今週、CTIでは、新たに特定された、自らを「仮想会議ソフトウェア」と称する「Vortax」について取り上げます。このソフトウェアは、情報窃取型マルウェアを配布するものです。 続いて、CTIは、偽のChrome、Word、OneDriveのエラーメッセージを介してマルウェアを拡散させるキャンペーンを調査します。 CTI wraps up with an overview of DISGOMOJI, a Linux malware that uses Discord for its C2 and leverages emojis to execute commands on infected devices.
1. Vortaxは情報窃取型マルウェアを拡散させています
Recorded Future社は、Vortax（ ）と呼ばれる の仮想会議ソフトウェアを特定しました。このソフトウェアは、インストール時に3つの情報窃取型マルウェアを配布します。 この大規模なキャンペーンは、「markopolo」と呼ばれる脅威アクターによって実行されており、Rhadamanthys、Stealc、およびAtomic macOS Stealer（AMOS）を配布しています。
AMOSは野生ではめったに見られないため、このキャンペーンはひときわ目を引きます。 Recorded FutureによるVortaxアプリケーションの調査の結果、すべて同じ C2 のインフラストラクチャを使用している、さらに23 の悪意のあるmacOSアプリケーションが発見されました。
Vortaxとは何ですか？
Vortaxは、自らを「クロスプラットフォームかつブラウザ上で動作する、企業向けの代替ソリューション」と謳うバーチャル会議ソフトウェアです。 このサービスは、人工知能を活用して会議の要約を作成したり、質問案を提案したりすると謳っています。
- Vortaxは現在、すべての主要な検索エンジンにインデックスされており、ソーシャルメディアでも積極的に活動しているほか、Mediumでブログを運営しています。
- また、このソフトウェアはトロントに実在の事業所があると主張していますが、記載されている住所はマンションの住所となっています。
- 一見すると、Vortaxは信頼できるソフトウェア企業のように見えます。特に、フォーブス誌から賞を受賞したことや、Uberのような大手企業からの支持を得ているという主張があることから、その印象は強まります。 当該ソフトウェアに関する調査の結果、こうした主張を裏付けるような証拠は見つかりませんでした。
- その公式サイトには文法上の誤りが散見されます。
Vortaxマーケティング
前述の通り、Vortaxはソーシャルメディアや自社のウェブサイトを通じて自社を宣伝しています。 Windows、Linux、macOS、iOS、Android向けのアプリが用意されているとのことです。
ソフトウェアをダウンロードするには、「ルームID」が必要となります。このIDは、会議の招待状を通じて取得する必要があります。 これらのIDは通常、ソーシャルメディアアカウントからのダイレクトメッセージ、ソーシャルメディア上のVortaxアカウントへの返信、仮想通貨関連のTelegramチャンネルへの投稿、および仮想通貨をテーマとしたDiscordチャンネルへの投稿という4つの方法で拡散されています。
Vortaxのダウンロード
ユーザーがVortaxのウェブサイトにルームIDを入力すると、Windowsをご利用の場合はDropboxのサイトに、macOSをご利用の場合は外部サイトにリダイレクトされます。 いずれにせよ、Vortaxのインストーラーがダウンロードされます。
このインストーラーは、Windowsユーザーには「Rhadamanthys」および「 Stealc」マルウェア（ ）を、macOSユーザーには「AMOS」を配布します。 また、このアプリはユーザーに対して、「重大なエラー」が発生したため実行できないという内容のポップアップを表示します。 その一方で、いくつかの悪意のあるプロセスがバックグラウンドで実行されています。
悪意のあるネットワークの重複
Recorded Futureは、同じIPアドレスでホストされているドメインを詳しく調査したところ、AMOSを配信する悪意のあるアプリケーションをホストしている他のドメインを発見しました。
これらのアプリについてさらに調査を進めたところ、Vortaxと類似した詐欺が明らかになり、markopoloが複数の詐欺を運営しているのではないかと考えられるようになりました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンは、かなり以前から行われているクラック版ソフトウェアのキャンペーンに一捻りを加えたものです。 この攻撃者は、正規の既知のソフトウェアを偽装するのではなく、独自のソフトウェアを作成し、ユーザーがそれをインストールしたくなることを狙っています。 この俳優の虚偽の主張により、ユーザーはVortaxが正当なものであると簡単に思い込まされてしまいます。 しかし、さらなる調査が行われれば、懐疑的な見方が強まる可能性が高いでしょう。
この例が示すように、従業員は承認されたソフトウェアのみをインストールすることが重要です。 また、個人用ソフトウェアに関しては、エンドユーザーは自分が何をインストールしようとしているのかを理解し、時間をかけて調査を行い、その正当性を確認する必要があります。
Recorded Futureは、このキャンペーンで拡散されたマルウェア「AMOS」が、実環境ではあまり使用されていないと指摘しています。 また、この活動を通じて、こうした情報窃取型キャンペーンを追跡することがいかに困難であるかも浮き彫りになっています。
2。 マルウェア攻撃により、偽のエラーメッセージが拡散されています
新たなキャンペーンにより、偽のGoogle Chrome、Microsoft Word、およびOneDriveの エラーメッセージを装ってマルウェアが配布されています。。 それぞれのエラーメッセージは、ユーザーを騙して悪意のあるスクリプトを実行させ、そのマシンにマルウェアをインストールさせようとするものです。
ClearFakeの活動状況
Proofpointは、この手法を 2024年4月 で初めて発見し、それ以降、のすべてのClearFakeキャンペーン において、この手法が確認されています。 背景として、ClearFakeとは、通常、偽のブラウザ更新を利用してウェブサイトを侵害する活動クラスターのことです。 こうした攻撃キャンペーンでは、ユーザーがこれらの乗っ取られたサイトのいずれかにアクセスすると、そのサイトはEtherHidingを介して悪意のあるスクリプトを読み込み、それが二次的なスクリプトを実行します。 ユーザーがサイトにとどまり続けると、エラーなしでウェブサイトを閲覧するためにルート証明書をインストールするよう指示する、偽の警告メッセージが表示されます。
ユーザーに表示されるメッセージには、自分のマシンでスクリプトを手動で実行するよう指示されています。 このスクリプトは、DNSキャッシュをクリアし、クリップボードの内容を消去し、PowerShellスクリプトをダウンロードしてメモリ上で実行します。
2つ目のスクリプトは、仮想環境内で実行されているかどうかを確認する3つ目のスクリプトをダウンロードします。 仮想環境でない場合、ZIPファイルをダウンロードし、その内容を実行した後、ClearFake C2 に対してインストールが成功したことを通知します。 このプロセスの一環として、トロイの木馬化されたDLLをサイドロードし、Lumma Stealerマルウェアをロードします。このマルウェアは、情報窃取活動を行い、追加のペイロードをダウンロードします。
ClickFixの活動
4月、Proofpointは、iframeへと誘導する複数の侵害されたサイトを特定しました。 このiframeは、ユーザーには「何らかの問題が発生しました。この問題を解決するには、ブラウザを更新する必要があります」というメッセージとして表示されます。 この活動は「ClickFix」と呼ばれています。
繰り返しになりますが、ユーザーに表示されるメッセージは、悪意のあるスクリプトをコピーして貼り付けるよう誘導するものです。 この場合、Vidar Stealerがインストールされてしまいます。 この最初の発見から数日後、研究者たちは、iframe のコンテンツが、前述の「ClearFake」インジェクションに置き換えられていたことを突き止めました。
TA571 のアクティビティ
「 TA571 」として追跡されているアクターは、少なくとも2024年3月1日の時点からこの手法を使用しています。 そのキャンペーンでは、 100,000 通以上の電子メールが送信されました。 これらのメールには、Microsoft Wordの文書のように見えるHTML形式の添付ファイルが含まれています。 それらを開くと、ユーザーには「Word Online」拡張機能がインストールされていないというエラーメッセージが表示され、この問題を解決するための選択肢が提示されます。
ユーザーが「解決方法」オプションを選択すると、PowerShell スクリプトがクリップボードにコピーされ、メッセージは、そのスクリプトを手動で実行する方法の説明に切り替わります。 ユーザーが「自動修正」オプションを選択すると、Windows エクスプローラーが開き、WebDAV でホストされているファイルがユーザーに表示されます。
この俳優はここ数ヶ月、視覚的な仕掛けを次々と変えて、この手法を用いています。 場合によっては、攻撃者はOneDriveにホストされている文書のように見えるHTML形式の添付ファイルを使用し、そこには別の偽のエラーメッセージが含まれていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
脅威アクターが、ユーザーにスクリプトをコピーして貼り付けるよう促し、それによってユーザーのマシンを感染させるという手法を用いるのは、今回が初めてのことではありません。
この手法はますます普及しつつあるようで、脅威アクターがさまざまなマルウェアを拡散させるのに役立っているようです。 この手口が広く普及しているのには、十分な理由があります。というのも、攻撃者はそれほど高度な技術や洗練された手口を必要とせず、むしろ被害者に手間のかかる作業を任せてしまうからです。
セキュリティチームは、正当なITヘルプデスクからの指示がない限り、スクリプトを実行しないよう、エンドユーザーに対して研修や啓発を行うべきです。
3。 Linux向けのマルウェアは、絵文字を利用してコマンドを実行します
According to Volexity, a newly discovered Linux malware called DISGOMOJI uses Discord for its C2 and leverages emojis to execute commands on infected devices.
このマルウェアは、Linuxシステム専用のものであり、Linuxディストリビューションを使用していることが判明している組織を標的としています。 このマルウェアは、 UTA0137 として追跡されている、パキスタンを拠点とする攻撃者と関連があるものとみられています。
Volexityによる分析は、ZIPファイル内に含まれていた、Golangで記述されたELFバイナリから始まりました。 このバイナリは、まず無害なPDFファイルを「おとり」としてダウンロードすることから始まります。これにより、被害者は一見すると正当なものに見えるファイルを閲覧することになります。
バックグラウンドで、このマルウェアは、リモートサーバーから次の段階のペイロードである「DISGOMOJI」をダウンロードします。 このペイロードは、隠しフォルダに保存され、Discordサーバー内に専用のチャンネルを作成します。これにより、各被害者がそれぞれ独自のチャンネルを持つことになります。 このプログラムは、被害者に関する情報を収集してチャネルに送信し、cron を通じて常時稼働を維持します。
また、このマルウェアは、接続されているUSBデバイスを確認し、それらのデバイスからファイルをコピーするスクリプトを実行します。
作成されたチャンネルでは、マルウェアにコマンドを送信するために絵文字が送信されます。 これに対し、コマンドが処理中であることを示すために時計の絵文字が送信され、処理が完了するとチェックマークの絵文字が送信されます。
感染後の行動
DISGOMOJIマルウェアを拡散させた後、 UTA0137 は感染後のさまざまな活動を行います。 この攻撃者は、Nmapを利用してネットワークをスキャンし、ChiselおよびLigoloを用いてネットワークトンネルを構築し、さらにoshi[.]atファイル共有サービスを利用して追加のツールを展開しています。
この攻撃者は、Firefoxのアップデートを装ったダイアログボックスをユーザーに表示し、操作を続行するためにパスワードの入力を要求するようなコマンドを、複数回にわたって発行しました。 最近のキャンペーンにおいて、この攻撃者は権限昇格のエクスプロイト「 CVE-2922-0847」を利用しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
これは一般的な攻撃手法ではないため、文字列ベースの検知のみに依存しているセキュリティソフトウェアにとっては、課題となる可能性があります。
現時点では、この活動はインド政府機関を標的としており、広範囲に及んでいるようには見えません。 Linuxデバイスを標的とする攻撃が増加していることや、この新しい絵文字の手法が用いられていることを踏まえると、この攻撃の成功率に注目する攻撃者が増えれば、被害の範囲が拡大する可能性があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
