今週、CTIでは、「Rockstar 2FA」と呼ばれるフィッシング・アズ・ア・サービス（PhaaS）ツールキットを活用したメールキャンペーンについて取り上げます。 Next CTIは、8月から 2024年10月にかけてのキャンペーンで展開された2つの新しいマルウェアファミリー、「 RevC2 」と「Venom Loader」について調査を行っています。 最後に、CTIでは、悪名高い「SmokeLoader」マルウェアが関与した最近の攻撃について調査しています。
「Rockstar 2FA 」は、「Microsoft 365 」のユーザーを対象としています
Trustwaveは、 Rockstar 2FA を活用したメールキャンペーンについて警告を発しています。これは、DadSec/Phoenixフィッシングサービスの更新版です。
このキャンペーンでは、 の「Adversary-in-the-Middle（AiTM）」 という手法を利用して、認証情報やクッキーを盗み出しており、これにより多要素認証（MFA）で保護されているシステムも攻撃に対して脆弱になってしまいます。
キャンペーンの概要
Trustwaveの研究者たちは、 2024年8月 にピークを迎え、現在もなお継続している大規模なフィッシングキャンペーンを追跡しています。 このキャンペーンでは、AiTM攻撃を利用しており、これにより攻撃者は認証情報やクッキーを傍受することが可能となります。 このキャンペーンは、Microsoft 365 のログイン画面を模倣したページを用いて、Microsoftのユーザーアカウントを標的としています。 Trustwaveによると、このキャンペーンには自動車をテーマにしたウェブページが含まれており、同社はこのキャンペーンに関連する自動車をテーマにしたドメインを 5,000 件以上特定しました。
Rockstar 2FA PhaaS
このキャンペーンは、「Rockstar 2FA 」フィッシングキットに関連しています。 『Rockstar 2FA 』のマーケティングおよび広報活動は、ICQ、Telegram、およびMail[.]ru上で確認されました。 このフィッシングキットには、多要素認証のバイパス、クッキーの収集、ボット対策、ログイン用テーマ、ランダム化されたソースコードと添付ファイル、完全に検出不可能な（FUD）リンクなどの機能が搭載されています。
メールキャンペーン
これらのキャンペーンにおけるメールは、乗っ取られたアカウント、スパム送信ツール、正規のプラットフォームの悪用など、いくつかの異なる方法で配信されています。 この犯人は、メールの中で、文書やファイルの共有通知、人事・給与関連のメッセージ、IT部門からの通知、パスワードに関する警告など、さまざまなテーマや手口を用いています。
Trustwaveは、この攻撃者が、難読化やFUDリンク、QRコードなど、さまざまな手法を用いてスパム対策の検知を回避していることを確認しました。 メール内のリンクは、AiTMサーバーからの応答に応じて、フィッシングのランディングページまたは自動車をテーマにしたサイトへと誘導されます。 このページにアクセスしたユーザーには、Cloudflare Turnstileによる認証チャレンジが表示されますが、攻撃者は自動分析を回避するために、この手法を頻繁に利用しています。
AiTMのフィッシングページ
Cloudflare Turnstileの認証プロセスを経て、フィッシングページが表示されます。 Trustwave社は、ユーザーにフィッシングページを表示すべきか、それとも自動車をテーマにしたおとりページを表示すべきかを判断するためのチェック機能が導入されていると考えています。
このフィッシングページは、ユーザーが入力したデータを収集し、AiTMサーバーに送信します。 これらの認証情報を使用することで、セッションクッキーを取得することができます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Trustwaveは、この脅威の深刻さを次のように的確に要約しています。「Rockstar 2FA PaaSプラットフォームに関連するキャンペーンのような、汎用的なフィッシング攻撃は、コストが低く、展開が容易であるため、依然として広く見受けられます。」
これらのキャンペーンの背後にいる攻撃者は、AiTM手法に加え「Rockstar 2FA 」も活用しており、これにより成功の可能性が高まり、盗んだ認証情報を使った今後の攻撃への道が開かれています。 今後、「Rockstar 2FA 」ツールキットには、さらなる更新や活用方法が追加される予定です。
攻撃者が「Venom Loader」マルウェアを RevC2and 個展開しました
Zscalerは、8月から 2024年10月にかけて行われた攻撃キャンペーンで利用されていた、 RevC2 およびVenom Loaderという2つの新たなマルウェアファミリーを特定しました。
これら2つのマルウェアファミリーは、Venom Spiderとして知られる攻撃者によるマルウェア・アズ・ア・サービス（MaaS）ツールを介して展開されました。 「ヴェノム・ローダー」シリーズは、被害者ごとにカスタマイズされています。
キャンペーン1：APIドキュメントをアピールした結果、 RevC2件の成果が得られました
最初のキャンペーンは8月から9月にかけて行われ、APIドキュメントを装ってペイロードを配信しました（RevC2）。 拡散経路は依然として不明ですが、攻撃の第一段階は「VenomLNK」というファイルから始まります。 このファイルには、APIドキュメントの「lure」と呼ばれる画像ファイルをダウンロードするバッチスクリプトが含まれています。
VenomLNKは、 RevC2の実行をトリガーするコマンドを実行します。 RevC2 は、サンドボックス環境外で実行されていることが判明するさまざまなチェックに合格した場合にのみ、悪意のあるソフトウェアを実行します。RevC2 も、C2 との通信にWebSocketsを使用します。 このマルウェアには、パスワードの窃取、シェルコマンドの実行、スクリーンショットの撮影、トラフィックのプロキシ化、クッキーの窃取、および別のユーザーとしてコマンドを実行することなど、さまざまな機能があります。
Campaign 2: Crypto lure results in Venom Loader
2回目のキャンペーンは9月から10月にかけて行われ、暗号資産取引を装った手口を用いて「Venom Loader」を配布しました。 Venom Loaderは、続いて「More_eggs lite」というJavaScriptバックドアを読み込みます。 これにより、攻撃者はリモートでコードを実行できるようになります。
前回のキャンペーンと同様、配布方法は不明です。 しかし、研究者らによると、攻撃の第一段階は、難読化されたバッチスクリプトを含む「VenomLNK」ファイルから始まり、このファイルが暗号通貨関連の誘引画像をダウンロードして表示することが確認されています。 このマルウェアはZIPファイルをダウンロードし、それを解凍した後、Venom Loaderを実行する悪意のあるDLLをサイドロードします。
このDLLは、各被害者ごとに個別に作成されており、被害者のコンピュータ名を使用してペイロードがエンコードされています。 その後、Venom Loader を使用して「More_eggs lite」バックドアをロードします。このバックドアは、 C2 に対して HTTP POST リクエストをループで送信します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Venom Loader」マルウェアファミリーは、被害者ごとにカスタマイズされているという点で特に興味深いものです。これはあまり一般的ではないからです。
悪名高い脅威グループの間で広く利用されている「Venom Spider」MaaSツールを通じて、これら2つのマルウェアファミリーが展開されたことを考慮すると、今後、これらのマルウェアファミリーを利用する脅威アクターがさらに増える可能性があります。 Zscalerが指摘しているように、これらのマルウェアファミリーは、さらなる機能を備えるよう進化していく可能性も高いと考えられます。
SmokeLoaderマルウェアは、一時的に減少した後、再び出現しました
研究者たちは最近、悪名高い のSmokeLoaderマルウェア（）を利用した攻撃を確認しました。
2024年5月にユーロポールがいくつかの主要なマルウェアファミリーのインフラを摘発した後、SmokeLoaderの活動は大幅に減少していましたが、今回のマルウェアの再台頭は注目に値します。
概要と攻撃の流れ
9月、フォーティネットは、台湾の企業を標的とした「SmokeLoader」キャンペーンを確認しました。 医療、製造、ITをはじめとするさまざまな業界の企業が攻撃を受けました。
SmokeLoaderマルウェアは、その汎用性と検知回避技術で知られています。 このマルウェアは、追加のマルウェアを配布するためのダウンローダーとして機能し、このケースでは、 C2 サーバーからプラグインをダウンロードします。
SmokeLoaderとフィッシング
この攻撃は、添付ファイルが添付されたフィッシングメールから始まります。 添付ファイルは、特別な指示が含まれた見積書であるかのように装っています。 フォーティネットでは、他の組織に送信される際、受信者の名前が変更されていないことから、これらのメールはどこかから転送されたものかもしれないと考えています。 さらに、メールの署名部分は、本文とはフォントや色、電話番号が異なります。
脆弱性の悪用
この攻撃チェーンは、当初はさまざまな脆弱性を悪用しますが、最終的にはやはりAndeLoaderにたどり着きます。 最初に確認された脆弱性は CVE-2017-0199 で、これはOLE2-embedded リンクオブジェクトを悪用するMicrosoft Officeの脆弱性です。 もう1つの脆弱性である「 CVE-2017-11882」は、Microsoft Officeにおけるリモートコード実行の脆弱性です。
AndeLoader
攻撃者は、どの脆弱性を利用する場合でも、最終的にはAndeLoaderを使用することになります。 このマルウェアは、真の悪意のあるコードを隠すために、不要なコードで埋め尽くされたVBSファイルから実行されます。 このコードは、インジェクターのデータが含まれたステガノグラフィー処理済みのJPGファイルをダウンロードします。 このインジェクターは単純で、難読化もされていません。 これにより、永続化が確立され、SmokeLoader へのインジェクションが実行されます。
SmokeLoaderのプラグイン
この俳優の「 C2 」サーバーからは、9つのプラグインが配布されています。その内訳は、単体のプラグインが3つ、32ビット版と64ビット版の両方を含むプラグインが3つです。 このプラグインを使用すると、攻撃者はさまざまなウェブブラウザや、Outlook、Thunderbird、FileZilla、WinSCPなどから、ログイン情報、FTP認証情報、メールアドレス、クッキーなどを盗み出すことができます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
SmokeLoaderは、常に先進的で柔軟性に富んだツールです。 フォーティネットの調査結果は、このマルウェアの高度さをさらに裏付けています。特に、そのインフラの一部（1,000以上の C2 ドメイン）が、以前、法執行機関によって摘発されていたことを踏まえると、その高度さが際立っています。
とはいえ、このキャンペーンは数年前の脆弱性を悪用しているため、その全体的な成功度合いには疑問が残ります。 今後、SmokeLoaderがより新しいエクスプロイトを活用し始めるかどうか、注目されます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ の Tanium ディスカッションフォーラムにアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
