今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、南米のユーザーを標的とした高度なバンキング型トロイの木馬「Astaroth」について分析します。 また、当チームでは、攻撃チェーン全体を制御し、頻繁に「 MonsterV2 」マルウェアを展開する高度な脅威アクター「TA585」に関する最新情報も提供しております。 最後に、脅威アクターが高度なテクニカルサポート詐欺において、マイクロソフトの信頼性の高いブランドをいかに悪用しているかについて考察します。
Astarothトロイの木馬は、マルウェアの設定ファイルをホストするためにGitHubを利用しています
マカフィーは、ユーザーが銀行や仮想通貨のウェブサイトにアクセスした際にキーロガー機能を用いて認証情報を盗み出す、高度なバンキング型トロイの木馬「アスタロス」に関する詳細を、 で公開しています。
この亜種が特に頑強である理由は、GitHubリポジトリ（ ）を に活用し、マルウェアの設定をホストするとともに、従来のコマンド＆コントロール（C2）サーバーの閉鎖を回避している点にあります。
[増大するサイバー脅威から金融サービス企業を守りましょう――Taniumがリアルタイムの可視化と制御を実現する方法をご覧ください]
アスタロスのフィッシングメール
この攻撃は、「 」という件名のフィッシングメール（ ）から始まります。このメールには、クリックするとZIPファイルがダウンロードされるリンクが含まれています。 マカフィーによると、これらのメールに含まれるおとりは、多くの場合、DocuSignのリンクや履歴書に関連しているとのことです。
ダウンロードされたZIPファイルには、難読化されたJavaScriptコマンドを含むLNKファイルが含まれています。 マカフィーによると、各リンクには地域制限がかけられているとのことです。
ダウンロードされたJavaScriptは、ランダムに選ばれたサーバーからいくつかのファイルをダウンロードします。 ダウンロードされたファイルには、AutoItでコンパイルされたスクリプト、AutoItインタプリタ、暗号化されたペイロード、および暗号化されたマルウェアの設定ファイルが含まれています。 JavaScriptはAutoItスクリプトを実行し、シェルコードをメモリ上に読み込みます。
ペイロード解析
アスタロスは、この作戦におけるペイロードです。 このマルウェアはDelphiで記述されており、分析されていると判断するとシステムをシャットダウンします。 このプログラムは、システム上にいくつかのツールが存在するかどうかを確認し、システムのロケールが米国に関連していることを確認し、開いているブラウザを継続的にチェックします。 このマルウェアは、銀行関連のサイトや仮想通貨関連のサイトが開かれたことを検知すると、キーボードのイベントをフックして、キー入力を収集します。
C2 通信・インフラ
盗まれた認証情報は、独自のバイナリプロトコルを使用して、攻撃者の C2 サーバーに送信されます。
マカフィーによると、この設定は2時間ごとに更新されるとのことです。 この更新は、「設定更新用URLから画像ファイルを取得し、その画像から隠された設定情報を抽出する」という手順で行われます。 設定ファイルは、保存されている形式の都合上、非表示になっています。 マカフィーは、同じパターンの画像ファイルが含まれているGitHubのリポジトリをいくつか特定しましたが、それらはすべてその後削除されました。
永続性を確保するため、アスタロスは起動時に実行されるLNKファイルをドロップし、システム起動時にAutoItスクリプトを実行してマルウェアを起動させます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃者は、検知を回避するために、信頼されているプラットフォームを悪用するケースが増えています。 この特定の攻撃者は、画像にデータを埋め込むことでマルウェアを通常のトラフィックに溶け込ませるための特別な手段を講じており、これにより防御側が異常を検知することがより困難になっています。
これは現在、非常にきめ細かくて的を絞ったものであり、特に米国に関連するロケールを持つシステムは対象外となっていますが、その手法は世界中で適用可能です。
TA585 は、フィッシング攻撃においてMonsterV2 個のマルウェアを配信しています
Proofpointは先日、「 」と題する調査報告書を発表しました。この報告書では、攻撃チェーン全体を自ら制御し、強力なマルウェア「MonsterV2 」を頻繁に展開して、認証情報を盗み出し、監視を行い、さらなるペイロードを配信する高度な脅威アクター「TA585」について取り上げています。
[アクセス制御がセキュリティを強化し、組織の保護にどのように役立つかをご覧ください]
Proofpointによると、 TA585 は、欺瞞的な餌（）、高度なソーシャルエンジニアリング（）、およびClickFixやCoreSecThreeといったインフラを活用して、検知を回避し、影響を最大化しているとのことです。
キャンペーンの詳細
TA585 は通常、侵害されたウェブサイトを通じてマルウェアを拡散させますが、こうしたサイトでは、被害者に偽のCAPTCHAが表示されることがよくあります。 被害者がコピーされたスクリプトを実行すると、マルウェアがダウンロードされます。
また、Proofpointは、この攻撃者のマルウェアのペイロードが、偽のCAPTCHAページサイトではなく、電子メールを介して配信されていることも確認しました。 これらのメールは主にGitHubからの通知であり、攻撃者は偽のセキュリティ通知の中でGitHubユーザーをタグ付けしていました。 他の研究者たちも、この攻撃者がマルウェア広告を通じてマルウェアを配信していることを確認しています。
ニュースで報じられているCAPTCHA関連の脅威の増加ここ数ヶ月、CAPTCHA関連の脅威は進化を続け、より巧妙化するとともに、フィッシング、マルウェアの配布、認証情報の窃取を目的としたキャンペーンに組み込まれるようになってきています
。当社の最近の調査から、注目すべき4つの報告をご紹介します
：1. ClickFixの復活： CAPTCHAを悪用してステルス性と持続性を確保する高度な脅威キャンペーンにおけるClickFixの復活について、詳細な分析をご覧ください。
2。 ClickFixキャンペーンによるCAPTCHAの悪用： 進化し続けるキャンペーンにおいて、攻撃者がどのようにCAPTCHA回避手法を活用しているかを探ります。
3。 UNC5518件のキャンペーンに見られる偽のCAPTCHAページ： UNC5518 が、ClickFixとCORNFLAKE.V3 を組み合わせて難読化を行っている仕組みについて解説します。
4。 AIによる難読化が施されたフィッシングにおけるCAPTCHA: CAPTCHAが、フィッシング攻撃やマルウェアの配布を隠蔽するためにどのように利用されているかをご覧ください。
約 MonsterV2 のマルウェアについて
MonsterV2 は、情報窃取型マルウェアと展開型マルウェアの両方の役割を果たし、StealCなどの追加のマルウェアを配布することがよくあります。 他の攻撃者たちも「 MonsterV2 」マルウェアを使用しています。 Proofpointは、IRSに関連するおとり手法を用いたキャンペーンにおいて「 MonsterV2 」を検知した際、2025年2月 で初めてこの「101」を特定しました。
Proofpointによると、このマルウェアには、ログイン情報、トークン、ブラウザデータ、ファイルなどを列挙し、外部へ持ち出す機能など、いくつかの機能が備わっているとのことです。 また、被害者のウェブカメラを録画したり、デスクトップを閲覧したり、キーロガー機能を利用したり、さらなるペイロードをダウンロードして実行したりするなど、さまざまな機能があります。 また、Proofpointの調査によると、このマルウェアはCIS諸国への感染を回避することが判明しました。 このマルウェアは、現在も積極的にメンテナンスや更新が行われています。
初期化時、このマルウェアは自身の権限を昇格させようとし、その後、システム上にミューテックスを作成しようとします。 その後、設定ファイルを復号・解凍し、あるドメインに接続して感染したシステムのIPアドレスと位置情報を取得してから、 C2 サーバーに接続します。
MonsterV2 およびSonicCryptクリプター
Proofpointの調査によると、 MonsterV2 種類のマルウェアは通常、SonicCryptという暗号化ツールを使用してパックされていることが判明しました。 SonicCryptによってパッケージ化されたマルウェアには、分析を困難にするために、意図的に大量のジャンクコードが含まれています。 SonicCryptは、ペイロードをロードする前に、いくつかの解析防止チェックを実行し、その後、ディスク上のファイルにペイロードを書き込んで実行します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
TA585 はCIS諸国を避け、マルウェアの展開時にジオフェンシングを利用しています。これは、地域的な提携関係があること、あるいは現地の法執行機関を回避しようとする試みを示唆している可能性があります。
この攻撃主体が、配信からペイロードに至るまで攻撃インフラを全面的に制御していることは、第三者サービスへの依存度を低減しようとしているという興味深い展開を示しています。 これは、俳優たちが サードパーティのサービス を活用して周囲に溶け込もうとする現在の傾向とは異なります。
悪意のある攻撃者が、テクニカルサポート詐欺においてマイクロソフトのロゴを悪用しています
Cofense（）によると、脅威アクターはマイクロソフトの信頼性の高いブランドイメージを悪用し、高度なテクニカルサポート詐欺を実行しているとのことです。
この攻撃は、支払いを促すおとりメールから始まり、偽のCAPTCHAを経由して、偽のマイクロソフトのセキュリティ警告が満載のブラウザロックページに被害者を誘導し、ユーザーに偽のサポート番号へ電話をかけるよう強要します。 通話が始まると、攻撃者は認証情報を盗み出そうとしたり、リモートアクセスツールをインストールしようとしたりします。
この詐欺は、現在出回っている他の詐欺と似ています。 しかし、この手口はソーシャルエンジニアリングと、偽のシステムアラートやUIオーバーレイを組み合わせたものであり、そのためにより手口が巧妙で危険なものとなっています。
[最近の脅威活動においてMicrosoft Teamsがどのように標的とされているか、またコラボレーション環境を保護するためにどのような対策を講じることができるかについてご説明します]
攻撃の概要
このキャンペーンのメールでは、金銭的な利益や銀行取引に関連する典型的な詐欺の手口を用いて、被害者を誘い込んでいます。 これはレンタカー会社からの払い戻しや支払いであるかのように装い、受信者に対し、資金を受け取るためにメールアドレスの確認を求めるものです。
被害者がメールアドレスの確認ボタンをクリックすると、偽のCAPTCHAページに誘導され、そこで認証手続きを行うことになります。 人間であることを確認した後、被害者は再び本来のランディングページにリダイレクトされます。 このランディングページこそが、このキャンペーンが従来の詐欺の手口を一歩先を行く場所なのです。
ランディングページにアクセスすると、被害者の画面には、マイクロソフトのセキュリティ警告を装った複数のポップアップが表示されます。 ブラウザが操作され、ロックされているように見せかけられ、ユーザーはマウスの位置を確認したり操作したりできなくなります。 このロックは見せかけのもので、ESCキーを押し続けるだけで簡単に回避できます。
この攻撃は、マイクロソフトのブランド名、ロゴ、用語、および警告のスタイルといった、被害者が慣れ親しんでいる要素を利用し、被害者をだまして偽のマイクロソフトサポートの電話番号に電話をかけさせるものです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンでは、ブラウザを「ロック」することでランサムウェアの被害状況を再現し、被害者にパニックを起こさせ、衝動的な判断を下させるよう仕向けています。 また、長年にわたるユーザーの信頼を悪用するためにマイクロソフトのブランド名を利用しているほか、偽のCAPTCHAを用いて、その行為が正当なものだとユーザーにさらに信じ込ませようとしています。
その結果、このキャンペーンは、 や といった従来のテクニカルサポート詐欺よりも、より大きな成功を収める可能性があると言えます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ へアクセスし、Taniumのディスカッションフォーラム へお進みいただき、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
