今週、CTIはFakeBatローダーに関する最新情報を提供いたします。これには、主な拡散手法や攻撃者のインフラストラクチャなどが含まれます。 CTIでは、ESETが発表した 2024年上半期の脅威レポートにおける主な調査結果についても詳しく解説しています。
1. 「FakeBat Loader-as-a-Service」マルウェアは、複数の感染経路を通じて拡散しています
Sekoiaは、 2024においてこれまでに、いくつかの異なるFakeBatキャンペーンを確認しています。 同社の最新の報告書では、発見されたさまざまな配布方法やインフラストラクチャの構成要素について詳しく解説しています。
セコイア社によると、 の「FakeBat」ローダー（ ）は、2024 年第1四半期において、ドライブバイダウンロードを悪用したローダーの中で、最も広範囲に及んだものの1つでした。 このロダーは、通常、LummaやRedLineなどの次段ペイロードを打ち上げるために使用されていました。
サイバー犯罪者向けフォーラムにおける「FakeBat」
FakeBatは、 2022年12月 のアンダーグラウンドフォーラムで初めて確認されました。当時、同サイトの「Exploit」フォーラムにおいて、「ローダー・アズ・ア・サービス」として宣伝・販売されていました。 これは、MSI形式のローダー型マルウェアとして宣伝されており、さまざまな検知回避機能を備えていました。 また、このローダーには、ユーザーがキャンペーンを作成・管理できる管理パネルも備わっています。
FakeBatを配布している関係者
Sekoia社は、MaaSの複数の異なる顧客に関連するとみられる、複数のFakeBat感染チェーンを特定しました。
また、 1Password、Chrome、Microsoft Teams、Zoom、VMwareなど、人気のあるソフトウェアを装った複数のキャンペーンも特定されました。 これらのキャンペーンの背後にいる者たちは、Google Adsを利用して、こうした悪質なウェブサイトを検索結果の上位に表示させています。 被害者がこうした悪意のあるサイトのいずれかをクリックすると、正規のウェブサイトとそっくりなページに誘導されてしまいます。 ページ上のボタンをクリックすると、ユーザーは別のページにリダイレクトされ、署名付きMSIXファイル（通称FakeBat）がダウンロードされます。
また、攻撃者はWordPressサイトを乗っ取り、ユーザーにChromeブラウザの更新が必要だと信じ込ませようとしています。 2024年6月の時点で、SekoiaはFakeBatのダウンロードにつながる、侵害されたウェブサイトを 250 件以上特定しました。
2024年5月 では、web3 コミュニティを対象とした、3つ目の配布方法が確認されました。 この一連の活動において、マルウェアは偽の「 web3 」チャットアプリとして配布されていました。 この攻撃者は、ウェブサイトや認証済みのソーシャルメディアアカウント、プロモーション動画などを活用し、自らが提供するアプリケーションの信頼性を高めるよう努めました。 このアクティビティは、ダウンロードするために招待コードが必要だったため、他のものとは少し違っていました。
攻撃者のインフラストラクチャ
Sekoiaは、FakeBatキャンペーンに関連する攻撃者のインフラストラクチャを相当数特定することに成功しました。 彼らは、最近のFakeBat C2 サーバーが「ユーザーエージェントの値、IPアドレス、所在地などの特性に基づいてトラフィックをフィルタリングしている」可能性が高いと考えており、これにより運営者は非常に戦略的かつきめ細かなターゲティングが可能になると見ています。 また、研究者たちは、FakeBatの運営者が所有しているとみられるFakeBat C2 のサーバーおよびホスティングドメインの一覧を作成しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
市場には非常に多くのMaaSサービスが存在するため、どれが最大の脅威となるかを把握するのは難しい場合があります。 2024において「ドライブ・バイ」手法を採用する最も普及しているローダーの一つとして、FakeBatは間違いなく注目に値するものです。
このマルウェアが、ごく限られたユーザーにのみ販売されているという事実も、その影響が広範囲に及んでいることを考えれば、なおさら驚くべきことです。 FakeBatは、さまざまな方法で拡散されているようですが、これは、このマルウェアを複数の攻撃者が利用していることが原因であると考えられます。 とはいえ、脅威アクターが絶えず新たな手法を模索していることから、その配布手法も今後も進化し続ける可能性が高いでしょう。
2。 ESETの脅威レポートにおける主な調査結果
ESET は、 2024年上半期の脅威レポートを発表しました。 本レポートでは、ESETのテレメトリデータに基づき、 2023年12月 から2024年5月 までの脅威の動向について取り上げています。
確認された傾向としては、 といった情報窃取型マルウェアの増加や、生成AIツールを装う といった事例、そしてAndroid向けの脅威の減少などが挙げられます。
Android向けの脅威は減少傾向にあります
ESETでは、今年上半期にAndroid向けの脅威の検知件数が減少しました。 季節的なイベントの時期にはAndroid向けの脅威が増加することが多いため、今回の減少は少々意外な結果です。
このように減少しているとはいえ、Android向けマルウェアは進化を続けています。 その一例として、AndroidとiOSの両方を標的とする「GoldPickaxe」というマルウェアが挙げられます。 Android版は、Google Playストアを装ったウェブサイトを通じて配布されています。 このマルウェアの背後にいるのは、「GoldFactory」と呼ばれる、中国語を話す組織的なグループであると考えられています。
ESETは、Android向けの金融関連の脅威にも変化が見られることを確認しています。 最近のAndroidマルウェア攻撃に見られる手口には、Androidのアクセシビリティサービスの悪用、自動化システムを利用して無断で資金を振り込む手法、および 2FAの回避などが挙げられます。
Linuxの脅威
ESETはその報告書の中で、「オペレーション・ウィンディゴ」と呼ばれる特定のLinux向け脅威について分析を行いました。 この攻撃は、およそ 10 年前から存在し、現在もなお脅威であり続けている「Ebury」マルウェアファミリーを利用しています。
EburyはOpenSSH向けのバックドアおよび認証情報窃取ツールであり、サーバーサイドの脅威群の中核をなしています。 このマルウェアは、暗号資産ウォレットを標的とする場合が多く、世界中のデータセンターに潜伏していることを利用して、中間者攻撃を仕掛けてきます。
AIによる脅威
今年の上半期に、何らかの形でAIが関与した攻撃がいくつか記録されたことは、驚くことではありません。 ESETは、AIモデルの名称がマルウェアを配布するための餌として利用された事例をいくつか確認しました。 その一例として、AI用のデスクトップアプリであると称しながら、実際にはマルウェアをダウンロードしてしまう悪意のあるインストーラー型ブラウザ拡張機能が確認されました。
Web上の脅威
過去6か月間、WordPressプラグインの脆弱性を悪用する攻撃は引き続き脅威となっていました。 とりわけ注目すべきは、脅威アクターが「Balada Injector」および「JS/Agent」ファミリーを活用している点です。
情報窃取型マルウェアおよびダウンロード型マルウェア
情報窃取型マルウェアも引き続き最大の懸念事項となっており、脅威アクターはゲーム会社やゲーマーを標的とするために、こうしたマルウェアをますます多用しています。 ここ数ヶ月間でよく見られる情報窃取型マルウェアには、RedLineやLummaなどが挙げられます。
ダウンロードを行うユーザーは配信方法の切り替えを始めており、ここ数ヶ月でその数は 10％増加しました。 この期間中、マクロを利用した脅威も増加しました。ただし、Microsoftではデフォルトでマクロがブロックされています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
これらの傾向は、特定の組織のテレメトリデータに基づいているものであり、業界全体の状況を反映するものではないという点に留意することが重要です。 とはいえ、ESETの傾向の多くは他の業界調査とも一致しており、同社のレポートは興味深い読み物となっています。
また興味深いのは、攻撃者が検知を回避するための新たな手段を見出し始めている中で、ダウンローダーが配信されるさまざまな手法の内訳です。 例えば、HTMLの使用が減少傾向にあることが見受けられるようになってきました。 よく報告されているものの中には、LNKやVBSに関連するものもありますが、それらは私たちが想定していたほど大きな割合を占めていませんでした。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
