最新のインテリジェンスまとめにおいて、CTIは、OpenAIの人気アプリ「ChatGPT」を悪用して金銭的利益を得ようとする、最近のサイバー犯罪の急増について調査しています。 確認された悪意のある活動には、Windows や Android 向けのマルウェアの配布から、フィッシングや不正な決済ページまで多岐にわたります。 続いて、CTIは、オープンソースソフトウェアのリポジトリが直面しているもう一つの脅威について調査しています。それは、脅威アクターが自動化を活用し、わずか数時間で数千ものスパムパッケージを生成するキャンペーンという形をとったものです。 最後に、CTIは「Stealc」と呼ばれる新たな情報窃取ツールを分析しました。このツールは最近、ダークウェブ上で販売広告が出されていることが判明したもので、開発者からは「機能が充実しており、すぐに使える状態の窃取ツール」と説明されています。
1. ハッカーは偽のChatGPTアプリを利用して、WindowsやAndroid向けのマルウェアを拡散させています
攻撃者は、OpenAIのChatGPTチャットボット（ ） （新しいタブで開きます） を利用して、WindowsおよびAndroid向けのマルウェアを拡散し始めました。また、この話題沸騰中の技術に関する偽のソーシャルメディアページを利用して、被害者をフィッシングページへ誘導しています。
ChatGPT：おさらい
ChatGPT was launched in 2022年11月 and has gained immense traction since; becoming what BleepingComputer describes as the most rapidly growing consumer application in modern history, with more than 100 million users by 2023年1月. 人工知能（AI）の研究開発企業であるOpenAIによって開発・リリースされたChatGPTは、極めて 効果的な機械学習モデルに基づいたチャットボットです。
一般公開されて間もなく、 のChatGPTがサイバー脅威アクター によって悪意のある目的で悪用されている事例を伝える報告が相次ぎました。 セキュリティ研究者らによると、ChatGPTがマルウェアや暗号化ツールの作成、詐欺行為の助長、説得力のある フィッシングメールの作成などに悪用されるといった悪意のある活動が報告されています。
一方、OpenAIはこうした動きを予期していたようでした。 OpenAIのウェブサイトに掲載された 2018年2月20日のブログ記事「: Preparing for Malicious Uses of AI (新しいタブで開きます)」では、同社が共著した研究論文について次のように説明しています：
私たちは、悪意のある攻撃者がAI技術をどのように悪用しうるか、また、こうした脅威を防止・軽減するための潜在的な方法について予測した論文を共同執筆いたしました…… AIは、既存の多くの攻撃を実行するためのコストを引き下げ、新たな脅威や脆弱性を生み出し、特定の攻撃の犯行主体を特定することをさらに困難にするため、世界の安全保障に課題をもたらしています。
ChatGPTの空前の成長により、OpenAIは最終的に同ツールの利用制限を導入し、利用制限に悩まされることなくチャットボットを利用したいユーザー向けに、月額20 ドルのサブスクリプションプランを開始しました。
常に利用可能であることは、新たな問題を引き起こします
ChatGPTへの無制限アクセスに対するこの新たな制限は、予期せぬ事態を招きました。つまり、このツールの人気を利用しようとする攻撃者にとって絶好の条件が整い、新たに導入されたChatGPTのプレミアムプランへの途切れることのない無料アクセスを（偽って）約束することで、被害者を誘い込むことが可能になってしまったのです。
こうした手口は、最終的には、警戒心のない被害者にマルウェアを配布したり、攻撃者にアカウントの認証情報を提供させたりすることを目的としています。
この手法の事例にいち早く気づいた人物の一人が、セキュリティ研究者のドミニク・アルヴィエリ氏です。同氏は、「chat-gpt-pc.online」というドメインが、ChatGPTのWindowsデスクトップクライアントのダウンロードを装い、訪問者に情報窃取型マルウェア「Redline」を感染させるために利用されていることを確認しました。 このウェブサイトは、ユーザーをだまして悪意のあるサイトへリダイレクトさせる目的で、ChatGPTの公式ロゴがびっしりと貼られたFacebookページを通じて宣伝されていました。 Google PlayやサードパーティのAndroidアプリストアでも同様のプロモーションが確認され、いずれも悪意のあるソフトウェアが配布されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「チャットボットの注目度が高まるにつれ、このアプリケーションを悪用してマルウェアやフィッシング攻撃を仕掛けようとする脅威アクターの数も増加しています。」 ChatGPTの成功を受けて、経験の浅いハッカーが説得力のあるフィッシング攻撃を展開したり、マルウェアの機能を向上させたりできるよう設計されたChatGPTインターフェースを販売する投稿が、闇市場に急増しています。 「これは、サイバー犯罪の世界に参入しようとする、技術力の低いハッカーにとって、参入障壁をさらに低くする結果となるだけです。」
2。 攻撃者らが、フィッシングリンクを含む 15,000 個以上のスパムパッケージをNPMリポジトリに大量に投稿しました
Checkmarxの研究者らは、NPMのオープンソースリポジトリ （新しいタブで開きます） に対し、わずか数時間の間に複数のユーザーアカウントから、数千もの スパムパッケージが大量にアップロードされたことを発見しました。
調査の結果、これらのパッケージは自動化されたプロセスによって作成されたことが判明しました。 これらのパッケージには、それ自体を生成するために使用されたのと同じ自動化コードが含まれており、研究者らは、これが脅威アクターによって誤ってアップロードされた可能性が高いと考えています。
この発見について
Checkmarxは、 2023年2月20日のNPMエコシステムにおいて、新しい情報を自社のデータベースと照合した際、異常を発見しました。 研究者たちは、NPMに大量の新しいパッケージが公開されていることに気づきました。 これらのパッケージは、攻撃者がフィッシングキャンペーンへのリンクを含むパッケージをオープンソースのリポジトリに大量に投稿するという、よく知られた攻撃手法の一部であることが判明しました。 自動化されたプロセスにより、NPMおよび関連アカウントに 15,000 個以上のパッケージが作成されたようです。
フィッシングサイト
のフィッシングキャンペーン（）を宣伝するため、攻撃者はハッキング、チート、無料リソースに関連する名称のパッケージを使用しました。 パッケージ名の中には、「free-tiktok-followers」や「free-xbox-codes」といったものが含まれており、ゲームのチートやフォロワー数の増加を約束することで、ユーザーを誘い込み、フィッシングリンクをクリックさせようとしています。 パッケージの説明欄には、さまざまなフィッシングサイトへのリンクが含まれていました。
このフィッシング攻撃は、複数のドメインにまたがるいくつかの固有のURLと関連しており、各ドメインには異なるパス下に複数のフィッシングページがホストされていました。 これらのフィッシングページはかなり説得力があり、場合によっては、被害者がやり取りを試みるとメッセージに返信してくるような、偽の対話型チャット機能さえ組み込まれていることもあります。
フィッシングページには、データを処理して約束されたプレゼントを生成するかのように装った偽のフローが含まれています。 この処理はほとんどの場合失敗し、その後、被害者には人間による確認手順の段階に進むよう求められました。 このプロセスでは、複数のサイトがユーザーを次々と別のサイトへ誘導し、ユーザーにさまざまな質問やアンケートへの回答を求めていました。 多くの場合、ユーザーは正規のECサイトにリダイレクトされます。
脅威アクター向けの紹介報酬
研究者たちは、同様の機能を持つ類似のPythonスクリプトを発見しましたが、これらはスパムパッケージを自動的に生成・公開しているものとみられます。
また、自動化の一環と思われる他の「helper.txt」ファイルも発見されました。 注目すべきファイルの一つとして、パッケージ内に含まれるPythonスクリプトがあり、これにはパッケージ公開の全手順が盛り込まれています。
この脅威アクターは、コンテンツを公開できるニュース風サイトをいくつか作成したか、あるいはそれらにアクセスできたようです。 このPythonスクリプトの最後のタスクは、こうしたニュースサイトのようなサイトに、関連性のない投稿へのリンクを追加することです。 これらのリンクは、攻撃者がNPMのサイトに公開したパッケージのウェブページへつながっています。 これを行うために、攻撃者は「selenium」というPythonパッケージを利用して、これらのWordPressサイトとやり取りを行います。 パッケージのリンクを投稿するには、まず編集者として認証を受ける必要があります。
研究者たちは、これらのスクリプトのアップロードは意図的なものではなかったと考えています。 この見解の主な根拠は、スクリプトにWordPressサイトへの認証に使用される認証情報が含まれているという事実です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この事例は、脅威アクターが、収益性の高い最新の攻撃手法に対応するために、いかに迅速に戦略を転換できるかを浮き彫りにしています。」 オープンソースのリポジトリで発見された悪意のあるパッケージを悪用したこれまでの攻撃の多くは、小規模なものが多いようで、おそらく手作業による配布手法が用いられていることを示唆しているようです。 今回のキャンペーンでは、攻撃者はこれをさらに一歩進め、自動化に時間と労力を費やし、短期間のうちに 15,000 件以上のパッケージに影響を及ぼす大規模な攻撃を実行しました。」
3。 幅広い情報窃取機能を備えた新たな「Stealc」マルウェアが出現しました
サイバーセキュリティ企業SEKOIA.IOが、 のブログ（ （新しいタブで開きます））に最近投稿した記事では、新たな情報窃取型マルウェア「Stealc」の特定について詳しく解説しています。
Stealcはダークウェブ上で発見され、脅威アクターによって、Vidar、Raccoon、Mars、Redlineといったステラーをベースにした、機能が充実し、すぐに使用可能なステラーとして紹介されています。 SEKOIA.IOによる調査の結果、実環境で拡散している数十のStealcのサンプルと、 40 台以上のStealcコマンド＆コントロールサーバーが発見されました。
ダークウェブ上のStealc
情報窃取ツール「Stealc」は、 2023年1月9日のロシア語圏のアンダーグラウンドフォーラムで初めて宣伝されました。 このフォーラムでそれを宣伝している脅威アクターは、「Plymouth」というハンドルネームを使用しています。 この脅威アクターは、新たなマルウェアとその多岐にわたる情報窃取機能について詳述した長文の解説を公開しました。 この最初の出版後、プリマスは引き続き『Stealc』の宣伝を行い、さらなる媒体を通じてより多くの読者にリーチしようと試みました。
見込み客の信頼を得るため、プリマスはサイバー犯罪フォーラムの利用者に対し、「無料」のマルウェア検査を提供しました。 プリマスは0.02が必要でした 毎週のテストのために、ビットコインを入金しました（当時のレートで約400 ドルに相当します）。
Plymouthは最終的にStealcのいくつかのバージョンをリリースし、さまざまなフォーラムや専用のTelegramチャンネルで変更履歴を公開しました。 プリマスのリリース履歴を見ると、Stealcは現在も活発に開発が進められていることがわかります。
宣伝されている機能
ダークウェブ上の広告によると、Stealcは、仮想通貨ウォレット用のほとんどのウェブブラウザ拡張機能やデスクトップ型仮想通貨ウォレットから機密データを狙うほか、電子メールやメッセンジャーソフトなどのその他のアプリケーションからの情報も標的としています。 データ収集の設定は、攻撃者のニーズに合わせてマルウェアを調整できるよう、カスタマイズできるようです。
Stealcには、攻撃者がグラバーのルールに一致するファイルを盗み出せるよう、カスタマイズ可能なファイルグラバーが実装されています。 また、Malware-as-a-Service（MaaS）として販売されている情報窃取型マルウェアに典型的なローダー機能も備えています。 Stealcは、ChromeからOpera、Firefoxに至るまで、いくつかのウェブブラウザを標的とすることができます。
Stealcの管理パネルを利用することで、攻撃者はマルウェアの設定を行ったり、盗み出したデータを解析・表示・フィルタリング・並べ替え・分析したり、ログをダウンロードしたりすることができます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Stealcが、驚くほど幅広い機能を備えた情報窃取型マルウェアであるのも、当然のことでしょう。」 何しろ、競合するマルウェア開発者たちは互いに絶え間ない争いを繰り広げており、誰がより多くの機能を備えた情報窃取型マルウェアを、より速く開発できるかを競い合っているのです。 「これは通常、他のトップクラスのマルウェアファミリーから流用したコードを土台として、新たなマルウェアの亜種を作成することを伴います。」
「この傾向について、Stealcの開発者は、このマルウェアがRaccoonやRedLineといった著名な情報窃取型マルウェアに依存していることを指摘しています。先月登場して以来、Stealcには絶え間なく更新が適用されており、これは開発者が、このマルウェアを他の 系競合情報窃取型マルウェア と同等の水準に、しかも迅速に引き上げようとしていることを示唆しています。」
「SEKOIA.IOはまた、Stealcに関する詳細な技術分析を近いうちに公開する予定であると述べています。今後の最新情報にご注目ください。」
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
