Blender資産を悪用したStealC V2情報窃取マルウェア拡散 - SecureShield セキュリティニュースまとめ

Source:https://thehackernews.com/2025/11/hackers-hijack-blender-3d-assets-to.html

🛡 概要

3Dアセット配布サイト（例：CGTrader）上の悪性.blendファイルを起点に、情報窃取型マルウェア「StealC V2」を配布するキャンペーンが確認されています。Blenderでファイルを開いた際に自動実行されるPythonスクリプト機能（Auto Run）を悪用し、PowerShell経由でZIPを取得・展開してStealC V2および二次のPythonベース窃取ツールを実行します。過去にElectronic Frontier Foundation（EFF）を装った作戦と戦術面の類似性が指摘されており、実機GPU環境を前提とすることでサンドボックス回避を狙う点も懸念です。CVSSは該当脆弱性が公表されていないため評価対象外（機能悪用）です。

🔍 技術詳細

攻撃者は、無償の3Dアセット配布サイトにトロイの木馬化した.blendファイルを投稿します。ファイル内には「Rig_Ui.py」などのスクリプトが埋め込まれており、Blender側で「Auto Run（Pythonスクリプトの自動実行）」が有効な環境で開かれると、ユーザー操作なしに当該Pythonが実行されます。Blender公式ドキュメントが警告している通り、.blendに含まれるPythonは任意処理が可能であり、今回は当該スクリプトが外部からPowerShellスクリプトを取得・起動、そのPowerShellが2つのZIPをダウンロードします。1つはStealC V2本体のペイロードを含み、もう1つはPythonベースの二次窃取モジュールを展開します。StealC V2（2025年4月下旬にアップデートが公表）は23種のブラウザ、約100の拡張機能、15の暗号資産ウォレット、メッセージング、VPN、メールクライアントなど広範なアプリから資格情報やセッション、機微データを収集し、バックグラウンドでC2へ送信します。通信は一般的なHTTP(S)プロトコルを用いる傾向があり、アナリストの観測では過去作戦と同様、デコイドキュメントや難読化、バックグラウンド実行といった回避手口が併用されています。加えて、3D制作環境は物理GPUを有する実機で運用されることが多いため、仮想環境ベースの自動解析を回避しやすい条件が整っている点も攻撃者に利しています。

⚠ 影響

被害ホストからはブラウザ保存の資格情報、拡張機能データ、ウォレット秘密情報、VPN・メールクライアントの認証情報、メッセージングアプリのトークン等が窃取され、業務アカウントの乗っ取り、横展開、二次被害（不正送金・暗号資産損失、SaaS侵害、社内Git/設計データ流出）に直結します。3D制作パイプライン上で使用するDCCツールが停止・検疫されれば、レンダーファームや納品スケジュールにも重大な遅延を生じます。

🛠 対策

Blender設定の強化：Auto Run（Preferences → File → Auto Run Python Scripts）をデフォルトで無効化。信頼済みソースのみに限定し、検証環境で事前開封する運用を徹底。
アプリ制御：AppLocker/WDACでpowershell.exe、powershell_ise.exeの無署名・ユーザ領域からの実行を禁止。PowerShellはConstrained Language ModeとScript Block Loggingを有効化。
ネットワーク制御：不審ドメイン/URLへのHTTP(S) POST制限、ZIP/実行ファイルの外向きダウンロード制御、プロキシでのMIME/拡張子フィルタ。
EDR/AV：Blender→Python→PowerShellの子プロセス連鎖、ZIP展開直後のブラウザプロファイルアクセス、C2通信を検出ルール化。
サンドボックス代替：実機GPU環境での動的解析手順を整備（隔離ネットワーク・偽装資格情報・監視付き）。
ユーザー教育：アセット入手元の厳格化、レビュー/評価の確認、初回はオフラインで開く等のプレイブック化。

CVSS：該当なし（機能悪用であり、Blenderの既知脆弱性CVEは本件には提示されていません）。

📌 SOC視点

プロセス監視：blender.exe → python.exe（または内蔵Python）→ powershell.exe の親子関係（Windows Event 4688、Sysmon EID 1）。
スクリプト監査：PowerShell Script Block Logging（Event ID 4104）で Invoke-WebRequest/Start-BitsTransfer/Expand-Archive 等の連続使用。
ネットワーク：Sysmon EID 3でblender.exe/powershell.exe発の外向き通信、初回起動直後のHTTPS POSTを特定。
ファイル操作：一時フォルダ配下のZIPダウンロードと展開（Sysmon EID 11/23）。
痕跡：ブラウザプロファイル・ウォレット関連ディレクトリへの短時間大量アクセス、認証トークン/クッキーの読み出し。
封じ込め：該当端末のネットワーク隔離、資格情報強制リセット、SaaS/OAuthトークン失効、二要素の強制。

📈 MITRE ATT&CK

Initial Access – T1204.002 User Execution: Malicious File（ユーザーが.blendを開くと自動実行により感染が開始）
Execution – T1059.006 Command and Scripting Interpreter: Python（.blend内のPythonスクリプトが起動）
Execution – T1059.001 Command and Scripting Interpreter: PowerShell（Python経由でPowerShellを実行しZIP取得・展開）
Defense Evasion – T1497 Virtualization/Sandbox Evasion（物理GPU前提の実機で動作させ、仮想環境検知を回避）
Command and Control – T1071.001 Application Layer Protocol: Web Protocols（HTTP/HTTPSでC2通信）
Collection – T1555.003 Credentials from Web Browsers（ブラウザ保存資格情報・拡張機能からの抽出）
Exfiltration – T1041 Exfiltration Over C2 Channel（収集データをC2へ送出）

根拠：Auto Runでの.blend内Python実行、PowerShell経由のZIP取得、幅広いアプリからの情報窃取およびC2通信という観測事実に基づく対応付け。

🏢 組織規模別助言

小規模（〜50名）：Auto Runを原則無効、アセット入手を限定。EDR/NGAVの標準ポリシーでPowerShellの制限を有効化。被害時は端末初期化と全アカウントの即時パスワード変更。
中規模（50〜500名）：WDAC/AppLockerの段階的展開、プロキシでZIP/実行形式の外部取得を審査、Blender専用の検証用オフライン端末を用意。SaaS連携のトークン失効手順を整備。
大規模（500名以上）：DCCツール用のゼロトラスト分離セグメント、eBPF/EDRでのプロセス連鎖検知チューニング、レンダーファーム/アーティスト端末を含む攻撃面リスク評価、脅威ハンティング定常化。