今週のまとめでは、CTIが、DarkGate Loaderマルウェアを配布するMicrosoft Teams関連のキャンペーンについて調査しています。 次に、新しい「Agent Tesla」の亜種を拡散させている「 」フィッシングキャンペーン（ ）の概要をご紹介します。 最後に、CTIは、Google DevToolsプロトコルの独自実装を利用してブラウザの機能に直接アクセスする、高度なChaesマルウェアの亜種について調査しています。
1. ハッカーが「DarkGate Loader」マルウェアを用いてMicrosoft Teamsを標的にしています
Truesecは最近、被害者に のDarkGate Loaderマルウェア（ ）を配信するMicrosoft Teamsを用いたキャンペーンについて調査を行いました。 このキャンペーンでは、攻撃者が外部のOffice 365 アカウントに改ざんされたチャットメッセージを送信し、ソーシャルエンジニアリングを用いて被害者を騙し、悪意のあるファイルをダウンロード・開かせるように仕向けています。
DarkGate Loader を送信しているのは誰ですか？
Truesec社は、Microsoft PurviewのeDiscoveryツールを使用して、Microsoft Teams内の送信者を検索しました。 彼らは、2人の送信者を次のように特定しました：
- アッカラヴィット・タッタマナス（[email protected]代目）
- アブナー・ダビッド・リベラ・ロハス（[email protected][.]co）。
研究者らは、これら2つのアカウントが正体不明のマルウェアによって乗っ取られ、ダークウェブの 2023年8月で売りに出されていたことを確認しました。 彼らは、そのアカウントが属する「 O365 」というテナントに関する情報をさらに収集するために方針を転換し、リストアップされたドメインを利用して追加のメッセージを検索しました。
両方の送信者は、ファイルへのリンクを含む全く同じおとりメールを使用しました。 このファイルは「休暇スケジュールの変更.zip」という名前で、SharePoint上に保存されています。 被害者がTeamsのメッセージ内のURLをクリックすると、そのファイルがダウンロード可能なSharePointサイトに誘導されます。 その後、Microsoft Defender はこのファイルを「BAT/Tisifi.A#」として特定しました。
マルウェアの分析
このZIPファイルには、PDF文書を装った悪意のあるLNKファイルが含まれています。 Truesecは、実行されるコマンドラインを抽出したところ、それが別のファイルのダウンロードと実行を引き起こすことが判明しました。
これらのコマンドでは、Windows版のcURL（wbzaと名前が変更されています）を使用して、 Autoit3.exeとそれに同梱されているスクリプトeszexz.au3をダウンロードし、実行します。 あらかじめコンパイルされたAutoITスクリプトは、マジックバイトを検索することで、ファイルの中央にあるコードを隠します。
AutoITは、シェルコードを含む新しいファイルを生成し、実行する前にSophosのウイルス対策ソフトがインストールされているかどうかを確認します。 Sophosが存在しない場合、AutoITスクリプト内の追加コードが逆コンパイルされ、シェルコードが実行されます。 シェルコードが実行されると、スタックド・ストリングスという手法を用いて1バイトずつ読み込み、新しいファイルを作成します。 その後、ペイロードをメモリから抽出して分析することができます。 VirusTotalでは、このペイロードはDarkGate Loaderであると特定されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「脅威アクターがMicrosoft Teamsを悪用して悪意のある活動を行うのは、今回が初めてではありません。」 例えば、マイクロソフトは最近、ロシアの脅威アクターがTeamsを通じて組織を標的とし、ソーシャルエンジニアリングを用いて被害者に多要素認証（MFA）のリクエストを承認させることを狙った攻撃キャンペーンを特定しました。
「マイクロソフトは以前、こうした攻撃から身を守るための対策について、いくつかの推奨事項を提示しています。」 しかし、結局のところ、これはセキュリティ意識向上のための研修や教育の重要性に帰着するのです。」
2。 フィッシング攻撃では、新しい「Agent Tesla」の亜種が利用されています
フォーティネットは最近、 の新しい「Agent Tesla」亜種を拡散させるフィッシングキャンペーンを確認しました。 （新しいタブで開きます）。 この攻撃キャンペーンでは、 2017 および2018に起因する2つの古い脆弱性が悪用されています。
これらの脆弱性に対する修正プログラムは数年前に公開されていますが、依然として攻撃者たちの間で広く利用されています。これは、数年経った今でも、パッチが適用されていないデバイスが実環境に存在していることを示唆しています。
フィッシングメール
このキャンペーンで悪用された2つの脆弱性は、 CVE-2017-11882 （新しいタブで開きます） および CVE-2018-0802 （新しいタブで開きます） です。 いずれも、細工された数式データを解析する際に、 EQNEDT32.exe プロセス内でメモリ破損を引き起こすリモートコード実行（RCE）の脆弱性です。 これらを悪用されると、任意のコードが実行される恐れがあります。
フィッシングメールに添付されたExcelファイルは、オブジェクトリンクおよび埋め込み（OLE）形式となっており、これらの脆弱性を悪用するように仕組まれた数式データが含まれており、最終的に悪意のあるシェルコードを実行します。
被害者が添付ファイルを開くと、Excelはユーザーに偽りのメッセージを表示しながら、バックグラウンドで細工された数式データ内のシェルコードを実行します。 悪意のある数式データは、MS Officeのプロセスである EQNEDT32.exeによって自動的に解析され、 CVE-2017-11882/CVE-2018-0802 の脆弱性を引き起こし、その結果、悪意のあるシェルコードが実行されます。
自己復号化後、シェルコードの主な役割は、追加のマルウェアファイルをダウンロードして実行することです。 そのために、いくつかのAPIを呼び出してマルウェアをローカルフォルダにダウンロードし、被害者の端末上で実行します。
ダウンロードしたファイル
ダウンロードされたファイル「dasHost.exe」は、2つのパッカーによって保護された.NETプログラムです。 このマルウェアは、2つのファイルレス実行モジュールを抽出します。1つはAgent Teslaのペイロードモジュールであり、もう1つはAgent Teslaのペイロードファイルへのローダーモジュールです。
エージェント・テスラのペイロード
このペイロードの主な機能は、持続性に加え、プロセスホローイングを実行した後、復号された実行ファイルをそのホローイングされたプロセスに配置し、実行することです。 この復号化された実行ファイルは、Agent Teslaの中核モジュールです。
このマルウェアは、ペイロードモジュール内で、システムのタスクスケジューラにタスクを作成するコマンドを実行します。 このタスクは、ログイン時に開始されるように設定されています。 また、このコアモジュールは、システムのレジストリに自動実行項目を追加し、システムの起動時に自動的に実行されるようにします。
「Agent Tesla」のコアモジュールは、デバイスから、一部のソフトウェアに保存された認証情報、被害者のキーロギング情報、およびデバイスのスクリーンショットなどの情報を収集します。 このマルウェアは、Webブラウザ、メールクライアント、FTPクライアントなど、デバイスにインストールされている指定されたソフトウェアから認証情報を盗み出すことができます。
Agent Teslaには、HTTP POSTメソッドを使用する方法や、SMTP経由で電子メールの本文として送信する方法など、盗んだデータを送信する複数の方法があります。 この亜種は、電子メールを介してデータを外部へ流出させることを選択しています。 この亜種では、SMTPサーバーのアドレスとポートの両方がハードコーディングされています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンが成功しているのは、2つの脆弱性を悪用しているからに他なりません。」 フォーティネットでは毎日、およそ 3,000 件の攻撃と約1,300 台の脆弱性のあるデバイスを検知・対策しており、これはタイムリーなパッチ適用がいかに重要であるかを改めて示しています。
「この事案は、パッチがリリースされたからといって、攻撃者がその脆弱性を単に放置するわけではなく、今後何年にもわたって悪用を試み続ける可能性があるという事実も浮き彫りにしています。」
3。 「Chaes」マルウェアは、Chrome DevToolsプロトコルを利用してデータを盗み出します
という高度なマルウェアの新たな亜種 （新しいタブで開きます） が出現しました。この亜種は、Chrome DevToolsプロトコルの独自実装を利用して、被害者のブラウザ機能に直接アクセスし、WebSocketsを介してデータを盗み出します。 この感染の連鎖には、7つの異なるモジュールを使用して多段階の感染を引き起こし、さまざまな機能を実行する、偽装されたMSIインストーラーが関与しています。
Chaesマルウェアとは何ですか？
チェスは少なくとも 2020年11月の頃から存在しており、最初の急増は 2021年の第4四半期に起こりました。 このマルウェアは、メルカドリブレに関連する金融データを盗み出す能力と、複数のプログラミング言語を使用している点が特徴でした。
In 2022 the malware was updated with a refined infection chain, enhanced C2 communication, new modules, and WMI adoption for data collection. Chaesの4番目にして最新のバージョンには、コードアーキテクチャの洗練やモジュール性の向上、暗号化層の追加、Pythonへの大幅な移行、通信のためのWebSocketsの採用など、大幅な機能強化が含まれています。
Chaesの初期化とビーコン送信
このマルウェアの初期化フェーズでは、システム上での永続性を確保し、実行を正規プロセスのメモリ内で実行されるように移行する役割を担っています。 スクリプトにより、マルウェアはディスク上で暗号化された状態を維持し、モジュールは実行時にのみ復号されて読み込まれるようになります。 初期化は、現在実行中のインスタンスが一意であり、インプラントが実行されておらず、かつ実行中のプロセスがPython（またはそのコピーのいずれか）である場合にのみ行われます。これは、システム上でマルウェアを初期化する必要があることを示しています。
初期化フェーズが終了すると、マルウェアは現在のプロセスを終了し、残りの実行は注入されたプロセスのいずれかから継続されます。 このインプラントは無限ループで動作し、 C2 回の通信を行います。 このインプラントは、ハードコードされたアドレスへのDNS TXTリクエストを使用して、 C2’s WebSocket URLを解決します。
追加モジュール
中核機能を変更することなく、個別に更新できる7つのモジュールが特定されました。 これらの各機能は、脅威アクターによって送信され、感染したシステム上で実行される可能性があります。
多くのモジュールは以前のバージョンにも含まれていましたが、このバージョンでは、機能の向上、コードベースの変更、独自の技術を取り入れた再実装が提供されています。
- Init: これは、脅威アクターによって送信された最初のモジュールです。 これは、本人確認および新規被害者の登録として機能します。 感染したシステムに関するデータを収集します。
- オンライン： このモジュールは、脅威アクターに対して「オンライン」というメッセージを送信し、どの被害者がまだアクティブであるかを監視するためのビーコンモジュールとして機能します。
- Chronod： これは、認証情報を盗み出すプログラムおよびクリッパーです。 このプログラムは、ブラウザの動作を傍受して、ユーザーから情報を盗み出す役割を担っています。
- Appita： これは、構成や目的の点で、前のモジュールと似ています。 これは、特にイタウ銀行の申請を対象としています。
- Chrautos: これは、Chronod と Appita をベースに、コードのアーキテクチャを改善したモジュールです。 対象やタスクを拡大する能力があり、現在は銀行やWhatsAppのデータに焦点を当てています。
- Stealer: このモジュールは、ログイン情報、クレジットカード情報、クッキー、オートフィル情報など、Chromiumベースのブラウザからデータを盗み出す役割を担っています。
- ファイルのアップロード： このモジュールには、感染したシステムからファイルを検索し、 C2 サーバーへアップロードする機能があります。 現在のバージョンでは、このモジュールはMetaMaskのChrome拡張機能に関連するデータのみをアップロードします。
Google DevTools のプロトコル悪用
このマルウェアは、GoogleのDevToolsプロトコルを使用して、現在実行中のブラウザインスタンスに接続します。 このプロトコルにより、WebSocketsを介してブラウザの内部機能と直接通信することが可能になります。 これにより、攻撃者はスクリプトを実行したり、ネットワークリクエストを傍受したり、暗号化される前のPOSTボディを読み取ったりするなど、さまざまなことが可能になります。
Chrautosモジュールは、GoogleのDevToolsプロトコルを活用し、ユーザーが標的となるサービスを開くのを待つのではなく、自らそのサービスのWebサイトを積極的に開き、関連するすべてのデータを盗み出します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Chaesマルウェアは、ここ数年、進化を続けています。」 「GoogleのDevToolsプロトコルを今回新たに採用したことも、この点をさらに裏付けています。」
「研究者によると、このDevToolsプロトコルを独自に実装し、悪意のある操作を実行するマルウェアとしては、これが初めての注目すべき事例とのことです。」 とはいえ、今後、他のマルウェアファミリーがこの手法を活用し始めるかどうか、注目されます。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
