今週、CTIでは、スパムメールを大量に送りつけてユーザーを圧倒した後、企業のITチームを装うソーシャルエンジニアリング攻撃について取り上げます。 次に、CTIは、パロアルト社が実環境で観測したDNSトンネリングの活用事例を詳述した最新のケーススタディを取り上げます。 最後に、CTIは、悪意のある広告を通じてWinSCPおよびPuTTY向けの悪意のあるインストーラーを配布している、現在進行中の攻撃キャンペーンについて調査を行っています。
1. 現在進行中のソーシャルエンジニアリング攻撃が企業を標的にしています
現在進行中の を標的としたソーシャルエンジニアリング攻撃（ ）では、ユーザーに大量のスパムメールを送りつけて圧倒した後、同社のITチームを装ってユーザーに電話をかけ、支援を申し出るという手口が用いられています。
のこのキャンペーン（）では、電話を通じて、ユーザーに対し、リモート監視・管理ソフトウェアのダウンロード、またはMicrosoftに組み込まれている「Quick Assist」機能を使用してデバイスへのリモート接続を確立するよう促します。 その後、攻撃者は悪意のあるペイロードをダウンロードし、認証情報を収集し、持続性を確立します。
今回の攻撃にはランサムウェアは関与していませんが、この攻撃から得られたIOCは、以前より の「Black Basta」ランサムウェア作戦（）と関連付けられていました。
Rapid7 は、2024年4月年後半以降、このソーシャルエンジニアリング攻撃の事例をいくつか確認しています。 これらの攻撃はすべて、標的となった環境内のユーザーグループが大量のスパムメールを受信することから始まります。
Rapid7 社は、スパムの量が「導入されているメール保護ソリューションの処理能力を上回り、ユーザーの受信箱に届く」ほどになることを確認しました。
メール
そのメール自体は、それ自体が悪意のあるものではありません。 それらは、多くの正規の団体から送信されたニュースレターの登録確認メールです。 ユーザーはこうしたスパムメールを大量に受け取るため、不安を感じたり、少なくともその動きに疑問を抱き始めたりするでしょう。
電話
ユーザーに大量のメールを送信した後、攻撃者は、各ユーザーに電話をかけ、そのユーザーのITチームの関係者であるかのように装って連絡を取ってきます。
この俳優は、ユーザーが直面しているメールの「問題」についてサポートを申し出、AnyDeskなどのリモート監視・管理（RMM）ツールを通じて、ユーザーに端末へのリモートアクセスを許可するよう働きかけます。
その他のケースでは、攻撃者はWindowsに組み込まれているリモートサポートユーティリティ「Quick Assist」を悪用しました。 ユーザーがソーシャルエンジニアリングの試みに引っかからなかった場合、攻撃者は単に次の標的となるユーザーへと移るでしょう。
アクセス権を取得しました
ユーザーがこの手口に乗せられ、攻撃者がデバイスへのリモートアクセスを獲得した場合、攻撃者はまず一連のバッチスクリプトを実行し始めます。 これらのスクリプトは、不審に思われないよう、ユーザーには更新プログラムとして表示されます。
最初のスクリプトは、 C2 サーバーへの接続を確認し、zipアーカイブをダウンロードします。 このアーカイブには、RuntimeBroker.exe に名前が変更された正規版の OpenSSH に加え、その依存ファイル、RSA 鍵、およびその他の SSH ファイルが含まれています。
このスクリプトは、実行時に作成される追加のバッチスクリプトを指す「run」キーのエントリを使用して、永続性を確立します。 これらのスクリプトはそれぞれ、PowerShell を通じて SSH を無限ループで実行し、 C2 へのリバースシェルの確立を試みます。
Rapid7が確認したすべての事例において、このスクリプトはPowerShellを介してコマンドラインから被害者の認証情報を収集していました。 「更新」を装ったプロンプトが表示され、更新を進めるためにログインするための認証情報の入力をユーザーに求めると、その認証情報が収集されます。 ある事例では、最初の侵入後、攻撃者はSMBを介して環境内で横方向の移動を行いました。
Rapid7 は、これらの攻撃のいずれにおいても、攻撃者がランサムウェアを展開する様子を確認できませんでした。 しかし、フォレンジック分析によって特定されたIOCは、「Black Basta」ランサムウェア攻撃のものと一致しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
研究者たちは、このキャンペーンのような高度なソーシャルエンジニアリングの手法を、ますます多く確認しています。 これは主に、それらが効果的だからです。
この攻撃では、攻撃者はまず、被害者にサポートが必要だと信じ込ませた上で、ITチームを装って被害者に連絡を取り、いわば「解決」すべき問題を自ら作り出しているのです。
この手法はMGM攻撃とは少し異なりますが、同じ目的を達成するものであり、最近のソーシャルエンジニアリングがいかに高度化しているかを浮き彫りにしています。 脅威アクターがディープフェイクなどの目的で生成AIやLLMを採用し続けるにつれ、こうした種類の攻撃は今後さらに頻繁に発生する可能性があります。
2。 ハッカーによるDNSトンネリングが拡大しています
パロアルトのUnit 42 は先日、実環境で確認されたのDNSトンネリングの活用事例に関するケーススタディを公開しました。
これらの攻撃者は、DNSトンネリングを利用して、標的が のフィッシングメール（ ）を開封したり、悪意のあるリンクをクリックしたりしたタイミングを追跡しているほか、潜在的な脆弱性をスキャンするためにもこれを利用しています。
これらの技術は、従来のDNSトンネリングのユースケースである「 C2 」やVPNの用途にとどまりません。
DNSトンネリングとは何ですか？
DNSトンネリングは、脅威アクターが情報を外部へ持ち出すためによく用いられる手法です。 攻撃者は、DNSトンネリングを利用して C2との通信を確立することが多く、これによりデータの流出や侵入が可能になります。 また、VPNの目的でDNSトンネリングを利用することも一般的です。 目的が何であれ、攻撃者は通常、トラフィックを正当なDNSトラフィックと混在させる独自の方法でデータを暗号化します。
パロアルトの調査によると、攻撃者は現在、追跡やスキャンにもDNSトンネルを利用していることが明らかになりました。
追跡のためのDNSトンネリング
現在、攻撃者はDNSトンネリングを利用して、標的とした被害者の行動を追跡し、いつ悪意のあるリンクや広告をクリックしたかを確認しています。
これを行うために、攻撃者は、被害者の行動に関するマルウェア情報を、DNSクエリの固有のサブドメインに埋め込みます。 このサブドメインはトンネリングのペイロードとなり、すべてのDNSクエリは攻撃者が制御するネームサーバーに保存されます。
- TrkCdn キャンペーン「」：このキャンペーンは、被害者がメールとどのようにやり取りしたかを追跡することを目的としています。
パロアルト社は、このキャンペーンの被害者となり得る人物を 731 名特定し、658 のドメインを解決するネームサーバーのIPアドレスを75 件特定しました。 追跡を行うには、攻撃者は自身のDNSログを照会し、ペイロードとメールアドレスのハッシュ値を照合することで、特定の被害者がメールを開封したか、あるいはメール内のリンクをクリックしたかを確認することができます。
- SpamTracker キャンペーン：この実例として挙げられるのが、「SpamTracker」と呼ばれるキャンペーンです。これは、DNS トンネリングを利用してスパムメールの配信状況を追跡するものです。
このキャンペーンは、ネームサーバーとしてすべて同じIPアドレスを共有している 44 のトンネリングドメインに関連付けられています。 これらのドメインは、他のキャンペーンと同様のDGA命名規則とエンコーディングを採用しています。 SpamTrackerは、日本発祥であると考えられており、メールやウェブサイトのリンクを利用して、占いサービス、偽の荷物配達通知、副業の募集、生涯無料の商品といった餌を仕掛け、スパムやフィッシングを送りつけています。
スキャン用のDNSトンネリング
また、攻撃者はDNSトンネリングを利用して、多くの場合、送信元IPアドレスを偽装してネットワークをスキャンし、悪用可能な開放状態のリゾルバーを発見しようとします。 この活動は、多くの場合、攻撃の第一段階となります。
- SecShowキャンペーン「」：パロアルトは、攻撃者がDNSトンネリングを利用して組織のネットワークインフラをスキャンし、その後に通常はリフレクション攻撃を仕掛けるというキャンペーンを特定しました。
その攻撃者は、公開されているリゾルバーを探し出し、リゾルバーの遅延をテストし、特定されたリゾルバーの脆弱性を悪用しました。 このキャンペーンは、主に教育、テクノロジー、および政府の各分野を対象としていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターは、主に C2 やVPNの目的でDNSトンネリングを利用することが最も一般的です。
パロアルトのケーススタディによると、脅威アクターは現在、この手法をネットワークスキャンや追跡などの目的にも拡大していることが明らかになりました。
この追跡の側面は興味深く、一部の脅威アクターが、単にキャンペーンを大量にばら撒いて運を天に任せるのではなく、実際に時間をかけて、キャンペーンの到達範囲や成功度合いを確認していることを示唆しています。
3。 マルウェア広告キャンペーンがランサムウェア感染につながる
現在進行中のキャンペーンでは、 の悪意のある広告（）を通じて、WinSCP および PuTTY の悪意のあるインストーラーが配布されています。
このマルウェアにより、攻撃者は特権的な足場を確立し、正当な管理操作に紛れ込むことが可能になります。 少なくとも1件の事例では、このマルバタイジング攻撃により、ランサムウェアの拡散が試みられました。
マルウェア広告キャンペーンの概要
このキャンペーンは、 2024年3月 年の初頭に、特定されたRapid7 の脅威アクターが、から、悪用されたWinSCPおよびPuTTyのインストーラー（）を配布し始めたことで始まりました。 被害者は、検索エンジンでWinSCPやPuTTyのダウンロードを検索し、悪意のある広告をクリックした結果、こうした悪意のあるインストーラーに誘導されてしまいます。 この悪意のある広告は、ユーザーを正規のダウンロードサイトと非常によく似たサイトへ誘導します。
これらの偽装サイトには、ページに埋め込まれたセカンダリドメインから、トロイの木馬を含むZIPアーカイブをダウンロードするためのリンクが含まれています。 ユーザーがこのコンテンツをダウンロードして解凍すると、感染が始まります。 この攻撃の一環として、悪意のあるDLLがサイドロードされます。
Rapid7 は、今回の攻撃に見られるTTPの一部について、「過去のBlackCat/ALPHVの攻撃キャンペーンを彷彿とさせる」と指摘しています。 ある事例では、 Rapid7 は、ある攻撃者がResticを介してデータを持ち出そうとしたり、ランサムウェアを展開しようとしたりする様子を確認しました。 この処理は実行中にブロックされました。
初回アクセス
ユーザーが悪意のある広告をクリックし、偽のWinSCPまたはPuTTyのインストーラーをダウンロードすると、感染が始まります。 タイポスクワットされたPuTTyのページでは、ドメイン名に余分な「t」が含まれており、ユーザーが違いに気づくのが困難になっていました。
このタイポスクワッティングページのランディングページには、ダウンロードリンクと、他のリソースへの正当なリンクが2つ掲載されています。 被害者がインストーラーをダウンロードすると、そこに埋め込まれた関数が呼び出され、最終的にはユーザーを最新の悪意のあるZIPアーカイブのダウンロードページにリダイレクトします。
実行
zipアーカイブが解凍されると、ユーザーには「setup.exe」が表示されます。これは「python.exe」の名前を変更したコピーです。 setup.exe が実行されると、悪意のある DLL である python311.dll がサイドロードされ、その DLL が、正規の DLL である python3.dll の名前が変更されたコピーを読み込みます。
サイドローディングが正常に完了すると、マルウェアは解凍前のセットアップを実行し、追加の機能を動的に解決します。 セットアップと実行には、公開されているAntiHookライブラリと同様の機能を使用しています。
このマルウェアは、NTAPI（WindowsネイティブAPI）関数を解決することで、「より一般的に使用されるユーザーモード関数（WINAPI）に適用される検知を回避し、通常は利用できない低レベルの機能にアクセスする」ことになります。 セットアップが完了すると、マルウェアはDLLから暗号化されたリソースを取得します。 このマルウェアは、メモリ内でこのリソースを復号化し、その結果、PuTTYの正規のMSIインストーラーを含む3つの圧縮ファイルが格納されたZIPアーカイブが生成されます。 このマルウェアは、最終的にSliverビーコンDLLであるファイルを復号します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
マルバタイジングが広く行われていることはすでに知られていますが、脅威アクターがこれを利用してランサムウェアの展開を試みた事例は、ごくわずかです。
ランサムウェアの展開は失敗に終わりましたが、この攻撃者（あるいは他の攻撃者）が、この手法を再び試みる可能性があります。 マルウェア広告とランサムウェアの組み合わせは、確かに懸念されるものであり、一般的なランサムウェアの配布手法とは異なります。
ランサムウェアの場合、攻撃者は特定の被害者を標的にすることが多く、初期アクセスを得るためにある程度の高度な技術力を有しています。 初期アクセス用のマルウェア広告を組み込むことで、被害者が自ら攻撃者の元へやってくるようになります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
