今週、CTIでは、ウイルス対策ソフトの検知を回避できる新たなLinux向けマルウェアの攻撃キャンペーンについて取り上げます。 続いて、CTIは、サイバー犯罪者が「ClickFix」という手口や偽のCAPTCHAページを利用して、バックドア「CORNFLAKE.V3 」を配布している実態について解説しています。 最後に、CTIは、ウェブトラフィックを乗っ取り、偽のブラウザ更新ページを通じてマルウェアを配信する、PRC-Nexusによる新たなキャンペーンについて調査を行っています。
1. 新しいLinux向けマルウェアが、ウイルス対策ソフトの検知を回避しています
Trellixによる最近の調査で、悪意のあるファイル名を利用して従来のファイル形式を介さずにコードを実行し、ほとんどの検知手法を回避する、ステルス性の高い「 」というLinux向けマルウェアのキャンペーン が明らかになりました。
最終的なペイロードである「VShell」と呼ばれるファイルレスのバックドアは、完全にメモリ上で動作し、正当なシステムプロセスに偽装しながら、攻撃者に完全なリモートアクセス権限を付与します。
感染経路
この感染は、RARアーカイブが添付されたスパムメールから始まります。 このRARアーカイブには、ファイル名にBash互換のコードが含まれているファイルが含まれており、シェルによって解釈されるとコマンドが実行される可能性があります。 ファイル名は、スクリプトやコマンドによって評価または展開されるまで、そのままの状態のままとなります。
- 最初の感染経路：最初のスパムメールには、美容製品に関するアンケートへの招待文が記載されており、アンケートを完了した人には金銭的な報酬が支払われると記載されています。
Trellix社は、このメールには、添付されたアーカイブファイル「yy.rar」を開くようユーザーに指示する内容は含まれていないと指摘しています。 その代わりに、攻撃者は、受信者がその添付ファイルをアンケートに関連するものだと勘違いするかもしれないと期待しています。 抽出されたファイルには、ユーザーが操作を行わなくても悪意のある動作を引き起こすよう特別に作成されたファイル名が付けられています。
- ステージ1 – .rar内の悪用されたファイル名：Trellix社は、この抽出されたファイルの名前が通常とは異なると指摘しており、「特殊文字がコマンド構文として解釈されるため、シェル上でこの名前のファイルを手動で作成することはできません」としています。 Trellix社は、このファイル名がPythonのような言語を使用して作成された可能性があると考えています。 また、シェルの入力検証をバイパスできるツールやスクリプトを使用して、それが仕込まれた可能性もあります。 復号されたファイル名は、 C2 サーバーへの接続を確立し、第2段階のスクリプトをダウンロードして実行します。
- ステージ 2 – ダウンローダースクリプト：このダウンローダースクリプトは、ファイルを配置して実行できる書き込み可能なディレクトリを確認し、システムのアーキテクチャを検出し、そのアーキテクチャに応じて適切なバイナリペイロードを取得し、nohup を使用してサイレント実行を行います。
- ステージ 3 のペイロード – VShellマルウェア用のインメモリローダー：ステージ 2 のスクリプトがシステムのアーキテクチャを判別し、対応するバイナリを取得した後、残りの感染プロセスが開始されます。 このバイナリは、サーバーに対してHTTP GETリクエストを送信して C2 通信を確立し、XOR暗号化されたペイロードを受信した後、メモリ上でそのペイロードを復号して実行します。 Trellix社によると、このスレッドは、正当なLinuxカーネルスレッドのように見えるよう、メモリ内で名前が変更されているとのことです。 また、再感染を防ぐため、他のインスタンスが実行されていないことも確認します。
- 最終ペイロード – VShellマルウェア：VShellマルウェアは、中国のAPTグループによって使用される傾向があります。 その主な機能としては、リバースシェルへのアクセス、ファイル操作、プロセス管理、ポートフォワーディングなどが挙げられます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃キャンペーンの背後にいる攻撃者は、アーキテクチャを意識したペイロードの配信、メモリ内実行、巧妙な難読化手法といった高度な能力を備えていることから、非常に高度な技術力を持っていると考えられます。
Trellixが指摘しているように、このキャンペーンは、Linux向けマルウェアの配布手法における危険な変化を浮き彫りにしています。 脅威アクターによるLinuxシステムへの攻撃がますます増加していることを踏まえると、これは特に重要です。
2. UNC5518 は、ClickFixと偽のCAPTCHAページを使用して、CORNFLAKE.V3 を配布します。
Mandiantによると、脅威アクター「 UNC5518 」は、ClickFixという手法を用いてウェブサイトを侵害し、や といった偽のCAPTCHA認証ページを表示させ、ダウンローダースクリプトを配信することで、他のアクターがバックドア「CORNFLAKE.V3 」を展開できるようにしているとのことです。 アクター UNC5774 とUNC4108 の両方が、このアクセス権を活用していることが確認されました。
CORNFLAKE.V3とは何ですか？
CORNFLAKE.V3 は、JavaScript または PHP で記述された、ステルス性が高く、持続的なマルウェアであり、リモートからのペイロードを実行し、Cloudflare Tunnels を利用して検知を回避します。 このマルウェアは、HTTPを介して、シェルコマンド、実行ファイル、DLLなどのペイロードを取得します。
マンディアット社によると、CORNFLAKE.V3 は単にCORNFLAKE.V2の更新版に過ぎず、これらの最新亜種とは、元のCORNFLAKEマルウェアとの違いが最も大きいとのことです。
このマルウェアは、システム情報の収集を開始する前に、スクリプトが同時に1つしか実行されていないことを確認します。 その後、 C2 個のサーバーのIPアドレスを設定し、ループ関数に入ります。 永続性を確保するため、このマルウェアは「ChromeUpdater」という名前のレジストリの「Run」キーを作成します。
マンディアットは、このマルウェアが自社の C2 番サーバーを起点として、さまざまな種類のペイロードを実行していることを確認しました。 これらのペイロードの一つは、偵察用のコマンド、具体的にはActive Directoryコマンドが詰め込まれたバッチスクリプトでした。 ホストがドメインに参加しているかどうかを判断し、その結果に基づいてさまざまな偵察手順を実行します。
さらに、マンディアント社は、Kerberoasting（Kerberos認証プロトコルを悪用してWindows Active Directoryを標的とする攻撃）を通じて認証情報を収集しようとするバッチスクリプトを確認しました。
PHPの亜種および実行されたペイロード
また、マンディアントは、以前のバージョンと類似したCORNFLAKE.V3 のPHP亜種も確認しました。 この特定の亜種は、やはりClickFixの手法を用いて、メモリ内スクリプトによって展開されます。
このスクリプトは、PHPパッケージをダウンロードし、ディスクに書き出し、展開します。 実行されたペイロードの中には、Active Directoryの偵察を行うものや、「WINDYTWIST.SEA」と呼ばれるバックドアの埋め込みプログラムなどが含まれています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マンディアントの分析によると、「アクセス・アズ・ア・サービス」モデルの高度化と普及が加速していることが明らかになりました。「 UNC5518’s 」が初期アクセスブローカーとして果たす役割は、サイバー犯罪のエコシステムがいかにモジュール化され、効率化が進んでいるかを示しており、これにより、攻撃者はまるで正規の組織のように協力し、活動を拡大することが可能になっています。 この活動では、ClickFixや偽のCAPTCHAといった一般的な手口も用いられており、正規のインフラを悪用しています。
マンディアントのレポートには、お客様の環境内における関連する侵害を特定する際に役立つ可能性のあるハンティングクエリが含まれています。
3。 PRC-Nexusキャンペーンがウェブトラフィックを乗っ取っています
3月、Google Threat Intelligence Group（GTIG）は、中国と関連があるとされる脅威グループ「 UNC6384 」が、外交官を標的とした高度なサイバー諜報キャンペーン を展開していることを発見しました。
UNC6384 は、ウェブトラフィックを乗っ取り、偽のブラウザ更新ページを通じてマルウェアを配信しました。 この攻撃では、検知を回避し、持続的なアクセス権を維持するために、アドバース・イン・ザ・ミドル（AitM）攻撃、署名付きマルウェア、DLLのサイドローディングといった手法が用いられました。
キャンペーンの概要
Googleの調査によると、このキャンペーンで使用されたマルウェアのペイロードはすべて、ソフトウェアやプラグインの更新プログラムを装っており、AitMおよびソーシャルエンジニアリングを通じて、 UNC6384 のインフラストラクチャを介して配信されていたことが判明しました。
標的のウェブブラウザは、インターネット接続がキャプティブポータルの背後にあるかどうかを検証し、AitMがブラウザを攻撃者が制御するサイトへリダイレクトすると、マルウェアがいくつかの段階を経て配信されます。
マルウェアの配布
Googleは、キャプティブポータルを乗っ取る手法を用いて、Adobeのプラグインを装ったマルウェアを配布していた攻撃者を特定しました。 Googleの説明によると、キャプティブポータルとは、「インターネットへのアクセスを許可する前に、ユーザーを特定のウェブページ（通常はログインページやスプラッシュページ）に誘導するネットワーク設定」のことです。
Googleによると、すべてのウェブブラウザにこの機能があるとのことです。 調査の結果、Googleの「gstatic」ドメインから、マルウェアを配布するための攻撃者のウェブサイトへとつながるリダイレクトチェーンが判明しました。
偽のプラグインの更新
被害者は別のページにリダイレクトされ、ソフトウェアの更新が必要だと信じ込まされ、その結果、プラグインの更新を装ったマルウェアをダウンロードしてしまいます。 このウェブページ自体は、被害者には正規のソフトウェア更新サイトとして表示され、有効なTLS証明書を用いたHTTP接続を使用しており、ペイロード自体にもデジタル署名が付与されています。 被害者がクリックして更新プログラムをインストールしようとすると、Windowsのセキュリティ保護機能を回避するような方法でダウンロードを実行するための手順が表示されます。
マルウェアの分析
- STATICPLUGIN ダウンローダー： 以前にダウンロードされた AdobePlugins.exe は、有効な証明書で署名された、第1段階のマルウェア・ダウンローダーです。 Googleの調査によると、このバイナリコードは 2025年5月9日で署名されたものであり、現在は利用できなくなっています。 このSTATICPLUGINダウンローダーは、カスタムTFormを使用して、Microsoft Visual C++ 2013のインストーラーを装っています。 追加ファイルをインストールした後、CANONSTAGERはDLLのサイドローディングによって実行されます。
- CANONSTAGER ランチャー：CANONSTAGER の目的は、暗号化されたペイロードを実行することです。 このペイロードは「SOGU.SEC」と呼ばれ、SOGUの亜種です。 このランチャーは、カスタムAPIハッシュとスレッドローカルストレージを使用し、カスタムウィンドウプロシージャ内にランチャーコードを隠蔽し、SOGU.SECを展開します。
- SOGU.SEC バックドア：SOGU マルウェアは、 UNC6384によって悪用されていることが知られています。 システム情報の収集、 C2からのファイルのアップロードおよびダウンロード、ならびにリモートコマンドシェルの実行が可能です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
効果的なスパイ活動には、必ずしもゼロデイ攻撃が必要というわけではありません。 このキャンペーンが示すように、脅威アクターは、防御を迂回して目的を達成するために、ソーシャルエンジニアリングやトラフィックハイジャック、リビング・オフ・ザ・ランド（LoL）といった手法も用いています。
この攻撃チェーンは、ブラウザの挙動やキャプティブポータルによるリダイレクトに大きく依存しているため、標的となるユーザー、とりわけホテルや会議会場など、信頼性がそれほど高くない環境で作業しているユーザーにとっては、さらなる懸念材料となります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
