今週のまとめでは、CTIが、HTMLコード内に埋め込まれたWindowsの検索機能を利用してマルウェアを展開する、高度なマルウェアキャンペーンを分析しています。 次に、CTIは、圧縮されたUUEファイルを介して配布されている「Remcos RAT」ダウンローダーについて調査します。 最後に、CTIは、Black Bastaランサムウェアの攻撃グループが、Windowsの権限昇格の脆弱性を悪用したかどうかを調査しています。
1. マルウェアは、HTML内のWindows検索機能を利用しています
高度なマルウェア攻撃キャンペーンでは、HTMLコード内の Windows検索 (新しいタブで開きます) 機能を利用して、マルウェアを展開しています。
Trustwaveによると、このキャンペーンの背後にいる攻撃者は、システムの脆弱性やユーザーの行動について深い理解を持っているようであり、それにより、より高度なフィッシング攻撃を展開できているようです。
このキャンペーンは、HTML形式の添付ファイルが含まれた「 」を装ったフィッシングメール（ （新しいタブで開きます）、、 ）から始まります。 このHTMLファイルは、従来の電子メールセキュリティスキャナーを回避するために、ZIPアーカイブに格納されています。
Trustwaveによると、これまでのところ、この攻撃キャンペーンの規模は小さく、研究者たちは実環境での事例をわずか数件しか確認していないとのことです。
HTML形式の添付ファイル
このHTML添付ファイルは一見単純に見えますが、巧妙な攻撃を仕掛けるよう仕組まれています。
被害者がこのファイルを開くと、標準的なWebプロトコルを悪用して、Windowsのシステム機能を攻撃します。 このコードには、ブラウザにページの再読み込みを行い、新しいURLへリダイレクトするよう指示する属性が含まれています。 また、このコードには指定された遅延時間が含まれていますが、ほとんどの場合、リダイレクトが即座に行われるよう、この値はゼロに設定されています。
また、このHTMLには、フォールバック機能として機能するアンカータグも含まれています。 リフレッシュが実行できなかった場合でも、ユーザーはリンクをクリックして、残りの処理を手動で実行することができます。
検索プロトコルの悪用
HTMLの読み込みが完了すると、通常、ブラウザはユーザーに対して検索操作を許可するかどうかを確認するメッセージを表示します。
ユーザーの同意なしに、不正なコマンドが特定の有害な操作を実行することを防ぐためのセキュリティ対策が講じられています。 この場合、リダイレクト先URLでは「search:」プロトコルが使用されており、これによりアプリケーションはWindowsエクスプローラーの検索機能と連携することができます。
ユーザーが検索アクションを許可するためにクリックすると、この関数はリモートサーバーから複数のファイルを取得しますが、検索結果に表示されるのはそのうち1つだけです。 このファイルは、同じサーバー上にあるバッチスクリプトを指し示すLNKファイルであり、そのスクリプトがさらなる悪意のある操作を引き起こします。 研究者たちは、このバッチスクリプトを入手することができませんでした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃は被害者の操作を必要とするため、その成功は限定的になることが期待されます。
この攻撃について注意すべき点の一つは、ゼロからの遅延開始が使用されていることです。つまり、ページは即座にリダイレクトされ、ユーザーが反応する時間はほとんど与えられません。 この属性は、将来、リダイレクトの遅延に対応するために変更される可能性があります。
2。 Remcos RATはUUEファイルを介して拡散します
、Remcos RAT ダウンローダー （新しいタブで開きます） は、Power Archiver で圧縮された UUE ファイルを介して配布されています。 フィッシングメールを通じて引き続き拡散されているこのマルウェアは、現在、請求書を装ったおとりメールに悪意のあるUUEファイルを添付しています。
UUE法について
この俳優は、VBSスクリプトを配布する新たな方法を模索しており、現在はUUE添付ファイルとしてスクリプトをエンコードしています。
UUEは「Unix-to-Unixエンコーディング」の略称であり、Unixシステム間でデータを共有するために使用されます。 一般的なUUEファイルには、ヘッダー、エンコードされたデータ、および終了部分が含まれます。
この脅威アクターは、UUEを利用して検知を回避しています。 攻撃者のファイルが復号されると、難読化されたVBSスクリプトが明らかになります。
ダウンローダー
生成されたVBSスクリプトは、PowerShellスクリプトをTempディレクトリに保存し、「Talehmmedes.txt」という名前で呼び出します。
このスクリプトが実行されると、「Haartoppens.eft」をダウンロードし、さらに別のPowerShellスクリプトを実行します。 この難読化されたPowerShellスクリプトは、主にwab.exeプロセスにシェルコードを読み込むために使用されます。 読み込まれたシェルコードは、レジストリを追加することで永続性を確保し、最終的にはRemcos RATを実行します。
Remcos RATマルウェア自体には、大きな変更は加えられていないようです。 このマルウェアは引き続きシステム情報を収集し、それを「%AppData%」ディレクトリに保存して、 C2 サーバーへ送信し続けています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃者は、マルウェアそのものを更新するよりも、新たな配布手段を探すことの方により多くの時間と労力を費やしているようです。
この手法の優れた点は、攻撃者が当初、検知されることなくネットワークに侵入できる可能性があることです。 しかし、マルウェア自体に変更が加えられていないため、防御側、特に既知の戦術・手法・手順（TTP）や侵害の兆候（IOC）に対する検知機能を備えている防御側によって、検知される可能性が高くなります。
とはいえ、この研究は、UUEファイルを新たな配信手段として浮き彫りにしている点で、依然として興味深いものです。
3。 Black Bastaは、Windowsの権限昇格の脆弱性を悪用します
研究者らは、「 」と呼ばれる「Black Basta」ランサムウェア攻撃 （新しいタブで開きます） が、 CVE-2024-26169として追跡されているWindowsの権限昇格の脆弱性を悪用した可能性があると考えています。
この脆弱性は深刻度が高いと評価されており、マイクロソフトが3月の「パッチ・チューズデー」アップデートで修正パッチを公開する以前、 のゼロデイ攻撃として悪用された可能性があります。 （新しいタブで開きます）
「 CVE-2024-26169」とは何ですか？
CVE-2024-26169 (新しいタブで開きます) は、Windows エラー報告サービスにおける権限昇格の脆弱性に関するものです。 攻撃者がこの脆弱性を悪用すると、自身の権限をSYSTEMに昇格させることができます。
CVE-2024-26169 のCVSSスコアは7.8と高く、この脆弱性が深刻であることを示しています。
搾取
新たな調査によると、サイバー犯罪グループ「Cardinal」（「Storm-1811」や「 UNC4393」としても知られ、「Black Basta」ランサムウェアの運営者でもある）が、このWindowsの脆弱性を悪用した可能性があることが示されています。
この脆弱性に関する当初の報告では、実環境での悪用事例は確認されていないとされていました。 しかし、最近の攻撃で使用されたエクスプロイトツールを分析した結果、そのツールはパッチ適用前にコンパイルされていた可能性があることが判明しました。つまり、この脆弱性はゼロデイ攻撃として悪用されていた可能性があります。 (新しいタブで開きます)。
『ブラック・バスタ』のリンク
シマンテックは、最近ランサムウェア攻撃の試みで使用されたエクスプロイトツールを分析しました。 この攻撃は結局失敗に終わりましたが、攻撃で使用されたTTP（戦術・技術・手順）から、研究者たちはこれを「ブラック・バスタ」作戦と結びつけることができました。
エクスプロイトツール
シマンテックによると、このエクスプロイトツールは、「Windowsのファイル『werkernel.sys』がレジストリキーを作成する際に、ヌルセキュリティ記述子を使用しているという事実を悪用する」とのことです。
このツールはレジストリキーを作成し、「debugger」の値を自身の実行ファイルのパス名に設定します。 これにより、このエクスプロイトは管理者権限を持つシェルを実行することができます。
この攻撃で使用されたツールの最初の亜種は、 2024年2月27日というコンパイル日時が記録されており、これはパッチがリリースされる数週間前のものです。 Virus Total上で、コンパイル日時が 2023年12月18日のこのツールの別の亜種が発見されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ここ数ヶ月、「Black Basta」ランサムウェアの攻撃グループは、Quick AssistやTeamsといった正規のマイクロソフト製品を悪用しています。 こうした点を踏まえると、この攻撃を行う前に、犯人が別のマイクロソフト製品のゼロデイ脆弱性を悪用しようとした可能性もあるというのは、理にかなっています。 シマンテックが分析したこのエクスプロイトツールは、攻撃に失敗した事例で使用されたとされていますが、この活発なグループによる攻撃が失敗に終わるケースは、あまり見られません。
ブラック・バスタはこれまで、TTPを比較的迅速に変更してきました (新しいタブで開きます)。そのため、今回の失敗した試みは、今後続く多くの試みのうちの一つに過ぎない可能性が高いと考えられます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
