今週のまとめでは、CTIが「Emansrepo」と呼ばれるPython製の情報窃取型マルウェアについて調査しています。このマルウェアは電子メールを介して拡散し、3つの異なる攻撃チェーンを持っています。 続いて、CTIでは、過去1年間に公開された 19 のトップレベルドメイン（TLD）を網羅した、パロアルト社の最新のレポートを取り上げます。 最後に、CTIは、Earth Luscaとして知られる中国語圏の脅威アクターによる新しいマルチプラットフォーム型バックドア「KTLVdoor」の概要を紹介して締めくくります。
1. Emansrepo Stealerは電子メールを介して拡散しています
フォーティネットの研究者らは最近、「Emansrepo」（ ）と呼ばれる のPython製情報窃取型マルウェアを検知しました。このマルウェアは、偽の注文書や請求書が添付された電子メールを通じて拡散します。
フォーティネットによると、このマルウェアは、ブラウザやファイルからのデータを圧縮してから、外部へ流出させるそうです。 このキャンペーンは、 2023年11月 から実施されています。
Emansrepoの攻撃チェーン
研究者らは、7月から 2024年8月にかけて、3つの異なるEmansrepo攻撃チェーンを確認しました。 調査結果によると、このキャンペーンによる攻撃の流れは、ますます複雑化しているようです。
- 最初のチェーンには、ダウンロードページを装ったドロッパーを含むメールの添付ファイルが含まれています。 フォーティネットによると、このコードは「Purchase-Order.7z」のデータを指すリンク要素を作成し、click() メソッドを使用して 7z ファイルを「ダウンロード」した後、無関係なウェブサイトへリダイレクトするとのことです。 この圧縮ファイルには、情報を盗み出すためのPythonモジュールを含む、AutoITでコンパイルされた実行ファイルも含まれています。
- 2番目のチェーンでは、そのメールにはHTAファイルが含まれたZIPファイルが添付されています。 JavaScript ベースのソースファイルを使用して、次の段階に必要な PowerShell スクリプトをダウンロードします。
- 3つ目の攻撃経路は、難読化されたバッチファイルへのリンクが記載されたフィッシングメールによるものです。 これにより、PowerShellスクリプトがダウンロードされ、実行されます。
Emansrepoのマルウェア
この情報窃取型マルウェアは、盗んだデータを一時フォルダに保存し、そのデータを攻撃者に送信した後、その情報を削除します。
このマルウェアは、ログイン情報、クレジットカード情報、閲覧履歴、ダウンロード履歴など、さまざまな情報を収集しようとします。 その後、デスクトップ、ドキュメント、ダウンロード、最近使ったファイルの各フォルダからPDFファイルをコピーし、ブラウザ拡張機能や暗号資産ウォレットなどのフォルダを圧縮します。 また、このマルウェアはクッキーファイルをコピーし、そのデータをZIP形式で圧縮します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃チェーンを絶えず進化させていることに加え、この攻撃者は一度に複数のチェーンを使用しているか、あるいは少なくとも、あるチェーンから次のチェーンへと非常に素早く切り替えています。
幸いなことに、これらの攻撃チェーンはすべて、 からのフィッシングメール から始まっているようです。このメールでは、セキュリティ意識向上トレーニングの教材によく取り上げられる、一般的な「発注書／請求書」を装った手口が使用されています。
2。 パロアルト社が新たな報告書でトップレベルドメインについて明らかにしました
パロアルト社は最新のレポートにおいて、過去1年間に公開された 19 のの新しいトップレベルドメイン（TLD） について分析しています。
同社の調査により、複数の大規模なフィッシング攻撃に加え、潜在的に望ましくないプログラムの配布が行われていたことが明らかになりました。 また、新しいTLDの一般提供開始日と、その人気との間には相関関係があるようです。
TLDの導入段階
同報告書によると、TLDは段階的に導入されるとのことです。 各TLDは、権威あるデータベース（レジストリ）で管理されており、公開には承認が必要です。
承認後、サンライズ、ランドラッシュ、アーリーアクセス、一般提供など、複数の段階を経ます。
- 必須のサンライズ期間中は、有効な商標登録記録をお持ちの方のみが登録を行うことができます。
- ランドラッシュ期間中は、特定のドメイン名やプレミアムドメイン名について、一般向けの登録受付が行われます。 場合によっては、オークションになることもあります。
- 一部のTLDでは、正式リリースに先立ち、プレミアム価格でドメインを登録できる早期登録期間が設けられます。
- 最後に、このTLDは一般提供に移行し、一般の方々が利用できるようになります。
- データソース
パロアルト社の調査は、最近公開された、あるいは一般提供に先立ち前述のいずれかの段階にある 19 のTLDに焦点を当てています。 TLDには、.bot、.box、.case、.channel、.dad、.esq、.foo、.ing、.lifestyle、.living、.meme、.mov、.music、.nexus、.phd、.prof、.vana、.watches、および.zipが含まれます。
事例紹介
パロアルト社は、グラフベースの検知システムを用いて、ドメインを分析し、関連データを抽出し、可視化を行いました。 研究者たちは、各グラフをクラスタリング処理にかけ、共通点を探りました。 調査の結果、大規模なフィッシング攻撃、潜在的に望ましくないプログラム（PUP）の配布、いたずらやミームを目的としたキャンペーン、およびトレントサイトなどが明らかになりました。
ある活動グループの調査により、被害者にQRコードをスキャンさせるよう仕向けるおとり手口が明らかになりました。 この攻撃は、被害者にテキストメッセージのやり取りをさせようとし、さまざまな詐欺やスパム、データ収集キャンペーンに巻き込もうとするものです。 このキャンペーンでは、合計で「.bot」というTLDに属する 92 のドメインが使用されました。
その他の事例や特定されたキャンペーンについては、 およびパロアルト社のレポート『』をご覧ください。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
パロアルト社の分析からは、いくつかの興味深い点が明らかになりました。 例えば、攻撃者は、主要なニュース記事、新技術、新たに発見された脆弱性、および新しいTLDを活用することで、変化し続ける脅威の状況を見極め、それを悪用する傾向があることが確認されています。
また、彼らの研究は、TLDが作成されるやいなや、脅威アクターがいかに迅速にそれを悪用し、攻撃に利用し得るかを明らかにしています。 そのため、すべてのドメイン、特に不審なドメインについては、細心の注意を払うことが重要です。
3。 Earth Luscaが、新しいマルチプラットフォーム対応のバックドアを展開しています
トレンドマイクロの最近の報告によると、「Earth Lusca」として知られる中国語圏の脅威アクターが、現在、「KTLVdoor」と呼ばれる新しい マルチプラットフォームバックドア（ ）を使用しているとのことです。
がさまざまなシステムユーティリティに偽装するこのバックドアは、 50 ,C2 台以上のサーバーが関与した大規模な攻撃で確認されました。 現時点では、研究者たちはこの作戦の標的として、中国に拠点を置くある商社のみを特定しています。
KTLVdoorマルウェアの解析
この新しいバックドアは高度に難読化されており、さまざまなシステムユーティリティを装っています。 攻撃者は、このツールを、ファイル操作、コマンドの実行、リモートポートスキャンなど、さまざまな目的で使用します。 研究者たちは、このマルウェアのWindows版およびLinux版を発見しました。
- マルウェアの難読化：前述の通り、このマルウェアは高度に難読化されています。 トレンドマイクロによると、多くの埋め込み文字列は判読不能であり、記号が削除されており、ほとんどの関数やパッケージの名前が、一見ランダムに見える文字列に変更されているとのことです。
- の設定：このマルウェアの最初のステップは、XOR暗号化され、値が Base64-encodedであるエージェントの設定パラメータを初期化することです。 このファイル形式は、「KTLV」が先頭に付加された、独自のTLV-live形式です。 構成構造体の一部として、HostInfo構造体があります。この構造体には、ユーザー名、IPアドレス、ホスト名、プロセス名、OS、ディスク、稼働時間、スリープ時間など、感染したマシンに関するパラメータが含まれています。
- の接続設定： C2 台のサーバーは「connect」値として保存されており、AES-GCM で暗号化されています。また、 Base64-encoded 台も同様です。
- による通信：初期化が正常に完了すると、エージェントは C2 サーバーとの通信ループを開始します。 この通信では、GZIPで圧縮され、暗号化されたメッセージを送受信します。 メッセージは、シンプレックスモードまたはデュプレックスモードで送信することができます。
- からのタスクの受信：エージェントは、 C2から受信したタスクを処理するためのハンドラを実装します。 これらのハンドラは、ファイルのダウンロードやアップロード、対話型シェルの起動などを行うためのものです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
トレンドマイクロは 50 ,C2 台以上のサーバーを検知しましたが、これは極めて高い数値です。特に、確認されている標的が1つしかないことを考えると、なおさらです。 これは、初期段階の試験が行われていることを示唆している可能性があります。
このツールは、中国語を話す俳優であるアース・ルスカと関係があると考えられています。 しかし、中国語を話す俳優たちはしばしば同じ道具を共有しているため、将来的にはこの道具がさらに普及する可能性があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
