今週のまとめでは、CTIが、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「既知の悪用されている脆弱性」カタログに掲載された最新の2つの脆弱性について調査しています。 続いて、CTIは、現在 を用いたフィッシング手口でRemcos RATを拡散させている脅威アクター「UAC-0050」の概要を解説しています。。 最後に、CTIでは、現在ダークウェブ上で出回っている「Meduza」パスワード窃取ツールの最新バージョンについて検証します。
1. CISAは、「既知の悪用されている脆弱性（KEV）」カタログに2つの脆弱性を追加しました
CISAが最近、「既知の悪用済み脆弱性（KEV）」 カタログ （新しいタブで開きます） に追加した項目には、Google Chromeの修正済みの脆弱性と、オープンソースのPerlライブラリであるSpreadsheet::ParseExcelに影響を与えるバグが含まれています。
同庁は、連邦政府機関に対し、これら2つの問題への対策を講じるか、あるいは脆弱性のある製品の使用を中止するよう、 2024年1月23日 を期限として設定しました。
バグ I： CVE-2023-7024
最初のバグは、 CVE-2023-7024 （新しいタブで開きます） であり、これはバージョン 120.0.6099.129以前のGoogle ChromeにおけるWebRTCのヒープバッファオーバーフローです。 この脆弱性により、遠隔の攻撃者が、細工されたHTMLページを介してヒープ破損を悪用できる可能性があります。 National Vulnerability Database（NVD）における基本スコアは 8.8 と高い数値を示しています。
- Googleの 脅威分析グループ （新しいタブで開きます） が、 2023年12月19日 でこの脆弱性を最初に報告しました。 同社の研究者によると、この脆弱性は、パッチが公開される前に実環境で悪用されていたとのことです。
- Googleはその後、WebRTCにおける潜在的なヒープバッファオーバーフローを修正するセキュリティアップデートを公開しました。 この問題はGoogleに報告されてから1日後に、Windowsユーザー（120.0.6099.129/130）およびMac・Linuxユーザー（120.0.6099.129）向けに修正版が提供されました。
- この脆弱性は、Chromiumベースのウェブブラウザにおいて、 2023件目となる8番目のゼロデイ脆弱性でした。 Googleは、この脆弱性を悪用した具体的な攻撃に関する詳細についてはまだ明らかにしておらず、より多くのユーザーがこの脆弱性に対するパッチを適用するまでは、バグの詳細を非公開とする可能性があるとしています。
バグ II： CVE-2023-7101
2つ目の脆弱性（ CVE-2023-7101 （新しいタブで開きます））は、Excelファイルを解析するためのPerlモジュールであるSpreadsheet::ParseExcelのバージョン.65 に見つかりました。
- Spreadsheet::ParseExcel には、ファイルからの検証されていない入力を文字列型の「eval」に渡していたため、任意のコード実行の脆弱性によるリスクがあることが判明しました。 この問題は、Excelの解析ロジックにおける数値形式文字列の評価に起因するものでした。
- このバグは現在も分析待ちの状態であり、脆弱性スコアはまだ付与されていません。
- バラクーダ社は、 2023年12月24日 において、 CVE-2023-7102 として追跡されている、これとは若干異なる脆弱性を公表しました。 このゼロデイ脆弱性は、Barracuda ESG アプライアンス上で動作する Amavis ウイルススキャナが使用している、Spreadsheet::ParseExcel というサードパーティ製ライブラリの脆弱性に起因するものでした。
- この脆弱性を悪用されると、パラメータ注入を通じて、パッチが適用されていないESGアプライアンス上で任意のコードを実行される恐れがあります。 その後、同社はオープンソースライブラリ内のこのバグを個別に追跡するため、 CVE-2023-7101 件のバグ報告を提出しました。
- バラクーダ社は、 CVE-2023-7102 からUNC4841までの脆弱性の悪用について、これらが以前、バラクーダ社の他のゼロデイ脆弱性の悪用と関連付けられていたことを指摘しています。 この攻撃者は、エクスプロイト活動に続き、「SEASPY」および「SALTWATER」と呼ばれる既知のインプラントの新しい亜種を展開しました。これらはいずれも、システムへの潜伏およびコマンドの実行機能を備えています。
- マンディアント社は、これらの「Spreadsheet::ParseExcel」の脆弱性を悪用した活動について調査を行っており、 2022年10月以降、 16 カ国にまたがる公的機関および民間組織が影響を受けたと推定されていると指摘しています。
- Google Cloudは、 2023年11月30日以降、主に米国およびアジア太平洋地域のハイテク企業、ITプロバイダー、政府機関を標的とした CVE-2023-7102 件の攻撃が確認されたと述べています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
CISAの発表は重要かつ有益なものですが、パッチを適用すべきかどうかを判断するにあたり、必ずしも脆弱性がKEVに追加されるのを待つ必要はないということを理解しておくことが重要です。
KEVsという名称が示す通り、これらの脆弱性は実環境で悪用されたことが確認されています。 待っていると、もう手遅れになっているかもしれません。 CISAのリストに脆弱性が掲載されていないからといって、それが悪用されていないということにはなりません。
とはいえ、これらの新たに発見された脆弱性に対するパッチの適用は、もしまだ行われていないのであれば、間違いなく行うべきことです。
2。 UAC-0050は、新たなフィッシング手口を用いてRemcos RATを拡散させています
、UAC-0050、 （新しいタブで開きます）、、 として追跡されている脅威アクターが、Remcos RATを拡散させるためにフィッシング攻撃を積極的に展開しています。 このアクターは、検出を回避するために新たな戦略へと移行しており、その一環として、プロセス間通信のためのパイプ方式を組み込み、データ転送用の隠蔽チャネルを構築しています。
UAC-0050に関する背景情報
Uptycsの 氏は、 2023年12月21日上の不審なLNKファイルに関するアラート (新しいタブで開きます) を受け取り、これをきっかけに詳細な調査を行いました。 彼らの分析によると、UAC-0050は、ウクライナの政府機関を標的とした攻撃において、Remcos RATを展開していたことが明らかになりました。
最初の侵入経路は、ウクライナの軍関係者を標的とした、求人情報を装ったフィッシングメールやスパムメールであると考えられています。 LNKファイルは、VBSスクリプトを含むHTAファイルのダウンロードを開始する役割を担っています。 このスクリプトは、PowerShellスクリプトを実行し、そのスクリプトがさらに悪意のあるペイロードをダウンロードします。 ペイロードが実行されると、最終的には explorer.exe が起動され、そのメモリ内に Remcos RAT が読み込まれます。
技術的な詳細
前述の通り、この攻撃の連鎖はLNKファイルから始まります。 この攻撃で使用されたファイルは、標的となったデバイスにどのウイルス対策ソフトがインストールされているかに関する情報を収集しました。 このファイルには、MSHTA を通じて実行される難読化された URL 文字列も含まれています。
Uptycs社は、さらなる分析のために「 “6.hta」ファイルを入手することができ、その結果、その中に含まれていたVBSスクリプトを発見しました。 VBSスクリプトを介して実行されるPowerShellスクリプトには、文字列の初期化、復号オブジェクトの作成、メモリストリームの作成など、いくつかのタスクが含まれています。
その結果、難読化が解除されたプロセスからは、AppDataディレクトリ内にファイルパスを作成し、特定のファイルの存在を確認した上で、DcO関数を呼び出してさまざまなアクションを実行する別のPowerShellスクリプトが明らかになりました。
Uptycsは、悪意のあるものと見られるPowerShellのアクティビティをすべて収集することに成功し、最終的に、ペイロード（word_update.exeおよびofer.docx）がドメイン「new-tech-savvy[.]com」からダウンロードされていたことを突き止めました。
ペイロード情報
「word_update.exe」というペイロードを実行したところ、研究者らは、このファイルが新しく作成されたフォルダ内に自身のコピーを作成し、ファイル名を変更することを突き止めました。
その後、このマルウェアは、LNKファイルを作成してスタートアップフォルダにエントリを追加することで永続性を確保し、コピーされた悪意のあるファイルがマシンの起動時に強制的に実行されるようにします。 このファイルには通常とは異なるリソースデータが含まれており、それがメモリに転送され、復号化されました。
その後、このマルウェアはWriteFile API関数を呼び出し、パイプを利用してさまざまなセキュリティ対策を回避しました。 このプロセスでは、名前なしパイプを宛先とするハンドルを利用しており、処理が完了すると、データが word_update.exe から cmd.exe へ送信されます。 メモリ内のデータは、Remcos RATを実行する前に、実行時に復号されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
パイプ手法を用いてデータ転送のための隠蔽チャネルを確立することは、まったく新しい手法というわけではありませんが、この脅威アクターにとっては新しい手法であるようです。これは、同アクターのTTP（戦術・技術・手順）に変化が生じていることを示しており、その手口がますます巧妙化している可能性を示唆しています。
興味深いのは、Remcos RATが使用されている点です。 この脅威アクターは、このRATの配布をますます増やしているようであり、昨年はCERT-UAからの警告でも名指しで指摘されていました。 現時点では、この攻撃は比較的標的を絞ったもののように見えますが、一般的に用いられているTTPが利用されているため、引き続き注視しておく価値があります。
3。 ダークウェブに「Meduza Stealer」の新バージョンが出現しました
Resecurityは最近、 の「Meduza」パスワード窃取ツール （新しいタブで開きます） の作者が、ダークウェブ上で新バージョン「 2.2」を公開したことを確認しました。 この公開は、ダークウェブ上の 2023年12月24日で発表されました。
この最新バージョンは、6月にこの情報窃取ツールが最初にリリースされてからわずか数ヶ月後に登場したばかりですが、すでに大きな注目を集めています。 バージョン 2.2 における最大の改善点は、追加のソフトウェアクライアントのサポート、クレジットカード情報取得機能の強化、およびさまざまなプラットフォームにおけるパスワード保存データのダンプを行う高度なメカニズムの追加により、認証情報やトークンを抽出できるようになったことです。
Meduza Stealerとは何ですか？
Meduzaはもともと、XSSのアンダーグラウンドフォーラムで登場しました。 その後、Exploitなどの他のコミュニティからも好評を博しました。
このステラーは現在、Windows Server 2012、 2016、 2019、 2022 、およびWindows 10/11に対応しています。 Meduzaは、 100 種類以上のブラウザ、100 種類以上の仮想通貨ウォレット、Telegram、Steam、Discord、27 種類のパスワードマネージャー、Outlook、Googleトークンなど、幅広いソフトウェアやアプリケーションからデータを盗み出すことができます。
Meduza Stealerの最新の更新情報
Meduzaの著者は、 2024向けにいくつかの機能強化を実施しています。 重要なアップグレードの一つは、パスワードグラバーの最適化と、STLからWinAPIへの書き換えです。 これに伴い、スティラーの「 C2 」通信に複数の改善が加えられました。
バージョン2024 では、暗号化スタブとウイルス対策ソフトの回避機能も改善されます。追加料金を支払うことで、作者は、ウイルス対策ソフトによる検出をさらに回避できる、強化された難読化処理をステラーに施すことが可能です。 Meduzaでは、新たにブラウザベースの仮想通貨ウォレットにも対応するようになりました。
Meduzaの運営者は、「TrueCrypt Service」として知られる、評判の良いアンダーグラウンドの暗号化サービスと提携しました。 多くのマルウェアやランサムウェアの運営者が、このサービスを利用してペイロードを難読化し、ウイルス対策ソフトの検知を回避しています。 Resecurityの調査によると、今回の暗号化処理はある程度効果を発揮しており、発見時点ではVirusTotal上で検出できたベンダーは1社のみでした。
Meduza Stealerの価格はいくらですか？
Meduza Stealer 2.2 の月額料金は199 ドルで、生涯会員権は1199ドルです。
また、同チームは、パブリックおよびプライベートのスタブを用いた暗号化サービスを提供しているほか、 C2 パネルをホストするためのサーバーも、有料で提供しています。 脅威アクターがMeduzaの代金を支払うと、作者はそのアクターを非公開のTelegramチャンネルに招待し、そこで新しいツールを受け取ることができます。 Resecurityによると、非公開のTelegramチャンネルで入手可能な最新バージョンは「Meduza 2.2.7」であり、このマルウェアがさらに改良されたことを示しています。
Meduzaをインストールするには、攻撃者はまず共有されている「MedusaServer.exe」ファイルを起動し、Pythonバージョン 3.10.2をインストールし、Microsoft Visual Studio再配布可能パッケージをインストールした上で、コンソールでいくつかのコマンドを実行する必要があります。 最新のMeduza亜種は、感染した被害者からログを送信する手段として、Telegramのインスタントメッセージ機能を利用した通信に対応しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Meduzaの作者は、このマルウェアを継続的に改良し、脅威アクターにとってより魅力的なものにするために懸命に取り組んでいます。 バージョン 2.2 が12月24日で公開され、すでにバージョン 2.2.7 が利用可能となっています。 これは、この情報窃取型マルウェアがいかに急速に進化しているかを示しています。
Meduzaへの継続的な支援と成長を踏まえると、Resecurityは、MeduzaがAzorultやRedline Stealerと競合し始めていると考えています。 「Meduza Stealer」がどれほど成功を収めることになるのかは、時が経てば明らかになるでしょう。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
