今週、CTIでは、PayPalを装って認証情報を盗み出し、ユーザーアカウントを乗っ取ろうとするフィッシング攻撃について取り上げます。 続いて、CTIは「PLAYFULGHOST」と呼ばれる新しいマルウェアの詳細について報告しています。 最後に、CTIは、マシンへのリモートアクセスや制御を可能にするマルウェア「NonEuclid RAT」に関する最新の詳細情報を提供しています。
PayPalを装ったフィッシング詐欺が行われています
最近、PayPalを装ってユーザーの認証情報を盗み出し、アカウントを乗っ取ろうとするフィッシング詐欺が横行しています。 フォーティネットのCISOであるカール・ウィンザー氏は最近、メールの「宛先」欄に「onmicrosoft」というアドレスが含まれていたため、不審なメールを受信して調査を行った結果、 （新しいタブで開きます） というキャンペーンを発見しました。
PayPalのフィッシング攻撃の仕組み
ウィンザー氏は、「 」を標的としたフィッシング攻撃（ （新しいタブで開きます）、、 ）が、正規のPayPalメールアドレスから送信されたように見えたことを明らかにしました。 メール内の「今すぐ支払う」というリンクにカーソルを合わせると、そのリンクが有効なPayPalのドメインにリダイレクトされることに気づきましたが、これについても特に不審に思うことはありませんでした。
メール内のボタンをクリックすると、ユーザーはPayPalのログインページにリダイレクトされ、そこに支払いリクエストが表示されます。 しかし、ウィンザー氏が投稿で述べているように、このページで認証情報を入力すると、実際にはPayPalアカウントの登録アドレスが、そのメールを受信したメールアドレス――つまり「onmicrosoft」のアドレス――と紐付けられてしまいます。
どうしてこんなことがあり得るのでしょうか？ ウィンザー氏によると、このキャンペーンの首謀者は「 MS365 」というテスト用ドメインを登録し、被害者のメールアドレスからなる配信リストを作成していたとのことです。 これらのテスト用ドメインは、最初の3か月間は無料で提供されているため、脅威アクターにとっては低コストの選択肢となる点に留意することが重要です。
テスト用ドメインと配布リストの設定が完了したら、攻撃者はPayPalのウェブポータルにアクセスし、配布リストに対して送金を依頼することができます。 この操作により、被害者宛てにメールが送信され、セキュリティチェックを通過できるよう送信者が書き換えられます。 被害者が認証情報を入力すると、そのアカウントは攻撃者のアカウントと紐付けられ、攻撃者がそのPayPalアカウントを完全に制御できるようになります。
[関連記事：アイデンティティおよびアクセス管理（IAM）とは？] (新しいタブで開きます)
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このフィッシングの事例は、特に従来のフィッシング手法をあまり用いていないという点で、非常に興味深いものです。 のセキュリティ意識向上トレーニング （新しいタブで開きます） に掲載されているヒントやコツの多くは、送信者やURLが正当なものだったこのメールに対しては、警告を発することはなかったでしょう（送信者の確認、不審なURLのチェックなど）。
ウィンザー氏は、最善の解決策は「人間のファイアウォール」、つまり「たとえどれほど本物らしく見えても、不審なメールに対して注意を払い、慎重に対応するよう訓練を受けた人」であると述べています。
PLAYFULGHOSTは、フィッシングやSEOポイズニングを通じて拡散します
GoogleのManaged Defenseチームは、PLAYFULGHOSTと呼ばれる新しいマルウェアに関する詳細を、 （新しいタブで開きます） で公開しました。 このマルウェアには、キーロギング、スクリーンショットや音声のキャプチャ、リモートシェルへのアクセス、ファイル転送機能など、いくつかの機能があります。
さらに、このバックドアは、 2008年にソースコードが流出したことで知られる有名な「 Gh0st RAT」マルウェアと機能的な類似点が見られます。
PLAYFULGHOSTの配送方法
Googleは、PLAYFULGHOSTの既知の拡散手法として、フィッシングメールとSEOポイズニングの2つを特定しました。
- PLAYFULGHOST フィッシングの事例
あるフィッシング攻撃では、メールに添付された悪意のある RAR アーカイブを被害者に開かせるよう仕向けることから、感染が始まりました。 このRARアーカイブは拡張子が.jpgとなっており、これにより被害者は、これが無害な画像ファイルであるとさらに錯覚させられました。
被害者がこのアーカイブを解凍すると、悪意のあるWindows実行ファイルが配置され、そのファイルがリモートサーバーからPLAYFULGHOSTをダウンロードして実行します。 - PLAYFULGHOSTによるSEOポイズニングの例
この感染では、被害者は騙されて悪意のあるWindows実行ファイルをダウンロードさせられてしまいます。 この実行ファイルは、LetsVPNなどの正規ソフトウェアのインストーラーを装っています。
これが実行されると、別の悪意のあるWindows実行ファイルが配置され、そのファイルがリモートサーバーからPLAYFULGHOSTのコンポーネントをダウンロードします。
PLAYFULGHOSTはどのように機能するのでしょうか？
PLAYFULGHOSTは、3つの要素からなるシステムを採用しています。具体的には、DLLの検索順序を乗っ取る正規の実行ファイル、同じフォルダ内にある悪意のあるランチャーDLLファイル、そして実際のペイロードを含むファイルです。 正規の実行ファイルは、悪意のあるランチャーDLLを読み込み、そのDLLがペイロードを復号してメモリに読み込みます。
ある事例では、Googleは、攻撃者が正規の署名付き実行ファイルを「Tencent」から「 svchost.exe 」へと名前を変更し、偽装していたことを突き止めました。 これを利用して、悪意のあるランチャーDLLを読み込み、ペイロードを復号化しました。
別の事例では、WindowsのLNKファイルを起点とする、より巧妙な手口が確認されました。 このファイルは、文字列を含むテキストファイルと、ペイロードの残りの部分を格納した別のファイルを結合し、新たな悪意のあるDLLファイルを作成しました。
対応機能
PLAYFULGHOSTは、脅威アクターがシステムを遠隔操作できるようにするさまざまな機能をサポートしています。 そのデータマイニング機能には、スクリーンショットや音声の取得、クリップボードデータの消去やコピー、ハードウェア情報の収集、RDPセッションの列挙・有効化・切断・ログオフなどが含まれます。
また、ファイル管理、データ削除、リモート実行、権限昇格、およびフォレンジック対策機能も備えています。 さらに、追加のペイロードをダウンロードしたり、画面解像度の変更やタスクバーの非表示といった迷惑な動作を行ったりすることも可能です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
PLAYFULGHOSTの配信手法自体は目新しいものではありませんが、このマルウェアには、さまざまな脅威アクターのニーズに応える、非常に幅広い機能が備わっています。
キーボード入力をブロックしたり、画面解像度を変更したり、タスクバーを非表示にしたり、ビープ音を鳴らしたりといった「迷惑な動作」を行うマルウェアが見られるのは興味深いことです。
これらの機能が、マルウェアを動作させるためのものなのか、それとも単に迷惑をかけるためなのかは定かではありません。 また、Googleは、 にて、PLAYFULGHOSTに関連するアーティファクトの特定に役立つ検出情報を (新しいタブで開きます) 提供しています。
NonEuclid RATが勢いを増しています
Cyfirma社は、被害者のマシンへのリモートアクセスや制御を可能にする新型マルウェア「NonEuclid RAT」に関する詳細を、 （新しいタブで開きます）、、 で公開しています。
Cyfirmaによると、このマルウェアは不正なリモートアクセス機能と高度な検知回避技術を備えているとのことです。 現在、アンダーグラウンドのサイバー犯罪者向けフォーラムで宣伝されています。
NonEuclidについて
C#で開発されたこのマルウェアには、ウイルス対策ソフトの回避、権限昇格、検知回避、ランサムウェアによる暗号化といった機能が備わっています。
研究者たちは、このマルウェアが、ステルス性、動的なDLL読み込み、仮想マシン検知回避機能、AES暗号化機能といった特徴により、勢いを増していると指摘しています。 また、DiscordやYouTube上でNonEuclidに関するチュートリアルやディスカッションが行われていることも確認されており、その人気をさらに裏付けています。
NonEuclidはどのように機能するのでしょうか？
このマルウェアは、いくつかの仕組みを通じてクライアントアプリケーションを初期化します。 設定を行い、起動を遅らせ、特定の機能に管理者権限が与えられるようにします。 その後、ミューテックスおよび検知回避のチェックを行い、成功した場合は通信用のクライアントソケットを確立します。接続が切断された場合は、再接続を行います。
このマルウェアには、Windows Defenderのレジストリ設定に特定の除外項目を追加することで、Windows Defenderによるスキャンを回避しようとするスキャン回避機能が備わっています。 また、実行中のプロセスを監視して、TaskmgrやProcessHackerなどの指定されたプロセスを特定し、強制終了させるアンチプロセス機能も備えています。 このマルウェアには、仮想マシン検知回避、ASMIバイパス、カメラへのアクセスなど、その他の機能も備わっています。
また、このマルウェアは、指定された間隔で実行されるスケジュールされたタスクを作成し、Windowsのコマンドラインを使用してコマンドウィンドウを非表示にし、出力を抑制することで、持続性を確保します。 この課題です。 権限昇格のため、このマルウェアはWindowsレジストリを改ざんし、特定の制限を回避するコマンドを実行しようとします。
Cyfirmaは、マルウェアが実行された際に展開される2つの実行ファイルを調査しました。 タスクスケジューラを使用することで、これらのファイルは自動的に動作し、ユーザーによる操作を必要とせずに実行されることで、継続性を維持します。
[関連記事：Active Directoryのセキュリティとは？ リスクとベストプラクティス] （新しいタブで開きます）
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Cyfirmaは、NonEuclidについて、「高度なステルス機構、検知回避機能、および ランサムウェアの機能を組み合わせたものであり、現代のマルウェアの高度化を如実に示している」と要約しています。 （新しいタブで開きます）。
研究者たちは、複数のアンダーグラウンド・フォーラムでこのマルウェアに関する議論が交わされているのを確認しており、これは、その作成者が脅威アクターの関心を引くために懸命に取り組んでいることを示唆しています。 NonEuclidが普及するかどうかは現時点では定かではありませんが、その豊富な機能は、サイバー攻撃者の関心を引く可能性が高いでしょう。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
