業務要件と衝突するため、現実には技術的制御の優先度が上がります。
• AI活用の含意: コード片の均質化、ドキュメント化の整然さ、モジュール間インタフェースの一貫性などがAI関与のシグナルになり得ます（仮説）。検知の観点では「乱雑ゆえのユニークさ」が薄れ、統計的特徴量に依存したモデルは逆に苦戦します。ゆえに、プロセス関係・権限移行・ボリューム属性など、環境依存で崩しにくいテレメトリに比重を移すべき局面です。
• 防御回避の方向性: EDRプロセスの列挙回避やセンサー盲点の悪用（ユーザー書き込み可能・信頼されにくいボリューム上での実行、標準ツール連鎖の悪用）が想定されます。これは「EDRが検知しきれない状況」を作る前提のため、許可実行の面（WDAC/AppLocker）とネットワーク制御（プロキシ経由強制・未知宛先遮断）を合わせて“見えにくいものを通さない”設計が要点です。
• 日本の組織への射程: 業界横断の汎用ルアー（法的文書）とWindows主体の業務エンドポイント前提で、規模や業種を問わず波及し得ます。委託・再委託が多い国内のサプライチェーンでは、一次防御の弱い下流からの横展開が現実的リスクです。

脅威シナリオと影響

以下は公開情報に基づく仮説シナリオとMITRE ATT&CKの想定マッピングです。組織の環境に合わせて読み替える前提で活用ください。

• シナリオA：中堅製造業の経理部門を起点に、ファイルサーバ暗号化へ

  • 初期侵入: スピアフィッシング添付（ISO＋LNK）［T1566.001, T1204.002］
  • 実行・持続化: スクリプト経由のペイロード展開、スタートアップ/レジストリによる永続化［T1059, T1547］
  • 認証情報: LSASS/ブラウザ/ウォレットからの抽出（Avalon機能）［T1003, T1555］
  • 横移動: 盗用資格情報によるRDP/SMB/管理ツール転用［T1021, T1077, T1105］
  • 復旧妨害: シャドウコピー削除・バックアップ妨害［T1490］
  • 影響: CrownXによる暗号化・恐喝［T1486, T1657（情報公開による圧力の仮説）］

• シナリオB：フィンテックでの資格情報・ウォレット窃取と二重の収益化

  • 収集・窃取: ブラウザ保存情報/ウォレットデータ吸い上げ［T1555, T1005, T1041］
  • 影響: ランサム要求と並行し、暗号資産の即時移転（仮説）。二重のマネタイズで被害額拡大。

• シナリオC：MSP経由の多テナント横展開

  • 初期侵入はMSPのユーザーを起点に、仮想ストレージやRMMツールの資格情報を奪取し、複数顧客に横展開［T1078, T1021］
  • 影響は地理・業種を越境し、同時多発的な暗号化と復旧妨害に波及（仮説）。

総じて、短期的に実害化しやすく、技術的にも導入コストの低い戦術が組み込まれている印象です。検知・阻止・復旧の各レイヤで、依存を一箇所に寄せない設計が生存戦略になります。

セキュリティ担当者のアクション

“いますぐできること”と“30日以内に固めること”を分けて提示します。現場の運用負荷とバランスを取りつつ、Avalonの鎖を各所で切断する意図です。

• 今日から1週間で

  • メール／添付コントロール
    • ISO/IMG/VHD/VHDX/LNKのメール流通を原則ブロック、やむを得ない業務は代替手段を定義します。
    • 添付の自動展開／プレビュー禁止、ディスクイメージの隔離サンドボックス実行を徹底します。
  • エンドポイントの実行面制御
    • WDAC/AppLockerでユーザー書き込み可能パスや一時ボリューム、マウントドライブ（CD-ROM属性）からの実行を拒否します。
    • スクリプト実行（PowerShell、wscript/cscript、mshta）の制御を引き締め、サイン済み・許可リスト運用を導入します。
  • 認証情報保護
    • LSA保護（RunAsPPL）、WDigest無効化、ブラウザ保存パスワードの禁止とパスワードマネージャ移行を推進します。
  • 復旧妨害の検知強化
    • vssadmin/wmic/wbadmin/PowerShell経由のシャドウコピー削除・バックアップ停止コマンドを高優先度アラート化します。
  • ハンティング観点（ツール非依存の観測点）
    • 新規にマウントされたドライブ直下のLNK実行→スクリプト/LOLBin連鎖という親子プロセス関係を狙い撃ちで可視化します。
    • エンドポイントからの未知ドメイン/未観測IPへの初回外向き通信を検出し、メール受信イベントと相関します。
  • 横移動抑止
    • 管理共有（C$, ADMIN$）・RDPの一時的閉塞、ローカル管理者のランダム化、LAPS の適用徹底を進めます。

• 30日以内に

  • バックアップと復旧
    • 変更不可（WORM/イミュータブル）ストレージ＋オフライン複製を確保し、RTO/RPOを実測で検証します。復旧妨害手口（T1490相当）を踏まえた演習を行います。
  • ネットワーク境界と外向き制御
    • 全HTTP/HTTPSをプロキシ経由に強制、未知宛先のブロックとDNSログの長期保持を実施します。
  • アイデンティティ分割
    • 管理者アカウントのティア分離、業務端末での特権使用禁止、サービスアカウントの最小権限化と資格情報の種類（非委任・制約付き委任）見直しを行います。
  • 検知エンジニアリング
    • “ユーザー操作に見せかけた実行”と“復旧妨害”をコア・シグナルに据え、アラート疲れを招かないルールに再編します。
  • レスポンス体制
    • 二重恐喝を前提に、法務・広報・経営を巻き込んだ意思決定のタイムラインと役割分担を明文化します。テーブルトップ演習で検証します。

• 継続的なインテリジェンス

  • 「Avalon」「CrownX」をキーに、IOCだけでなくTTPの変化（ISO以外のディスクイメージ移行、LNK以外のトリガー、EDR回避の更新）を追跡します。
  • セキュリティベンダアップデートを定期確認し、シグネチャ依存と振る舞い検知の“両輪”を維持します。

最後に、今回のメトリクスからは、短期の実害化リスクと運用に落とし込みやすい対策の両方が読み取れます。一方で、情報の成熟度は今後の解析で上がっていきます。いまは「潰せる手筋を確実に潰す」ことで、次の派生バリアントにも効く基礎体力を付ける段階です。日々の小さな改善が、ある朝の“大事”を未然に防ぎます。今日のうちに、一つでも実装していきます。

参考情報

• The Hacker News: New ‘Avalon’ Malware Framework Packs CrownX Ransomware