今週、CTIは、人事部からのメッセージを装い、偽の強制休暇通知を添付して従業員を騙したフィッシング攻撃の詳細を明らかにしました。 続いて、CTIではZloaderの最新バージョンと、その直近の更新内容について取り上げます。 最後に、CTIは、「Secret Blizzard」として知られるロシアの国家系アクターに関する最新の詳細情報を提供しています。
フィッシング攻撃において、攻撃者が人事部門を装っています
Cofense （新しいタブで開きます） は最近、ある組織の人事部門を装った のフィッシングメール （新しいタブで開きます） を傍受しました。 このメールには、偽の強制休暇通知が記載されており、被害者に悪意のあるリンクをクリックさせ、FormBookマルウェアをダウンロードさせようとするものです。
技術的な詳細
- Cofenseによると、VirusTotalに登録されている 72 社のベンダーのうち55 社が、このマルウェアサンプルを悪意のあるものとして検出しました。 これらのベンダーによると、このサンプルは「AutoItインジェクター」か「FormBook」マルウェアのいずれかであるとのことです。
- 被害者がメール内の悪意のあるリンクをクリックすると、.zipファイルがデフォルトのダウンロードフォルダにダウンロードされます。 このファイルは、
.xls.zipという二重拡張子を使用しており、被害者に「単に開くべき詳細が記載されたスプレッドシートだ」と錯覚させるよう仕組まれています。 - この.zipファイルには、AutoItでコンパイルされた実行ファイルが含まれています。 このサンプルでは、AutoItを親プロセスとして使用し、ターゲットプロセスにスクリプトを注入します。
- Cofenseが分析した事例において、標的となったプロセスは
UtilMan.exe（）でした。 これにより、メモリ上でFormBookマルウェアが実行されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンが示すように、脅威アクターは、世界中で起きている出来事に基づいて、おとりとなる手口を選ぶことがよくあります。 Cofenseは、この具体的な例を「季節的関連性」と呼んでいます。
この種のリールは一般的であり、成果を上げる可能性を秘めています。 そのため、多大な損失を招くミスを防ぐためには、最新のフィッシング手口について常に最新情報を把握しておくことが重要です。
[Read also: Top 10 bold cybersecurity predictions for 2025] (opens in a new tab)
Zloaderに新機能と新性能が追加されました
Zscalerの研究者たち (新しいタブで開きます) は、追加機能を備えたZloaderの新しいバージョンを発見しました。 この最新の亜種には、新たな解析回避機能、対話型シェル、および C2 通信用のDNSトンネルが含まれています。
Zloaderとは何ですか？
Zloaderは当初、銀行詐欺を目的として作成されました。 その後、初期アクセスに利用されるよう進化してきました。
昨年、マルウェア「 」が2年間の休止期間を経て再登場しました。 （新しいタブで開きます） 新たな機能を備えていました。 Zscalerはその後、このマルウェアの更新版であるバージョン 2.9.4.0を特定しました。このバージョンには、新しいDNSトンネリングプロトコルを含め、さらに多くの機能が追加されています。
感染経路
Zscalerによると、Zloaderの拡散は、より小規模かつ標的を絞ったものになりつつあり、これは初期アクセスブローカーの間でますます一般的になりつつある傾向です。
研究者らは、 、AnyDesk （新しいタブで開きます）、、 、およびMicrosoft Quick Assistといったリモート監視・管理（RMM）ツールを起点とする感染チェーンを通じて、Zloaderが拡散していることを確認しました。 Zscalerは、この攻撃の最中に「GhostSocks」と呼ばれる別のペイロードも確認しました。
Zloaderの設定
Zscalerの調査によると、このバージョンではマルウェアの静的設定が変更され、ハードコードされた平文の鍵による暗号化が行われなくなったことが判明しました。 このバージョンでは、鍵はXOR演算を用いて計算する必要があります。
Zscalerは設定を復号化し、新しいDNSトンネリング機能に関連する2つの新しいセクションを明らかにしました。
Zloaderの解析回避機能
この新しいZloaderのバージョンには、いくつかの解析対策機能が搭載されています：
- 1つ目は、多くのマルウェアのサンプルに見られる環境チェックです。
- 2つ目は、APIの解決に関するもので、このバージョンで更新されました。 APIの解決結果は、XOR演算を用いて計算されるようになりました。
対話型シェル
Zscalerはまた、脅威アクターがバイナリやシェルコードを実行したり、データを盗み出したり、プロセスを強制終了させたりすることができる、新たな対話型シェルも特定しました。 これにより、攻撃者はキーボード操作を直接行うことが可能になります。
ネットワーク通信
The malware still uses HTTPS with POST as its primary C2 communication method. C2 通信における最も注目すべき変更点は、DNSトンネリング技術の追加です。 このマルウェアは、DNSおよび IPv4 を基盤とした独自プロトコルを使用して、暗号化されたTLSトラフィックをトンネル化します。 ZloaderはDNSパケットの生成および解析が可能であり、サードパーティ製のライブラリやWindows APIを利用する必要はありません。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Zloaderは、 2015 で銀行詐欺の目的で登場して以来、かなり進化してきました。 最新バージョンでは、検知回避への注力がさらに強まっていることが明らかになっており、これは今年の他の多くのマルウェアファミリーと同様の傾向です。
これらの新機能により、Zloaderは初期アクセスブローカーを求める脅威アクターにとって魅力的な選択肢となっています。 Zscalerが今回の最新アップデートで指摘しているように、「組織は、Webベースのトラフィックだけでなく、DNSベースのネットワークトラフィックも確実に検査する必要があります。」
「シークレット・ブリザード」に関する新たな詳細が明らかになりました
「Secret Blizzard」として知られるロシアの国家系アクターに関する新たな詳細が明らかになりました。 （新しいタブで開きます）
マイクロソフトは最近、 （新しいタブで開きます） において、Secret Blizzardが少なくとも6つの脅威アクターのツールやインフラストラクチャを利用していたことを突き止めました。 さらに、「Secret Blizzard」は、他の脅威アクターが盗み出したデータを中継するために利用しているインフラを標的にしています。
「シークレット・ブリザード」とは何ですか？
「Secret Blizzard」は、ロシア連邦保安庁（FSB）の「 Center 16 」と関連付けられています。 （新しいタブで開きます）。 この俳優は、スパイ活動への長期的なアクセス権の確保に重点を置き、世界中のさまざまな分野を標的にしていることで知られています。 あるキャンペーンでは、ある攻撃者が、他の脅威アクターが所有するツールや侵害されたインフラを活用している様子が確認されています。
侵害および侵害後の対応
マイクロソフトは、 2022年11月以降、別のアクターが所有する C2 のインフラストラクチャを利用して活動する「Secret Blizzard」を監視してきました。 もう一方の攻撃主体は、パキスタンを拠点とするスパイ活動を行う攻撃主体で、「Storm-0156」として追跡されています。
「Secret Blizzard」は、 Storm-0156’s 個のバックドアを利用してバックドアを展開し、Storm-0156’s 個のデータ流出データを中継する仮想プライベートサーバー（VPS）にツールを展開してきました。 現時点では、Secret Blizzardが Storm-0156’s のインフラへのアクセス権を取得するために、どのような初期アクセス手法を用いているのかは不明です。
[関連記事：セキュリティにおけるアクセス制御とは？ [型とベストプラクティスに関する詳細ガイド] (新しいタブで開きます)
ブリザードの秘密のバックドア
「Secret Blizzard」は、 Storm-0156’s のインフラストラクチャにいくつかの異なるバックドアを仕掛けています。 これには、TinyTurlaのバックドア亜種、TwoDashと呼ばれるカスタムダウンローダー、Statuezyと呼ばれるカスタムトロイの木馬、およびMiniPocketと呼ばれるカスタムダウンローダーが含まれます。
マイクロソフトが分析したキャンペーンにおいて、Storm-0156は、Wainscotの亜種を含む複数のバックドアを使用して、Windows、Linux、およびCrimsonRATを標的にしていることが確認されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ほとんどの脅威アクターが個人や組織を標的としているのに対し、「Secret Blizzard」は他の脅威アクターのインフラやツールを標的にしています。 この攻撃者は、基本的に他の攻撃者がすでに実施した攻撃の成果に便乗しようとしており、初期の侵入段階には関与することなく、データを盗み出す簡単な方法を探しているのです。
マイクロソフトが指摘しているように、この攻撃者のデータは、そのスパイ活動の目的と一致しない可能性があります。 そこで疑問が生じます。なぜこのアクターは、初期アクセスブローカー（IAB）のルートを選ばないのでしょうか。
その後、マイクロソフトは「 」に関する2つ目の記事 (新しいタブで開きます) を公開しており、一読の価値があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
