今週のまとめの第一弾として、CTIは、macOSプラットフォームを標的とする「MetaStealer」と呼ばれる新しい情報窃取型マルウェアのファミリーについて検証しています。 次に、最近実環境で発見された「 3時 」という新しいランサムウェアのファミリーについて見ていきます。 また、RedLineおよびVidarというマルウェアファミリーの概要や、これらを操る脅威アクターが、情報窃取型マルウェアを拡散する際と同じ配信手法を用いて、ランサムウェアのペイロードを配布している実態についても解説しています。
1. Go言語を用いた新たな情報窃取型マルウェアのファミリーが、標的型攻撃を通じて拡散しています
Sentinel One社は、 と呼ばれるmacOS向け情報窃取マルウェアの新たなファミリーを追跡・分析しており、MetaStealer （新しいタブで開きます） を参照し、このマルウェアが最近の他の情報窃取マルウェアとどのように異なるかを調査しています。
SentinelOneによると、MetaStealerのサンプルの多くは、dmgファイル内の悪意のあるアプリケーションバンドルとして配布されています。 これらのファイルの名前から、標的がMac端末を利用するビジネスユーザーであったことがうかがえます。 ファイル名には、「advertising terms of reference (MacOS presentation).dmg」、「CONCEPT A3 full menu with dishes and translations to English.dmg」、「AnimatedPoster.dmg」、および「Brief_Presentation-Task_Overview-(SOW)-PlayersClub.dmg」などが含まれています。
MetaStealerのあるバージョンは、「Conract for paymen & confidentiality agreement Lucasprod.dmg」という名前でした（実際のファイル名には誤字が含まれています）。 このファイルは、被害者がどのように騙されたかを詳しく説明したコメントを添えて、VirusTotalにアップロードされました。 被害者は、デザインの発注者を装った人物に誘い出され、悪意のあるdmgファイルが含まれたパスワードで保護されたzipファイルを送られてしまったと述べています。 他のMetaStealerのバージョンでは、Adobeのファイルやソフトウェアを装った名前が使用されていました。
悪意のあるアプリケーションバンドル
ディスクイメージに含まれるアプリケーションは、macOSバンドルを作成するための最低限の要件を満たしています。 このバンドルには、Info.plsitファイル、アイコン画像を含む「resources」フォルダ、および悪意のある実行ファイルを含む「macOS」フォルダが含まれています。 SentinelOneが確認したサンプルのいずれも、コード署名を添付したり、アドホックな署名を使用したりしていませんでした。つまり、脅威アクターは、Gatekeeperなどの保護機能を無効にするよう被害者を説得する必要がある可能性が高いと考えられます。
収集されたサンプルは、単一アーキテクチャの x86_64 バイナリであり、Rosetta を利用することで、Apple Silicon M1 および M2 搭載のマシンでのみ実行可能です。 MetaStealerのサンプルは、VirusTotalに定期的にアップロードされています。
難読化されたGo実行ファイル
メインの実行ファイルは、コンパイルされ、高度に難読化されたGoソースコードを含むIntel x86 Mach-O形式のファイルです。
この難読化の手法は、難読化された「Sliver」および「Poseidon」マルウェアのバイナリで使用されているものと類似しています。 難読化が施されていたにもかかわらず、研究者たちは、キーチェーンの情報を外部へ流出させたり、保存されたパスワードを抽出したり、ファイルを取得したりする機能を特定しました。 一部のバージョンには、TelegramやMetaのサービスを標的とする手法が含まれています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「MetaStealerの出現は、Macユーザーを標的とする情報窃取型マルウェアが最近増加している傾向の一因となっています。」 MetaStealerは、macOSデバイスのビジネスユーザーを特に標的としていますが、これは、通常はクラックされたソフトウェアやマルウェアを含む広告を通じて拡散されるMac向けマルウェアとしては、これまでには例のないことです。
「MetaStealerは、被害者に悪意のあるペイロードを自ら実行させるよう誘導するために、ソーシャルエンジニアリングを多用しています。」 「これは、脅威の攻撃者たちがますます巧妙になっている分野であり、そのため、私たち全員がこれまで以上に警戒を強める必要があります。」
2。 研究者らが、実環境において「 3時 」ランサムウェアを発見しました
シマンテックは、実環境において「 3時」と呼ばれる新しいランサムウェアファミリー（ ）を発見しました。 （新しいタブで開きます） 。3時 は、ある単一のインシデントで検出されました。このインシデントでは、あるアフィリエイトがネットワーク内でLockBitの展開に失敗した後、このランサムウェアを展開しました。
「 3時 」ランサムウェアの背景
3時 これは、身代金要求メッセージに「 3時 」への言及があり、暗号化されたファイルの拡張子が「.threeamtime」となっていることから、シマンテックがこのランサムウェアファミリーに付けた名称です。
このランサムウェアはRustで記述されており、ファイルを暗号化する前に複数のサービスを停止させようとします。 暗号化が完了した後、ボリュームシャドウコピーの削除を試みます。
これまでのところ、「 3時 」ランサムウェアが確認された事例は極めて稀です。 これは、LockBitの展開に失敗した後の、たった1件の攻撃でのみ確認されました。 現時点では、その作成者が既知の脅威アクターやグループと関連しているかどうかは不明です。
攻撃の準備
この脅威アクターによる最初の確認された活動は、gpresult コマンドを使用して、特定のユーザーに対してそのコンピュータで適用されているポリシー設定をダンプすることでした。 その後、攻撃者はCobalt Strikeのさまざまなコンポーネントを実行し、PsExecを使用して権限の昇格を試みたほか、偵察コマンド（whoami、netstat、quser、netshare）を実行し、ネットワーク内の他のサーバーを列挙して横方向の移動を試みました。 その後、永続化のために新しいユーザーが追加され、Wputツールを使用してファイルをFTPサーバーへ流出させました。
この攻撃者は当初、LockBitランサムウェアを展開しようとしましたが、ネットワーク上でブロックされました。 このため、攻撃者は代わりに 3時 を利用せざるを得なくなりました。 3時 の使用は部分的な成功にとどまりました。これは、攻撃者がこのソフトウェアを3台のマシンにのみ展開できたものの、そのうち2台では展開がブロックされたためです。
3時 分析
このランサムウェアは、Rustで記述された64ビットの実行ファイルです。 このプログラムは、以下のコマンドライン引数を認識します：
- "-k" – 32 Base64 文字。身代金要求メッセージでは「アクセスキー」と呼ばれています。
- "-p" – 不明
- "-h" – 不明
- "-m" – メソッド。このオプションを指定すると、コードは暗号化ロジックを実行する前に、2つの値のうちいずれかを確認します：
- 「ローカル」
- 「ネット」
- "-s" – 暗号化速度を調整するために、ファイル内の暗号化対象範囲を指定します。 これは10進数の形で表されます。
コマンドライン引数「-m」と「-h」は、互いに排他的です。 「-h」および「-m」パラメータの使用法、ならびにその値である「local」と「net」は、Contiで使用されている引数と非常に似ています。 実行されると、多数のコマンドが実行されようとしますが、その多くは、セキュリティやバックアップに関連するさまざまなソフトウェアを停止させようとするものです。
その後、ランサムウェアはディスクをスキャンし、あらかじめ定義された条件に一致するファイルを特定して、それらのファイルを暗号化し、元のファイルを削除します。続いて、 3時 は、スキャンされた各フォルダ内に「RECOVER-FILES.txt」というファイルを作成します。 このファイルには身代金要求書が含まれています。
暗号化されたファイルには、マーカー文字列「 0x666 」と、その後にランサムウェアによって追加されたデータが含まれています。 暗号化ルーチンの実行が完了した後、ボリュームシャドウコピーを削除しようとします。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「あるランサムウェアを展開しようとしたものの、それが阻止されたため別のランサムウェアに切り替えたという脅威アクターに関する報道は、あまり見かけません。」 「さらに、脅威アクターがこれまでに例のないランサムウェアに切り替えているという報道は、さらに少ないのが現状です。」
「新しいランサムウェアを試してみるには、悪意を持って使用するのではなく、予備策として活用するという点で、今が興味深い時期のようですね。」 3時 ランサムウェアは部分的な成功にとどまったため、この脅威アクターは依然として3時 の開発を進めており、他に選択肢がなかったために一時的にそちらに切り替えただけである可能性があります。 「LockBitの関連組織とされるグループが代替手段としてこれを使用していたことを考えると、今後、 3時 がさらに登場するとしても不思議ではありません。」
3。 RedLine/Vidarの攻撃グループがランサムウェアへの転向を図っています
トレンドマイクロは、 2022年半ばから、「 」「RedLine」、「Vidar」といったマルウェアファミリーの動向を追跡しています。 （新しいタブで開きます） これら2つのファミリーは、スピアフィッシング（）やフィッシング（）を通じて、被害者を標的にするために利用されてきました。 しかし、最近の調査によると、これらのマルウェアファミリーの背後にいる攻撃者は、情報窃取型マルウェアを拡散する際に用いるのと同じ配信手法を用いて、ランサムウェアのペイロードを配布していることが明らかになりました。
現在、攻撃者たちは、同じ経路を通じてランサムウェアのペイロードを送信する前に、EVコード署名証明書付きの情報を窃取するマルウェアを送信していることが確認されています。
背景
組織は、ある国における法的および物理的な実在性を確認すると、拡張検証（EV）コード署名証明書を取得できます。 通常のコード署名証明書に比べ、本人確認の手続きがより厳格な発行プロセスがあります。 このプロセスには秘密鍵の生成も含まれており、これにはハードウェアトークンが必要となります。
今年初めに追加のセキュリティ対策が講じられたにもかかわらず、7月から2023年8月 にかけて、このキャンペーン／活動に関連するEVコード署名付きサンプルが30 件以上使用されていました。 この活動に関連するVidar情報窃取型マルウェアは、各サンプルのハッシュ値が異なっていたことから、ポリモーフィックなものでした。 脅威アクターがマルウェアにEV証明書を使用した事例は過去にもありますが、トレンドマイクロによると、これほど多くのサンプルを確認したのは今回が初めてとのことです。 攻撃者がどのように秘密鍵を入手したのかは、現時点では明らかになっていません。
テクニカル分析
RedLineやVidarを利用する脅威アクターは、被害者に悪意のあるファイルを実行させるために、一般的な手口を用いています。 これには、スピアフィッシングや、二重拡張子やLNKファイルの利用、Googleドライブを介した悪意のあるファイルの転送などがよく含まれます。
トレンドマイクロが調査した事例によると、被害者は今年7月中旬、一連のキャンペーンを通じて情報窃取型マルウェアを受け取っていました。 その後、 8月9日では、偽のトリップアドバイザーからの苦情メールの添付ファイルをダウンロード・開封するよう騙された結果、ランサムウェアのペイロードを受け取ってしまいました。 この添付ファイルは、一般的な二重拡張子（.pdf.htm）の手法を用いて、ユーザーにPDFファイルだと錯覚させようとしていました。
この添付ファイルを開き、「苦情を読む」をクリックした後、ユーザーは知らず知らずのうちにいくつかのJavaScriptファイルを実行してしまいました。 その結果、「TripAdvisor Complaint-Possible Suspension.exe」がダウンロードされ、実行されました。 この実行ファイルは2つのURLに接続し、PNGファイルの内容を読み取り、それを暗号化されたシェルコードに変換しました。 そのシェルコードは復号され、注入用のさらに別のシェルコードが生成されました。
このランサムウェアのペイロードは、最終的に「Ransom.Win64」として検出されました。CYCLOPS.A は、正規の 7-Zip スタンドアロン・コンソール・アプリケーションである rgb9rast.exe に埋め込まれました。 その後、このマルウェアは身代金要求メッセージを残し、拡張子が「.knight_l」の暗号化されたファイルを生成し、ネットワーク上のファイルを暗号化するためにSMB経由で外部への接続を行いました。
その他の指標
また、攻撃者は、EVコード署名のない悪意のあるファイルに対して、「Additional informatoin about the reservation.exe」（「information」の代わりに「informatoin」と綴られています）や、「TripAdvisor Complaint - Possible Suspension.exe ransomware」といった、その他のファイル名も使用していました。 これらの追加ファイル名も、「jpg.exe」や「pdf.exe」のように、二重の拡張子が使用されていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「追加のセキュリティ対策が実施されたにもかかわらず、攻撃者は何らかの方法で、EV証明書で署名された情報窃取型マルウェアを配布することに成功してしまいました。」
「この攻撃者が、この活動を実行するために必要な秘密鍵をどのように入手できたのかは、現時点では明らかになっていません。」 これは、CTIが今後さらに詳しく解明していきたいと考えている点です。 さらに注目すべきは、今回のキャンペーンにおいて、彼らが単にマルウェアを配布するだけでなく、その後でランサムウェアのペイロードを仕掛けるという手法へと転換した点です。
「この1年間（あるいはそれ以上）にわたってランサムウェアが広く蔓延していることを踏まえると、脅威アクターがランサムウェアの波に乗ろうとするケースがますます増えてきています。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
