今週、CTIでは、ある脅威アクターが「Gophish」というオープンソースのツールキットを悪用してフィッシング攻撃を展開している実態について検証します。 続いて、CTIは、脅威アクターがセキュアメールゲートウェイ（SEG）やウイルス対策ツールを回避するために、仮想ハードドライブファイル内に悪意のあるコンテンツを埋め込んでいる手法について調査します。 最後に、CTIは、再び勢いを増していると思われる悪名高い「Bumblebee」マルウェアに関する最新情報を提供しています。
攻撃者は、フィッシング攻撃において「Gophish」ツールキットを使用しています
最近のキャンペーンでは、マルドック（悪意のある文書）またはHTMLベースの感染といったモジュール式の感染チェーンが利用されています。いずれも、感染チェーンの残りのプロセスを開始するには、被害者の操作が必要となります。 また、研究者たちは、この攻撃において、これまで報告されていなかったPowerShell RAT（リモートアクセストロイの木馬）を発見しました。
Gophish ツールキットの使用方法
Cisco Talosは、 （新しいタブで開きます） にある、 および のフィッシングメール内の悪意のあるリンクを分析し、攻撃者が管理するホスティングドメインが、悪意のあるMicrosoft Word文書とHTMLファイルを配信するために使用されていることを突き止めました。
このドメインは、AWS EC2 インスタンスであることが確認されたIPアドレスに解決されます。 また、このサーバーは、JavaScriptが埋め込まれた悪意のあるHTMLファイルを送信する別のドメインへ逆引きされます。 このサーバー上で、攻撃者がGophishツールキットをホストし、ポート 3333で稼働させていたことが判明しました。
複数のモジュールからなるキャンペーン
このキャンペーンには、当初2つの攻撃経路があります：
- 最初の攻撃ベクトルは、悪意のあるWord文書です。
- 2つ目の攻撃手法は、悪意のあるJavaScriptが埋め込まれたHTMLファイルを利用するものです。
Maldocを利用した感染によりPowerRATを配布する
この感染経路では、被害者が悪意のあるWord文書を開き、文書バナーにある「コンテンツを表示」ボタンを有効にする必要があります。 この操作により、悪意のあるVB（Visual Basic）マクロプログラムが実行されるようになります。
その俳優は、文書内に base64 でエンコードされたデータブロブを戦略的に使用しましたが、そのテキストの色を文書の背景色と同じにしました。 このマクロは、被害者のマシンに悪意のある .hta（HTML アプリケーションファイル）と PowerShell ローダーを配置します。
また、Cisco Talosは、この感染チェーンで実行されたペイロードの一つとして、新たなPowerShell RATを発見しました。 このツールはマシンのメモリ上で実行され、追加のPowerShellスクリプトやコマンドを実行することができます。 このプログラムは、偵察を行い、情報を収集し、メモリにデータを書き込み、それを外部へ持ち出します。
DCRATを配布するためのHTMLベースの感染
この例では、攻撃者は悪意のあるJavaScriptが埋め込まれたHTMLファイルを使用しています。
被害者がフィッシングメール内のリンクをクリックすると、悪意のあるコードを含むHTMLファイルが端末上で開かれます。 同時に、JavaScriptが実行され、その結果、.zipアーカイブがダウンロードされます。
被害者は、アーカイブを手動で解凍し、その中に含まれる実行ファイルを起動する必要があります。この実行ファイルは、正規のVKメッセンジャーアプリを装っています。 この操作を行うと、最終的にはDCRATに感染することになります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このアクターによる感染経路はいずれも、その後の攻撃を成功させるためには、ユーザー側にある程度の操作が必要となります。
ユーザーの操作を悪用する攻撃が増加しています。例えば、 の「ClickFix」攻撃（ ）のように、ユーザーに悪意のあるコマンドを貼り付けて実行させるものなどがあります。
ユーザーの操作に依存するキャンペーンがこれほど多いのは少し意外です。というのも、これにより攻撃が失敗する余地が残ってしまうからです。 これは、 のユーザーへの周知とトレーニングが極めて重要となる代表的な事例です。。
攻撃者はSEGやウイルス対策スキャナーを迂回します
Cofenseは、 （新しいタブで開きます） において、脅威アクターがSEGやウイルス対策ソリューションによる検知を回避するために、仮想ハードドライブファイル内に悪意のあるコンテンツを埋め込んでいることを発見しました。
選挙戦の動向
Cofenseは、 2024年を通じて複数のキャンペーンにおいて、仮想ハードドライブファイルが感染経路として悪用されていることを確認しました。 キャンペーンごとに使用するルアーは異なりますが、いずれも 、Remcos RAT 、および／またはXWorm RATが使用されているようです。
- 2024年5月 キャンペーン： このキャンペーンでは、関連する税務書類を装ったリンクを含むフィッシングメールが使用されましたが、そのリンクをクリックすると、実際には仮想ハードドライブのファイルがダウンロードされるようになっていました。 ファイルをダウンロードした後、被害者はメインのペイロードを実行し、それによってRemcos RATが導入されることになります。
- 6月／「2024年7月 」キャンペーン： このキャンペーンでは、カナダ郵便公社やその他のさまざまな郵便事業者を装ったフィッシングメールが送信されました。 そのメールには、配送ラベルを装った.zip形式のアーカイブが添付されていましたが、その中には仮想ハードドライブのファイルが含まれていました。 仮想ハードドライブファイルを開くことで、被害者は悪意のあるLNKファイルを開くよう誘導され、その結果、DotNETLoaderとXWorm RATがインストールされ、さらにそこからRemcos RATがインストールされることになります。
- 2024年8月 キャンペーン： 8月、攻撃者は、審査用の履歴書が複数含まれていると偽装した.zipアーカイブを添付して被害者を標的にしましたが、実際には、メモリ上でRemcos RATを実行する同一の仮想ハードドライブファイルとVisual Basic Scriptファイルが含まれていました。 このキャンペーンには、autorun.inf ファイルが含まれていました。これは、古いバージョンの Windows で、「ボリュームがマウントされた際に自動的に実行できる操作を定義する」ために使用される設定ファイルです。 これらの古いバージョンの Windows（Windows Vista 以前）では、これらのファイルが悪用され、マルウェアが自動的に実行される可能性があります。
SEGのバイパス
仮想ハードドライブのファイルは、正規のファイル共有サービスへのリンクを通じて配信することで、SEGを回避することができます。 しかし、彼ら自身でもSEGを回避できるようです。
多くのSEGでは、仮想ハードドライブのファイルをスキャンすることができません。 仮想ハードドライブのファイルをスキャンできるツールの中には、ウイルス対策ソリューションに依存してスキャンを行うものもありますが、そうしたソリューションでは、ハードドライブイメージ内に含まれる悪意のあるコンテンツの検出が困難な場合もあります。
前述の履歴書を題材としたキャンペーンでは、攻撃者はCisco、Proofpoint、およびFireEyeのSEGを迂回することに成功しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターが、悪意のあるコンテンツを配信する新たな手法、とりわけ多くのメールセキュリティソリューションを迂回できる手法を模索していることは、決して驚くべきことではありません。
これは、脅威アクターがフィッシングメールでQRコードを利用するよう転換した事例――「クィッシング」として知られる手法――と似ており、現在もなお広く見られます。 現時点では、これらの仮想ハードドライブファイルは、一部の対策をかいくぐることができるようです。そのため、他の攻撃者も、攻撃にこれらのファイルを活用することに興味を持つ可能性が高いと考えられます。
このため、QRコードを使ったフィッシング攻撃の場合と同様に、ベンダー各社がこうした悪意のあるファイルを効果的に検知する方法を模索し始めることになるでしょう。
[関連記事：ヴィッシング対策には賢い対応が不可欠] (新しいタブで開きます)
「バンブルビー」マルウェア、活動停止を経て再出現
研究者らは、最近の攻撃において、 （新しいタブで開きます） 悪名高い バンブルビーマルウェアローダー を確認しており、これが再流行の兆しを示している可能性があります。
こうした観察結果は、国際的な法執行機関が世界中で複数のサーバーを押収し、Bumblebeeを含む複数のマルウェアローダーの活動に打撃を与えたわずか数か月後に明らかになったものです。
初回アクセス
研究者たちは、これらの最新の攻撃は、被害者をだまして悪意のある.zipファイルをダウンロードさせるフィッシングメールから始まると考えています。 この.zipファイルには、攻撃を開始し、メモリ上でBumblebeeペイロードを実行させるLNKファイルが含まれています。
LNK と PowerShell
の過去の「バンブルビー」キャンペーン（）と同様に、この最新のキャンペーンでもLNKファイルとPowerShellが使用されています。 このキャンペーンでは、このファイルはダウンローダーとして使用され、次の段階のプログラムをダウンロードして実行していました。
LNKファイルを開くと、PowerShellコマンドが実行され、MSIファイルがダウンロードされます。 ファイル名は「 」「%AppData%\y.msi」「 」に変更され、msiexec を使用して実行されます。
MSIの新たなアプローチ
「Bumblebee」マルウェアファミリーは、現在、MSIファイルを介してマルウェアを配布しているようです。 DarkGate や Latrodectus といった、その他の「 」マルウェアファミリーも、MSI ファイルを利用してペイロードを実行しています。
Netskopeは、 （新しいタブで開きます）、、 といった、NVIDIAまたはMidjourneyのインストーラーを装ったいくつかのサンプルを調査しました。 それらはすべて、ペイロードをディスクに書き込むことなく、メモリに読み込んで実行していることが確認されました。
バンブルビーは、他のプロセスの生成を避けるために、目立たない手法を採用しているようです。 Netskopeは、このマルウェアがSelfRegテーブルを利用して、エクスポート関数の実行を強制していることを確認しました。 これは、テーブル内で実行するファイルを特定するためのキーとして機能します。Netskopeが確認した事例では、そのファイルは最終的なペイロードDLLでした。 そのDLLはCABファイルの中にあります。 MSIのインストールが開始されると、msiexecプロセス内でDLLがサイドロードされ、Bumblebeeのペイロードが展開されて実行されます。
バンブルビーの搭載物
研究者たちは、解凍されたペイロードの中から、Bumblebeeマルウェアファミリーの比較的よく知られている特徴のいくつかを特定しました。 彼らは、構成情報の抽出手法が以前のBumblebeeのバージョンと同一であると判断しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
NetskopeがBumblebeeマルウェアを悪用した新たな攻撃キャンペーンを発見したことは、この悪名高いマルウェアファミリーが再び台頭する可能性を示唆しています。
法執行機関による取り締まり活動は、確かに正しい方向への一歩ではありますが、恒久的な解決策とは言えません。 『バンブルビー』は全盛期にはかなりの成功を収めたため、今回の復活の可能性には注目すべきでしょう。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
