今週のまとめでは、CTIが、Apple製コンピュータを標的とした大規模な攻撃キャンペーンで使用されている「Realst」マルウェアについて詳しく解説しています。 続いて、CTIは、脅威アクターがダークウェブやTelegramのチャンネルで情報窃取型マルウェアのログを販売している実態に関するレポートを取り上げます。 最後に、CTIは、正規のソフトウェアを装い、被害者にCobalt Strikeやランサムウェアのペイロードを感染させる、新たなNitrogenによる初期侵入マルウェアキャンペーンの概要を報告しています。
1. macOS Sonomaの一般公開に先立ち、情報窃取型マルウェアが同OSを標的にしています
SentinelOneは最近、Apple製コンピュータを標的とした大規模なキャンペーンで使用されている情報窃取型マルウェア「Realst」の、 形式のMach-O悪性コードサンプル 59 件を分析しました。
研究者たちは、Appleがまもなくリリース予定のOS「macOS 14 Sonoma」をすでに標的としている、この新しいRustマルウェアのサンプルをいくつか発見しました。 このマルウェアは、ソーシャルメディア上で宣伝されている偽のブロックチェーンゲームを通じて、WindowsおよびmacOSのユーザー双方に感染します。
Realstの流通
のRealst情報窃取型マルウェア（ ）は、「Brawl Earth」、「WildWorld」、「Dawnland」、「Destruction」、「Evolion」、「Pearl」、「Olymp of Reptiles」、「SaintLegend」といった偽のブロックチェーンゲームを宣伝する悪意のあるサイトを通じて拡散されています。
この偽のゲームの各バージョンは、それぞれ独自のウェブサイトで公開されており、それぞれに関連するTwitterアカウントやDiscordアカウントも用意されています。 また、攻撃者がソーシャルメディアのダイレクトメッセージを通じて、潜在的な被害者に直接接触している事例も確認されています。
Realstの悪意のあるインストーラーについて
この情報窃取型マルウェアの一部のバージョンは、Evolion.pkg を通じて配布されています。これは、悪意のある Mach-O ファイルと 3 つの関連スクリプトを含む .pkg インストーラです。
- そのスクリプトの一つは、クロスプラットフォーム対応のFirefox向け情報窃取型マルウェアです。
- もう1つのスクリプトは、オープンソースプロジェクト「chainbreaker」のコピーです。 このスクリプトは、macOSのキーチェーンデータベースからパスワード、鍵、および証明書を抽出します。
- 3つ目のスクリプトは、実質的な悪意のある動作を一切伴わない、ごく基本的なアンインストールスクリプトです。
Realstのその他のバージョンは、.dmgディスクイメージを通じて配布されています。 開発者たちが、マルウェアをElectronアプリやmacOSのネイティブアプリケーションバンドルに組み込んでいることが確認されています。
一部のサンプルは、特定のApple Developer IDを使用して共同設計されましたが、そのIDはその後無効化されています。 その他のサンプルはアドホックに共同署名されており、これらの署名はリモートで取り消すことができないため、今後も引き続き公開され続けることになります。
Realstのバリアントの動的解析
行動の観点から見ると、Realstのサンプルはすべてのバリアントにおいて類似しています。 場合によっては、異なるAPI呼び出しを使用したり、依存関係に若干の違いがあったりすることがあります。 しかし、結局のところ、それらはすべて、ブラウザのデータ、暗号資産ウォレット、およびキーチェーンのデータベースを盗み出します。 Realstは、Firefox、Chrome、Opera、Brave、Vivaldiの各ブラウザに対応しています。 また、Telegramも標的とすることができます。
Realstの亜種のほとんどは、osascriptやAppleScriptの偽装を利用してユーザーのパスワードを盗み出そうとし、ホストデバイスが仮想マシンではないことを確認するためのチェックを行います。 この情報窃取型マルウェアはデータを収集し、「data」という名前のフォルダに保存します。 このフォルダは、マルウェアのバージョンによって、いくつかの場所のうちの1つに表示されます。 マルウェアが画面キャプチャの権限を取得できた場合、被害者のデスクトップのスクリーンショットも、同じファイルの保存先に保存されます。
Realstのバリアントに対する静的解析
SentinelOneは、合計 59 件のRealstサンプルの中から16 種類の異なる亜種を特定し、それらを4つの主要なファミリーに分類しました。 しかし、両者には多くの共通点があり、それによって区切り方を異ならせることが可能となります。 とはいえ、彼らは、脅威ハンターによる特定や検知に役立つ文字列の痕跡に基づいて、分類体系を選択しました。
- バリアントファミリーA： 26/59 件のサンプルがバリアントAに分類されます。これらのバリアントの特徴は、AppleScriptのなりすましに関連する文字列全体が含まれていることです。 これらの亜種では、AppleScriptのなりすまし手法を用いて、ユーザーの管理者パスワードを平文で盗み出しています。 この機能では、「回答を非表示」オプションを使用し、ユーザーが入力した文字を箇条書きの記号に置き換えることで、ユーザーが入力した文字が見えないようにしています。 バックグラウンドでは、AppleScriptのダイアログボックスによってパスワードがキャプチャされ、平文で記録されます。 これらのサンプルには、hw.model の形式で、VM 検出による分析対策に関連する完全な文字列も含まれています。
- バリアントファミリーB： 10/59 のサンプルがバリアントBに分類されます。これらのバリアントは、文字列をより小さな単位に分割するという特徴があり、単純な静的検出を回避しやすいと考えられます。 これ以外では、これらのサンプルはバリアントAと非常に似ています。
- バリアントファミリー C： 7/59 個のサンプルがバリアント C に分類されます。これらのバリアントは、Mach-O バイナリ内にチェーンブレーカーへの参照が導入されているという点で特徴的です。
- バリアントファミリー D： 16/59 個のサンプルがバリアント D に分類されます。このバリアントでは、パスワードのスクレイピングは、代わりにターミナルウィンドウでのプロンプトによって処理されます。 場合によっては、このマルウェアは、スクレイピングで取得したパスワードを使用して、sudo コマンドで権限を昇格させ、Python の pycryptodome パッケージをインストールすることもありました。
RealstはmacOS 14 Sonomaへの対応を進めています
SentinelOneによって特定されたサンプルのうち、およそ3分の1には、macOS 14 Sonomaを標的とした文字列が含まれていました。
この文字列のアーティファクトは、バリアントAのサンプルの半数と、バリアントBのすべてのサンプルに現れましたが、バリアントCやDには見られませんでした。現時点では、ソノマとベンチュラの違いがRealstの実行にどのような影響を与えるかは明らかではありません。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Realstのサンプルがこれほど多く特定されていることや、それらのサンプル間に見られる差異を考慮すると、この脅威アクターが情報窃取型マルウェアの開発に多大な労力を費やしてきたことがわかります。」
脅威アクターが、Appleの今後のOSリリースのために計画と準備を進めていることが、すでにうかがえます。 「脅威アクターはマルウェアを絶えず改変しているようであるため、今から『Sonoma』のリリースまでに、Realstのさらなる亜種が登場する可能性が高いでしょう。」
2。 情報窃取型マルウェアの爆発的な増加： 300,000 件以上の企業認証情報が販売されています
Cybersecurity company Flare recently analyzed 20 million infostealing malware logs for sale on the dark web and Telegram channels. 彼らの分析によると、Salesforce、QuickBooks、AWS、Google Cloud、DocuSignなどの人気アプリケーションのビジネス用認証情報へのアクセスが含まれるログが、およそ 375,000 件確認されました。
情報窃取型マルウェアの利用は飛躍的に増加しており、ここ数年、業界全体における主要なトレンドの一つとなっています。 さまざまな情報窃取型マルウェアの亜種は、侵害されたデバイスからデータを収集し、その窃取ログをまとめてダークウェブやTelegram上で販売しています。 Flare’s analysis examines multiple data sets, and totals more than 19.6 million stealer logs.
情報窃取型マルウェアのアクセス権限レベル
Flareは、ログに含まれる認証情報の種類と、脅威アクターがそれらの認証情報を悪用して取得しようとしていると思われるアクセスの種類に基づき、ステラーログを3つの階層に分類します。
Tier 1 ログ：価値の高い企業の認証情報
利便性を高めるため、多くの人がブラウザにパスワードを保存しています。 情報窃取型マルウェアがデバイスに感染すると、ブラウザに保存されているすべての認証情報が同時に侵害されてしまいます。 これには、CRMや、RDP、VPN、SaaSアプリケーションへのアクセスに必要な認証情報などが含まれます。 攻撃者は、言うまでもない理由から、企業の認証情報を重要視しています。 また、初期アクセスブローカー（IAB）も、こうした認証情報を標的にし、ダークウェブのフォーラムで転売することがよくあります。
感染したデバイスが企業ネットワークへのアクセス権を大規模に保有していたかどうかを判断するため、Flare社は、企業ネットワークへのアクセスと相関している可能性が高いと考える特定の指標を特定しました。
- 企業のITインフラ：Flareはまず、AWS ManagementおよびGoogle Cloud Consoleにアクセスしたログイン記録をログから検索することから始めました。 その結果、 181,785 件のログが検出され、そのうち179,411 件はAWSコンソールの認証情報でした。 これらの認証情報の約 75％は、Telegramの公開ルームと非公開ルームの両方に掲載されており、 24％は「Russian Market」に掲載され、1％未満は「Genesis Market」に掲載されていました。
- ビジネス関連の連絡先および財務アプリケーション：Flareが用いたもう1つの分類は、Intuit QuickBooksやDocuSignなどのビジネス向け財務アプリケーションでした。これらのアプリケーションのいずれかにアクセスした記録が 80,099 件確認され、そのうち64,000 件はDocuSignの認証情報でした。
- CRMおよび顧客データ関連アプリケーション：Flare社は、SalesforceやHubspotを含む大手CRMプロバイダー2社を調査し、CRMへのアクセスを記録したログを計 66,000 件確認しました。そのうち約23,000 件は、Salesforceアカウントへのアクセスを記録したものでした。
- OpenAIとChatGPT：Flareはまた、openai[.]comを含むステラーのログを検索し、 200,000 件以上のログを発見しました。
Tier 2 ログ：銀行・金融サービス
これらのログには、大手銀行の認証情報が含まれており、これを利用して、攻撃者が消費者の口座から資金を盗み出しています。 これらはジェネシス・マーケットで平均112 ドルで販売されていますが、ログ全体では平均15 ドルとなっています。
Flareによると、これらはスティラーログの中で2番目に価値の高い種類だそうです。 Flare社は、 213 社の金融サービス企業を分析し、どの程度の割合の企業のドメインが情報窃取ツールのログに含まれているか、また、これらのログの価格にどのような違いがあるかを調査しました。 調査の結果、ジェネシス・マーケットで販売されている、金融サービスのログイン情報を含む感染端末の平均価格は約112ドルであるのに対し、それらを含まない端末の価格はわずか14 ドルであることが判明しました。 米国の銀行上位 50 行には、個人向け銀行サービスのログインに関連する約200,000 件のログイン情報窃取ログが存在します。
Tier 3 のログ: コンシューマー向けアプリケーション
攻撃者は、これらのログを利用して、一般ユーザー向けのVPNアプリやストリーミングサービス、その他のアプリにアクセスしています。 これらは最も価値の低い丸太で、通常、1本あたり10 ドルから15 ドルで販売されています。
Flare社は、同社のステラーログサンプルにおいて、最も頻繁に確認された 50 のドメインを分析しました。 Google、Gmail、Facebook、Microsoftがリストの上位を占めており、これらに関連する情報窃取ログが頻繁に見られます。 Amazon、Netflix、Instagram、PayPal、その他いくつかの企業も、ランキングの上位に名を連ねました。
スティラーのログはどこに保存されるのでしょうか？
ステラーのログは、Telegramの公開ログチャンネル、Telegramの非公開チャンネル、Russian Market、Genesis Marketの4つのカテゴリーに分類されています。
- 公開テレグラム「ログ」チャンネル は、毎月テラバイト規模のステラーログを提供する、誰でも利用できるテレグラムチャンネルです。 これには主にティア 3 のログが含まれます。
- 非公開のTelegramチャンネル「 」は、脅威アクターによって運営されており、アクセス権を収益化するために、月額サブスクリプション制で大量のログを配布しています。 これらは通常、より価値の高いログであり、このチャンネルは招待制で、通常は 25 人から30 人のユーザーに限定されています。
- 「Russian Market 」は、デバイスや情報へのアクセス権の販売を専門とするダークウェブのマーケットプレイスです。 このフォーラムでは、すべての丸太を1本あたり10 ドルで一律に価格設定しています。
- ジェネシス・マーケット（ ）は、最近法執行機関によって閉鎖されるまで、クリアウェブ上のマーケットプレイスとして運営されていました。 最近では、完全にTor上で運営されていました。 このフォーラムでは、より体系化され、解析済みのログデータが提供されており、脅威アクターが被害者のブラウザフィンガープリントを複製できるインターフェースも備わっていました。 このフォーラムでの丸太の価格は、丸太の種類によって異なっていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「近年、注目を集める情報窃取キャンペーンが数多く発生しているため、Flareの調査で、脅威アクターが一般的に利用するさまざまなプラットフォームにわたって、これほど多くの情報窃取ログが確認されたことは、驚くことではありません。」
Flareのレポートでは、どのログがどの情報窃取型マルウェアの亜種に由来するものかについては詳しく触れられていません。これは、昨今、情報窃取型マルウェアが非常に多く存在し、新しい亜種が定期的に出現しているためであると考えられます。 この情報がなくても、脅威アクターがたった1つの認証情報からどれほど多額の利益を得ているかを知ると、目から鱗が落ちるような思いです。 「これにより、こうした活動がサイバー犯罪者にとってどれほど儲かるものであるかがよくわかります。」
3。 Google Adsが、ランサムウェア攻撃のための新たな「Nitrogen」マルウェアを拡散させています
ソフォスは、 の「Nitrogen」と呼ばれる新たな初期アクセス型マルウェアキャンペーンに関するレポート（ ）を発表しました。このキャンペーンでは、マルウェア広告を利用し、正規のソフトウェアを装って、被害者にCobalt Strikeやランサムウェアのペイロードを感染させています。 このキャンペーンは主に機会主義的なものであり、GoogleやBingで特定のITツールを検索しているユーザーをターゲットとしています。
「Nitrogen」マルウェアファミリーについて
ソフォスは、調査の過程で、「Nitrogen」と呼ばれる新たな初期アクセス型マルウェアのファミリーを発見しました。 「Nitrogen」という名称は、多くのサンプルに見られたデバッグ情報の構成要素に由来しており、開発者たちがこのプロジェクトを「Nitrogen」または「Nitronet」と呼んでいることを示唆しています。
主なコンポーネントでは、NitrogenStager、MsfPythonStager、NitronetNativeStager、およびNitroInstallerというクラス名が使用されています。
感染の連鎖は、GoogleまたはBingの広告を介したマルウェア広告から始まります。 この手口は、被害者を改ざんされたWordPressサイトや、 のフィッシングページ（）に誘導しようとします。 こうしたサイトは、ソフトウェアの配布サイトを装い、ユーザーを騙してトロイの木馬が仕込まれたISOインストーラーをダウンロードさせることがよくあります。 これらのインストーラーは、その後、悪意のある「NitrogenInstaller」DLLをサイドロードします。このDLLには、正規のソフトウェアアプリと、悪意のあるPython実行環境がバンドルされています。 この攻撃キャンペーンでは、標的となったシステムにMeterpreterシェルとCobalt Strikeビーコンを配置します。
このキャンペーンでは、GoogleやBingのクリック課金型広告を利用して、ウェブサイトを装っています。 偽装されたサイトにはAnyDesk、WinSCP、Cisco AnyConnect VPNのインストーラーなどが含まれていることから、ITユーザーを標的としているようです。 また、ある事例では、「TreeSize Free」のトロイの木馬化されたインストーラーも悪用されています。
- WinSCPの例： ユーザーがGoogleで「WinSCP」と検索すると、システム管理者向けのガイドを装ったフィッシングページに、「Secure File Transfer – for Windows」と記載されたGoogle広告が表示されるというものです。 ユーザーがこのページの広告をクリックすると、WinSCPの偽のダウンロードページにリダイレクトされ、システムに悪意のあるISOファイルが書き込まれます。
- Cisco AnyConnect の例： フィッシングページに加え、攻撃者は侵害された WordPress サイト上にマルウェアもホストしていました。 ある事例では、攻撃を受けたサイトを利用して、Cisco AnyConnectの正規のCiscoダウンロードサイトを装っていました。 このサイトのダウンロードリンクをクリックすると、フィッシングページにリダイレクトされ、悪意のある「Nitrogen」パッケージが配信されます。
DLLのサイドローディング
被害者がトロイの木馬化されたインストーラーをダウンロードすると、それらは感染したマシン上にISOイメージとして保存されます。 これらのファイルは、Windows エクスプローラーにマウントされ、ドライブとして割り当てることができ、そのドライブ内のコンテンツを利用できるようになります。 ISOイメージに含まれるファイルの一つに、msiexec.exeというWindows用ツールがあり、これはinstall.exeまたはsetup.exeという名前に変更されています。
これが実行されると、同じイメージ内に格納されている悪意のある msi.dll（別名 NitrogenInstaller）がサイドロードされます。 このキャンペーンでは、攻撃者は、エクスポートされた関数を正規の msi.dll に転送することで、DLL プロキシ攻撃を行っています。
NitrogenInstaller
「NitrogenInstaller」として知られる、サイドロードされた msi.dll ファイルは、正規の囮アプリケーション用のクリーンなインストーラーと、2つのPythonパッケージ（1つは正規のもの、もう1つは悪意のあるもの）を配置します。 感染の連鎖の後半でPythonコードを実行するには、正規のPythonパッケージが必要となります。 また、さまざまなマルウェアやランサムウェアのファミリーでよく見られるUACバイパスを実行することで、権限の昇格を試みます。 その後、NitrogenInstaller DLL は、永続性を確保するためにレジストリのランキーを作成します。
悪意のあるPythonパッケージにNitrogenStager DLLを読み込むため、攻撃者はDLLのプリロード技術を利用しました。 これは、アプリケーションが完全なパスを指定せずにライブラリを読み込もうとした際に、Windows 独自の DLL 検索順序を活用するものです。 NitrogenStagerは、メイン関数が悪意のあるコネクトバックコードに置き換えられているため、Pythonスクリプトを実行することができません。
C2 のステージング
Py_Main関数内の悪意のあるコネクトバックコードは、実行されると自動的に実行されます。 NitrogenStagerは、TCP、SSL経由のTCP、HTTP、HTTPSという4つの異なるプロトコルを使用して、 C2 台のサーバーに接続していることが確認されています。 このパッケージには、プロトコルごとに個別のスクリプトが含まれており、それぞれが C2 サーバーに接続し、応答をデコードして実行することができます。
Meterpreterシェル
NitrogenStager DLL によってダウンロードされる次のステージのスクリプトは、Meterpreter スクリプトをカスタマイズしたものです。 このPythonスクリプトが実行されると、MeterpreterのリバースTCPシェルが確立され、攻撃者がシステム上でリモートからコードを実行できるようになります。
手動セッション
ある事例では、攻撃者は開いていたセッションを通じて複数のコマンドを実行し、キーボード操作による直接的な操作に移行しました。
マニュアルのコマンドにより、 C2 サーバーからZIPファイルが取得されました。 また、Cobalt Strikeのビーコンをメモリ上で実行するための一連のPythonスクリプトを呼び出すために、追加のPython環境をダウンロードして実行しました。 また、検出やドメインの列挙を行うために、手動コマンドも実行されました。 手動で行われたとみられるセッションは、脅威アクターがCobalt Strike C2 サーバーからダウンロードしたPythonスクリプトに関連しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「最近、マルバートシングは脅威アクターの間でかなり流行ってきており、彼らにとっては明らかに儲かる手口だと見なされているようです。」 この「Nitrogen」マルウェアの攻撃キャンペーンは、依然としてかなり機会主義的な性質を帯びてはいますが、企業で一般的に使用されている特定のITユーティリティを探しているユーザーを標的にしています。
こうした悪意のある広告は、検索エンジンのスポンサーリンクとして表示される傾向があるため、CTIでは、特にダウンロード先を探している際は、スポンサーリンクをクリックしないよう推奨しています。
これらの記事について、何かご意見やご感想など、お聞かせいただけませんか？ や、Taniumのディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
