今週のまとめでは、CTIが、mimeTools.dllというNotepad++のデフォルトプラグインの改変版について取り上げています。このプラグインは、現在、インターネット上で広く出回っています。 次に、CTIは、従来の「ランサムウェア・アズ・ア・サービス（RaaS）」モデルとは異なる、安価で独自に開発された「ジャンクガン」型ランサムウェアの新たな波について調査しています。 最後に、CTIは、正規のIPスキャナーソフトウェアを装ったタイポスクワットドメインを検索エンジンの検索結果の上位に表示させている、Googleにおける最新のマルウェア広告キャンペーンについて詳しく分析しています。
1. 研究者らが改変されたNotepad++プラグインを発見しました
研究者らは、 のデフォルトのNotepad++プラグイン「 」の改変版である「mimeTools.dll」が、実環境において拡散されていることを発見しました。
MimeTools.dll は、Notepad++ パッケージのインストールファイルに含まれているデフォルトのプラグインです。 このため、mimeTools.dll はプログラムの起動時に自動的に読み込まれ、ユーザーによる追加の操作は一切必要ありません。 この攻撃者は、DLLハイジャックの手法を用いて、悪意を持って改変された亜種を実行したものとみられます。
mimeTools.dllの悪意のあるバージョンには、エンコードされた悪意のあるシェルコードと、それを復号するためのコードが追加されていました。 Notepad++ パッケージ内では、問題の悪意のあるファイルは「certificate.pem」という名前になっています。
ASECは、両バージョンのmimeTools.dllの機能を詳しく調査したところ、コード上の唯一の違いはDllEntryPointであることが判明しました。
脅威アクターがmimeTools.dllを利用してマルウェアを拡散させる仕組み
mimeTools.dll が Notepad++ として読み込まれるため、直ちに悪意のある動作が始まります。
- このマルウェアは、実行時にいくつかの間接的なシステムコール手法を用いて、マルウェア対策製品による検知を回避しています。
- 次に、certificate.pem ファイルが復号され、実行されます。 その後、BingMaps.dll の GetBingMapsFactory() 関数内に格納されているコードが、悪意のあるシェルコードで上書きされ、その結果、explorer.exe へのスレッド注入が行われます。
- その後、 C2 サーバーからさらに1つのシェルコードがダウンロードされ、実行されます。
- C2 との通信に使用される文字列は、特定の関数を通過するとURLになります。 C2に情報を送信するには、まず Base64 で情報をエンコードし、その後、ヘッダーに追加します。
- 研究者たちは、分析の過程で、この「 C2 」がWordPressのログインページのように見えるように設計されていることに気づきました。 しかし、このマルウェアが最初に拡散された当初は、ウィキサイトのように見えました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この活動の背後にいる攻撃者が、Notepad++の人気の高さを理由に、同ソフトを標的にしていることは明らかです。
攻撃者は、正規のNotepad++に対するユーザーの信頼を悪用しており、ユーザーによる追加の手動操作を必要としないため、これを防ぐことは極めて困難です。
とはいえ、攻撃者がDLLハイジャックを利用していることは、検知の機会となり、防御側がこの種の攻撃を特定するのに役立ちます。
2。 サイバー犯罪フォーラムに、新たなジャンクガン型ランサムウェアが登場しました
ソフォスは、「独自に作成され、安価で、粗雑に構築された」とされる「 」というジャンクガン型ランサムウェア の流行を明らかにしました。
ソフォスによると、今回の攻撃の波は、かなり長い間脅威の状況を席巻してきた従来の「ランサムウェア・アズ・ア・サービス（RaaS）」モデルとは一線を画しているとのことです。 とはいえ、ランサムウェアの世界に参入しようとしているサイバー犯罪者にとっては、依然として魅力的な選択肢となっています。
「ジャンクガン」ランサムウェア：概要
ソフォスは、 2023年6月 年から2024年2月年の間に、 19 種類の「ジャンクガン」ランサムウェアを発見しました。
19 点のサンプルのうち、多くは現在販売中ですが、その他は開発中として掲載されています。 特定された「ジャンクガン」ランサムウェアの各亜種について、詳細な情報はあまり公開されていませんが、そのうち少なくとも3つは、実際の攻撃に利用されたとされています。
これらの情報はすべてサイバー犯罪者によって投稿されたものであることを踏まえると、これらの亜種の一部は、単に他のサイバー犯罪者を騙すことを目的とした詐欺である可能性があることを念頭に置いておくことが重要です。
「ジャンク・ガン」ランサムウェアの被害額はいくらになるのでしょうか？
これらのジャンクガン型ランサムウェアの亜種は、標準的なRaaSサービスと比較すると、いずれも比較的安価です。
価格が記載されている物件のうち、価格の中央値はわずか375ドルでした。 また、これらの品種のうち、ある種のサブスクリプションモデルを提供していたのはわずか3つだけで、残りはすべて1回限りの料金での提供となっており、これもまたRaaSモデルとは異なっていました。
「Junk Gun」ランサムウェアの特徴
「ジャンク・ガン」ランサムウェアの各亜種は、その機能においてそれぞれ異なる傾向があります。 攻撃者は、XTEAや Salsa20といった珍しいアルゴリズムを含め、さまざまな暗号化手法を使用しています。 一部の亜種には、情報窃取やキーロギングなど、従来のランサムウェアには見られない機能が含まれている一方、他の亜種は、ボリュームシャドウコピーの削除やマルチスレッドによる暗号化といった、ランサムウェア特有の機能に重点を置いています。
ソフォスは、このランサムウェアの開発者についてさらに詳しく調査したところ、製品ラインナップの拡充を図り、実質的に事業を拡大しようとしている開発者たちがいることが判明しました。 その一例として、ランサムウェア「Loni」の開発者が挙げられます。同開発者は、自社の製品をRaaS（Ransomware-as-a-Service）のサービスよりも優れていると宣伝しており、十分な資金が確保でき次第、インフラの拡大やデータ漏洩サイトの構築を目指していると述べています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ジャンクガン」ランサムウェアの亜種にはデータ漏洩サイトが存在しないため、研究者が実環境におけるその実際の利用状況を把握することは困難です。
この「ジャンクガン」スタイルの製品は、RaaSモデルとは大きく異なりますが、参入コストの引き下げという同様の目的は達成しています。 こうしたサービスにより、技術的な知識がそれほどなくても、また犯罪ネットワークへのアクセスがなくても、さまざまなレベルのサイバー犯罪者がランサムウェアの世界に参入できるようになっています。
このサービスは、RaaS（サービスとしてのサイバー犯罪）のような利益分配の仕組みがないため、一部のサイバー犯罪者にとってはより魅力的なものとなる可能性があります。 ソフォスが要約しているように、これにより「犯罪者は、安価に、簡単に、そして独自にこの手口に加担することができるようになります」。
3。 ITチームを標的とした新たなマルウェア広告キャンペーン
最新の「 」Googleマルバタイジングキャンペーン（ ）では、正規のIPスキャナーソフトウェアを装った複数のタイポスクワットドメインが、検索エンジンの検索結果の上位に表示されるよう仕向けられています。
このキャンペーンは、新しいバックドア「MadMxShell」を配布することを目的としています。このバックドアは、複数段階にわたるDLLサイドローディングを利用し、通信にはDNSプロトコルを悪用して C2 番ポートを使用し、メモリフォレンジックによるセキュリティ対策の検知を回避する機能を備えています。
キャンペーンについて
このキャンペーンの背後にいる攻撃者は、「Advanced IP Scanner」、「Angry IP Scanner」、「PRTG IP Scanner」、「Manage Engine」といった正規のIPスキャナーソフトウェアを装った複数のドメインを登録しています。
これらのドメインはすべて、3月に発生したマルウェア広告攻撃で使用されました。 悪意のあるサイトのソースコードは、ユーザーをリダイレクトして悪意のあるファイルをダウンロードさせるよう改変されている点を除けば、正規のサイトのソースコードとほぼ同一です。
バックドア
Zscalerは、「Advanced-ip-scanner.zip」という名前のサンプルを分析したところ、その中には、正規の「oleview.exe」の名前を変更した実行ファイルと、DLLファイルの2つのファイルが含まれていることが判明しました。
この実行ファイルが実行されると、DLLをサイドロードし、一連のシェルコードを実行します。 次の段階では、正規に署名されたマイクロソフトのEXEファイル「OneDrive.exe」がドロップされます。 その後、この脆弱性を悪用して追加のDLLをサイドロードし、永続性を確立します。
このマルウェアは、一般的なファイル操作を行う前に、Windows Defender を無効にしようとしたり、スケジュールされたタスクを設定したり、アンチダンピング手法を使用したりしようとします。
また、このマルウェアは、DNS MXクエリ内にエンコードされたコマンドを送受信することで、その「 C2 」と通信を行います。 このマルウェアは、リクエスト間隔を3秒に設定されており、これはかなり短い間隔であるため、 C2 回の通信にHTTPを使用しているマルウェアに比べて、はるかに目立ちやすくなります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
攻撃者は、警戒心のないユーザーにマルウェアを配布するために、マルウェアを仕込んだ広告（マルバタイジング）をますます多用するようになっており、検索エンジンの検索結果にあるリンクを、むやみにクリックする前に確認することの重要性が浮き彫りになっています。
このマルウェア広告キャンペーンの特徴は、 C2 通信にDNS MXクエリを利用している点にあります。 一見すると、これは洗練された手法のように見えますが、リクエスト間の間隔がわずか3秒しかないため、かなりノイズが多くなってしまいます。
このキャンペーンは、なりすましの対象となっているソフトウェアを考慮すると、ITユーザーを標的としているようです。 しかし、新たなマルウェア広告キャンペーンが定期的に出現しており、さまざまなソフトウェアを使用する極めて幅広いユーザーを標的にしているようです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
