今週、Tanium CTIチームは、組織を標的とし、認証情報を盗み出すためにSMSを利用したフィッシング攻撃が依然として行われていることについて、Cofenseが発表した新たな調査結果を検証します。 続いて、チームは、Node.js を活用してマルウェアやその他の有害なペイロードを配信するいくつかのキャンペーンについて検証します。 最後に、悪質なファイル変換ツールがマルウェアを配布するためにどのように悪用されているかについて考察します。
攻撃者は、ソーシャルエンジニアリングの手法を用いて、引き続きSMSを悪用しています
Cofenseは、 （新しいタブで開きます） において、組織を標的とし、認証情報を盗み出すことを目的としたSMSを利用したフィッシング攻撃が現在も続いていると報告しています。
Cofenseは調査の中で、受信者に誤った緊急性や恐怖心を抱かせ、行動を促して被害に遭わせるような攻撃が増加していることを確認しました。
[関連記事：サイバーセキュリティにおけるソーシャルエンジニアリングとは？ 【完全ガイド】 （新しいタブで開きます）
SMSには何と書かれていますか？
これらの攻撃は、標的となる受信者宛てにSMSメッセージが送信されることから始まります。 これらのメッセージは、「ご注意ください」や「変更内容をご確認ください」といった表現を用い、緊急性や不安感を煽るように作られています。
Cofenseによると、この脅威アクターは、受信者に何らかの行動を促すため、「もしこれがあなた自身によるものでない場合は、ログインしてチケットを作成してください」という文言を盛り込んでいたとのことです。
その悪意のあるサイトは、どのように機能するのでしょうか？
受信者がSMSメッセージ内のリンクをクリックすると、Googleを経由してリダイレクトされ、より信頼性があるように見せかけられます。 そのページにアクセスしたら、最終的なランディングページへの別のリンクをクリックする必要があります。
最終的なランディングページは、 のフィッシングページ （新しいタブで開きます） であり、ServiceNowのログインページを装い、ユーザーに認証情報の入力を求めています。 認証情報が入力されると、被害者には偽の多要素認証（MFA）の画面が表示され、攻撃者は認証情報とMFA情報の両方を手に入れることになります。
[関連記事：多要素認証（MFA）は、その期待に応えているのでしょうか？] (新しいタブで開きます)
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この調査結果は、フィッシング攻撃に対して、メールだけでなくSMSメッセージにも注意を払う必要があることを改めて認識させてくれるものです。
多くの手口には共通点があり、例えば、不当な緊急性を煽るもの、何かをクリックするよう誘うもの、予期せぬメッセージなどが挙げられます。 どちらの場合も、俳優はしばしば信頼感を築こうとし、人間の感情に訴えかけるように演じることがよくあります。
Node.js の誤用により、マルウェアや悪意のあるペイロードが配信されることになります
マイクロソフトは、 （新しいタブで開きます） において、Node.js を利用してマルウェアやその他の悪意のあるペイロードを配信する複数のキャンペーンを特定しました。
ごく最近、同社は、仮想通貨取引キャンペーンの一環としてNode.jsを利用し、現在もなお継続中のマルウェア広告攻撃を検知しました。 このキャンペーンは、ユーザーを騙して、正規のソフトウェアを装った悪意のあるインストーラーをダウンロードさせることを目的としています。
Node.js とは何ですか？
Node.js は、Web ブラウザの外で JavaScript コードを実行するオープンソースの JavaScript ランタイム環境です。 開発者は、サーバーサイドのスクリプト作成や、スケーラブルなネットワークアプリケーションの構築に、Node.jsをよく利用します。
マルバタイジングについて
マイクロソフトは、顧客環境において、マルウェア広告を介してNode.js関連のマルウェアを配布する手口が依然として広く行われていることを確認しました。 これらの悪意のある広告は、被害者を特定のウェブサイトに誘導し、そこで正規のソフトウェアを装ったマルウェアをダウンロード・インストールさせてしまいます。
この仮想通貨を悪用したキャンペーンでは、広告が正規の取引プラットフォームからのもののように見えるように仕組まれており、被害者を騙して有害なインストーラーをダウンロードさせることを目的としていました。 しかし、このインストーラーには、システム情報を収集し、持続性を維持することを目的とした悪意のあるDLLが含まれていました。
[こちらもご覧ください：このネット詐欺に、危うく引っかかりそうになりました。 なぜ技術の専門家でさえ騙されてしまうのか] (新しいタブで開きます)
起動されると、Wixで作成されたパッケージインストーラーは、WMIクエリを通じて情報を収集するDLLを読み込みます。 また、永続性を確保するために、スケジュールされたPowerShellコマンドタスクを作成します。 また、被害者には、正規のウェブサイトを表示した偽のウィンドウが表示されます。
マルウェアがどのように検知を回避するのか
前述のスケジュールされたタスクは、PowerShell コマンドを実行して、PowerShell および現在のディレクトリをスキャン対象から除外し、今後 PowerShell が実行されてもアラートが表示されないようにします。
この種のマルウェアは、どのようにデータを収集し、外部へ持ち出すのでしょうか？
PowerShell コマンドが実行され、リモートの URL からスクリプトを取得して実行します。 これらのスクリプトは、Windowsの情報、BIOSの情報、システム情報、およびOSのデータを収集します。
マイクロソフトによると、このデータは「ネストされたハッシュテーブルとして構成され、JSON形式に変換された後、HTTP POSTを使用して攻撃者のコマンド＆コントロール（C2）サーバーに送信される」とのことです。
さらに別のPowerShellスクリプトが実行され、 C2からアーカイブファイルをダウンロードして解凍します。 その後、プロキシ設定を無効にし、アーカイブ内のJavaScriptファイルを実行します。
Node.jsは、マルウェアを配信するためにどのように利用されているのでしょうか？
あらかじめアーカイブからダウンロードしておいた Node.js の実行ファイルが、JavaScript ファイルを起動します。 これにより、ライブラリモジュールが読み込まれ、接続が確立され、デバイスに証明書が追加されます。
また、マイクロソフトは、Node.js を用いた攻撃キャンペーンにおいて、インライン JavaScript の実行を伴う手法が出現していることに気づきました。 この手法では、悪意のあるスクリプトがNode.jsを通じて実行され、マルウェアが展開されます。
マイクロソフトは、 のClickFix攻撃において、この手口が1件確認されました。 （新しいタブで開きます） この攻撃では、ユーザーが騙されて悪意のあるコードをコピー、貼り付け、実行させられてしまいます。 このコードは、Node.jsのバイナリを含む複数のコンポーネントをダウンロードしました。 そうすれば、スクリプトはNode.js環境を利用して、ファイルを経由するのではなく、コマンドライン上でJavaScriptを実行できるようになります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この発見は、アクターが他の人気のあるスクリプト言語の使用を完全にやめたことを意味するわけではありません。単に、現在では時折、コンパイルされたJavaScriptを活用しているに過ぎないのです。
マイクロソフトは、Node.js を利用したマルウェアの使用が広まり始めた場合、これは攻撃者の嗜好に変化が生じていることを示唆する可能性がある、と指摘しました。 これはまた、脅威アクターが、通常の活動に紛れ込むために、正当な目的で頻繁に使用されるアプリケーションを探し出し、悪用しようとする傾向を示す、もう一つの例でもあります。
いつものように、マイクロソフトでは、 に推奨事項 （新しいタブで開きます）、 による検知 （新しいタブで開きます）、および ハンティングクエリ （新しいタブで開きます） を掲載しており、組織がこの脅威を特定できるよう支援しています。
偽のPDF変換ツールは、マルウェアの拡散に利用されています
マルウェアを配布する悪意のあるファイル変換ツールに関するFBIの警告を受け、 のCloudSEKは、この脅威について調査を行いました。 （新しいタブで開きます）。 同レポートでは、信頼できるサービスに装いながら、マルウェア「 ArechClient2 」を配布しようとする悪意のある文書変換ツールを用いた攻撃について分析しています。
CloudSEKは、正規のファイル変換サイトである「pdfcandy.com」を装った、複数の悪意のあるファイル変換サイトを特定しました。 これらのサイトは正規のサイトとほぼ見分けがつかないほど似ており、訪問者にPDFファイルをアップロードしてWord形式に変換するよう促します。
偽のPDF変換マルウェアは、どのように動作するのでしょうか？
PDFがアップロードされると、サイトはまずアニメーション付きの読み込み画面を表示し、ファイルが処理中であるかのように被害者に思わせるのです。 次に、このサイトでは被害者にCAPTCHA認証ボックスが表示されます。 この手順を完了すると、ダイアログボックスが表示され、被害者にコードをコピー、貼り付け、実行して、悪意のあるペイロードを起動するよう促します。
さらに、CloudSEKの研究者たちは、そのコマンドを解析し、マルウェアの配信プロセスを隠蔽するリダイレクトチェーンを特定しました。 これは2つの部分に分かれて機能します：
- 最初の接続では、短縮URLを装ったURLが標的となります。 これにより、悪意のあるペイロード「adobe.zip」を配信する悪意のあるURLに誘導されます。
- この悪意のあるペイロードは、以前に悪意があるとフラグが立てられていたIPアドレス上にホストされています。 ZIPファイル内に含まれる悪意のある実行ファイル「audiobit[.]exe」は、攻撃チェーンを起動させ、その結果として「 ArechClient2 」情報窃取ツールが実行されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃は、被害者に悪意のあるコードのコピー、貼り付け、実行を求めるため、被害者による相当な手作業を必要とします。 この手法はますます人気を集めているため、俳優たちが使い続けているということは、ある程度の成果を上げているに違いありません。
この一般的な脅威に見られる典型的な兆候について学ぶことは、 の従業員向けセキュリティ意識向上トレーニングに簡単に組み込むことができます。 （新しいタブで開きます）。 CloudSEKは、レポート『 』（新しいタブで開きます） において、 に対する保護策に関する推奨事項もいくつか掲載しており、参考になるかもしれません。
[関連記事：CISOの成功事例：退屈なサイバーセキュリティ研修を克服する最善策] (新しいタブで開きます)
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
