🛡 概要
3Dモデル配布サイト（例：CGTrader）に投稿された悪性のBlender .blendファイルを起点に、情報窃取型マルウェア「StealC v2」が配布される事案が観測されています。Blenderは自動化のためにPythonを実行でき、利便性からAuto Run（Python自動実行）を有効にしている利用者が多い点を攻撃者が悪用します。本件では、悪性.blendに埋め込まれたPythonがローダーを取得し、PowerShellで追加ペイロードを落とし込み、永続化の後にStealC本体が動作します。3Dアセットは実行可能ファイル同様に扱い、信頼できない出所のファイルはサンドボックスで評価することが推奨されます。
🔍 技術詳細
攻撃チェーンは以下の通りです。まず、ユーザーが悪性の.blendファイルを開くと、Auto Runが有効な環境では埋め込みPythonコードが自動実行され、Cloudflare Workersドメイン上のローダーへアクセスします。そのローダーがPowerShellスクリプトを取得し、攻撃者管理のIPから「ZalypaGyliveraV1」「BLENDERX」という2つのZIPアーカイブをダウンロードします。ZIPは%TEMP%に展開され、WindowsのスタートアップフォルダにLNKショートカットを作成して永続化を確立します。続いて、情報窃取本体のStealCと、冗長性確保のためとみられる補助的なPythonベースのスティーラーが展開されます。
StealC v2最新変種は、23以上のブラウザ（Chrome 132+を含む）からの資格情報窃取、100以上の暗号資産ウォレット拡張や15以上のウォレットアプリ、Telegram/Discord/Tox/Pidgin、VPN（ProtonVPN/OpenVPN）、メールクライアント（Thunderbird）など幅広いアプリから機密を収集します。資格情報のサーバー側復号やUACバイパスの更新も観測されています。研究者の報告では、当該サンプルはVirusTotal上で未検知だった時点があり、既存のAV/ML検知を回避する可能性が示唆されます。なお、これは製品の脆弱性悪用ではなく、機能悪用と社会工学の組合せであるため特定のCVEやCVSSは該当しません（CVSS適用対象なし）。
⚠ 影響
被害端末からはブラウザ保存資格情報、セッションCookie、ウォレット秘密鍵/シード、メッセージング/メールのトークンや会話、VPN設定などが窃取され、アカウント乗っ取り、暗号資産盗難、業務システムへの不正アクセス、追加の横展開やBEC詐欺の足掛かりとなります。スタートアップ永続化により、再起動後も継続的な情報流出・コマンド実行が可能になり、検知が遅れるほど被害が拡大します。クリエイティブ部門やサプライヤが足掛かりになるサプライチェーン・リスクにも注意が必要です。
🛠 対策
設定・端末ハードニング: Blenderの「Edit ＞ Preferences」で「Auto Run Python Scripts」のチェックを外す。必要時は限定的な検証環境のみで有効化する。業務端末ではAppLocker/WDACでblender.exeからのpowershell.exe起動を禁止、PowerShellはConstrained Language Modeと実行ポリシー/AMSIログを有効化。ユーザー権限を標準に限定し、UACを常に通知。3DアセットはMIME/拡張子に関わらず不審ソースを隔離検証（仮想環境/沙箱）。
ネットワーク防御: Egress制御で未知ドメイン/直接IPへのHTTP(S)通信を制限し、開発・CG制作用途でも許可リスト方式を採用。DNS/HTTPログでWorkers系ホスティングや短命ドメインへのアクセスをモニタ。TLS検査可能範囲でスクリプト/アーカイブ拡張子ダウンロードを可視化し、パターン化されたURLやユーザーエージェントを検知。
運用・教育: 3Dモデル/アドオンの入手元を承認マーケットと実績ある発行者に限定。クリエイター向けに「3D資産＝実行可能」の意識付けと、初回は隔離検証する手順を教育。検証済みテンプレート/アセットの社内レポジトリを整備。
📌 SOC視点
ハンティング観点: 1) プロセスツリー: blender.exe → python.exe/powershell.exe（Windows Security 4688, Sysmon 1）。2) ネットワーク: blender.exe/powershell.exeの外向きHTTP(S)（Sysmon 3）、Workers系ホスティングや生IPへの接続。3) ファイル生成: %TEMP%へのZIP展開、%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\*.lnk作成（Sysmon 11）。4) PowerShellロギング: ScriptBlock、Module、AMSIでInvoke-WebRequest/Start-BitsTransfer、-EncodedCommandの使用。5) 自動起動痕跡: スタートアップLNK、Runキー（T1547.001相当）。6) ブラウザ/ウォレットデータへの大量アクセス（ファイルハンドル/レジストリ）。インシデント対応では、端末隔離、プロセスメモリ/ネットワークトラフィックの取得、LNKと配置元の完全削除、資格情報リセット、ウォレット再生成（新シード）を優先。
📈 MITRE ATT&CK
初期アクセス: T1204.002 User Execution: Malicious File（悪性.blendをユーザーが開く）／実行: T1059.006 Python（Blender内の自動実行Python）、T1059.001 PowerShell（ローダー/取得・展開）／永続化: T1547.001 Registry Run Keys/Startup Folder（Startup配下LNK）／コマンド&制御: T1071.001 Web ProtocolsおよびT1105 Ingress Tool Transfer（Workers等からローダー/ZIP取得）／防御回避: T1027 Obfuscated/Compressed Files（ZIP圧縮/難読化）、T1548.002 Bypass User Account Control（UAC回避の更新版）／収集・資格情報: T1555.003 Credentials from Web Browsers、T1005 Data from Local System／流出: T1041 Exfiltration Over C2 Channel。
🏢 組織規模別助言
小規模: Auto Run無効化を標準化し、EDR/NGAVの導入とEgress制御を基本から。クリエイティブ端末に検証用VMを用意。中規模: WDAC/AppLockerでスクリプト実行とプロセス間起動を制御し、PowerShell監査とAMSI集中可視化。DLPでウォレット/資格情報の不審アクセスを監視。大規模: クリエイティブ資産のサプライヤ評価とゼロトラストEgress、CTI連携でWorkers/短命ドメインのリスク指標を即時反映。SOARで検知から隔離/資格情報リセットまで自動化。
🔎 類似事例
StealC v2の機能拡張と検知回避を分析した2024年の研究報告、ならびに3D制作ツールのスクリプト自動実行機能を悪用したマルウェア配布事例が複数確認されています。本件はCVE起因ではなく、マーケットプレイス経由のコンテンツ供給と機能悪用の組合せが特徴です。
🧭 次の一手
直ちにBlenderのAuto Run設定を点検・無効化し、SOCは「blender.exe→powershell.exe」の検知ルールを配備。クリエイティブ部門向けに「アセット隔離検証フロー」を策定・訓練してください。あわせて、PowerShell制御（CLM/AMSI）、Egress許可リスト、Startup/LNK監視の3点を優先実装すると効果的です。
