今週、CTIは、4か月の休止期間を経て脅威の舞台に再び姿を現した「Bumblebee」マルウェアについて調査を行います。 次に、CTIでは、コードベースや構造に大幅な変更を加えて再登場した「PikaBot」マルウェアについて検証します。 また、現在進行中のスミッシングキャンペーンにおいて、脅威アクターがAWS Simple Notification Service（SNS）や「SNS Sender」と呼ばれるカスタムスパムスクリプトをどのように悪用しているかについての詳細も掲載されています。
1. バンブルビーが活動休止から復帰しました
Proofpointによると、 「Bumblebee」マルウェア（ ）は、一時的に姿を消していましたが、脅威の現場に再び現れました。 2月8日で観測された今回のキャンペーン以前、Proofpointのデータには4か月間、Bumblebeeマルウェアの記録が見られませんでした。
最新のキャンペーン
Bumblebeeの最新のキャンペーンでは、攻撃者が「Voicemail February」という件名で、全米各地のさまざまな組織に数千通のメールを送信しました。
これらのメールはすべて同じメールアドレスから送信されたもので、OneDriveのURLが含まれていました。 被害者がOneDriveのURLをクリックすると、Humaneという家電メーカーを装ったWord文書が表示されました。
そのWord文書は、Windowsの一時ディレクトリにスクリプトを作成するマクロを利用していました。 その後、マクロはwscriptを介してスクリプトを実行します。
マルウェアの実行
ドロップされた一時ファイルには、攻撃の次の段階をダウンロードして実行する役割を担うPowerShellコマンドが含まれていました。
次の段階では、Bumblebee DLL をダウンロードして実行する役割を担う、別の PowerShell コマンドが実行されました。 このキャンペーンにおけるBumblebeeの設定には、キャンペーンID「 “dcc3” 」と、キー「RC4 」の値「NEW_BLACK」が含まれていました。
注目すべきキャンペーンの特徴
このキャンペーンの興味深い点は、VBAマクロが有効化されたドキュメントが使用されていることです。マイクロソフトがデフォルトでマクロをブロックするようになって以来、こうしたドキュメントはますます見られなくなってきています。
Proofpointが 2022年3月以降に特定した約 230 件のBumblebeeキャンペーンのうち、マクロを含むコンテンツを使用したキャンペーンは5件のみでした。そのうち4件ではXL4 個のマクロが使用され、VBAマクロを使用したものは1件のみでした。
全体として、このキャンペーンの攻撃チェーンは、以前の「Bumblebee」キャンペーン、さらには「NEW_BLACK」構成を採用していたものとも、明らかに異なっています。
出典
Proofpointは、この最新のBumblebeeマルウェアの活動を、特定の脅威アクターによるものと特定できていません。 研究者たちは、ボイスメールにまつわるおとりメールの手口、OneDriveのURLの使用、および送信者のメールアドレスが、 TA579によるこれまでの活動と一致していることに気づきました。 しかし、Proofpointはその結論を断定することはできませんでした。 Proofpointによると、Bumblebeeマルウェアはランサムウェアなど、さまざまな二次ペイロードを配信するために利用される可能性があるため、単一の攻撃者に帰属させることはより困難になるとのことです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
昨年「 」という「Bumblebee」マルウェアが確認されて以来、当サイトがこれについて報じるのは今回が初めてとなります。。 マルウェアが休止状態から活動を再開する際、通常は新たな機能や改良された機能、そしてTTPが備わっています。 しかし今回、バンブルビーは、多くの脅威アクターが使用を控えるようになってきている手法を用いて復活しました。
この手法を採用した意図は明らかではありませんが、いずれにせよ、バンブルビーの活動が今後さらに活発化する可能性があることを示唆しています。
2。 PikaBotが、最適化されたコードとともに再登場しました
研究者らは、コードベースや構造に大幅な変更が加えられた「 PikaBot」マルウェア（ ）が、新たな攻撃キャンペーンで使用されていることを確認しました。
PikaBotの開発者たちはコードの複雑さを軽減した結果、高度な難読化手法が削除され、ネットワーク通信にも変更が加えられました。
PikaBotとは何ですか？
- PikaBotマルウェアは、 2023年の初頭に初めて確認されました。 これは、ローダーとコアモジュールという2つの主要な構成要素から成っています。
- コアモジュールは、 C2 サーバーから受信したコマンドを実行し、ペイロードを注入します。 このマルウェアは、QBotマルウェアと同様の配布 手法や動作を示しています。
- FBIがQBotマルウェアの運営組織を摘発した後、PikaBotの活動が急増しました。これは、BlackBastaランサムウェアのアフィリエイトグループが、QBotの代わりにPikaBotを使い始めたことが原因である可能性が高いと考えられます。 その後、PikaBotは『 2023年12月』の終了とともに活動を停止したようです。
- 最近の攻撃活動が確認されており、PikaBotが脅威の情勢に再び登場したことが示唆されています。 最新のバージョンでは、コードの複雑さを軽減する大幅な変更が加えられています。 Zscaler社は、このバージョンが現在、新たな開発サイクルとテスト段階にあると考えています。
分析回避技術
PikaBotの解析回避技術における最も注目すべき変更点は、文字列の難読化です。 以前のPikaBotのバージョンでは、 RC4 アルゴリズムとAES-CBCを組み合わせて各文字列を難読化しており、これは非常に効果的な手法でした。 最新バージョンでは、ほとんどの文字列は、1文字を取得してそれをスタックに押し込むことで構築されています。 これまでの亜種と同様、この亜種も正当な命令の間にジャンクコードを挿入します。
これらの手法に加え、PikaBotではデバッグセッションを検出するために2つの方法を採用しています。 プロセスの環境ブロックからBeingDebuggedフラグを読み取り、さらにWindows API関数「CheckRemoteDebuggerPresent」を呼び出します。
コードのさまざまな箇所で、こうしたチェックを引き続き行っていきます。 同様に、このマルウェアは、サンドボックス環境内で実行されていないことを確認するために、さまざまな手法を用います。 最後に、このマルウェアは、ロシア語またはウクライナ語のいずれかを検知すると、実行を停止します。
ボットの初期化フェーズ
PikaBotの最新バージョンでは、すべての設定と情報が1つの構造体に保存されます。 この設定は平文で、1つのアドレスに保存されており、実行時に各要素を復号する必要があった以前のバージョンよりもはるかにシンプルです。
PikaBotは平文情報を解析する際、その情報を消去し、すべてのバイトをゼロに設定します。 その後、このマルウェアは、残りの必要な Windows API 関数を読み込み、ホスト用のボット識別子を生成します。
ネットワーク通信
このマルウェアの最後の段階では、 C2 サーバーに接続して、さまざまなネットワークコマンドを取得します。 この機能のネットワークプロトコルは、最新のPikaBotバージョンで大幅に変更されました。 このマルウェアは、まず感染したホストを自身のサーバーに登録し、モニターの表示設定、ビーコンおよび遅延の設定、ドメインコントローラー名など、感染したホストに関する情報を収集します。
その後、32バイトのネットワーク RC4 キー、不明なレジストリキー名、およびデータの符号化に使用されたスワップラウンド数を、登録パケットに追加します。 収集したデータを暗号化し、POSTリクエストで C2 サーバーへ送信します。
ボットの登録が成功した場合、PikaBotはネットワークコマンドをリクエストして実行する無限ループを開始します。 サポートされているネットワークコマンドの完全な一覧は、 および Zscaler のレポート『』に詳しく記載されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
PikaBotマルウェアの最新バージョン「 」は、コードの複雑さを低減させるという、これまでとは大きく異なるアプローチを採用しています。 これは珍しいことです。通常、新しいマルウェアの亜種はより高度で複雑になるからです。
PikaBotは依然として重大な脅威となっており、 は以前、QBotマルウェアを拡散していたことが知られている脅威アクターによって悪用されていました（ ）。
3。 攻撃者はAWS SNSを介してスパムを配信しています
現在、攻撃者は、進行中のスミッシングキャンペーンにおいて、 の AWS Simple Notification Service（ 、SNS）と、「SNS Sender」と呼ばれるカスタムスパムスクリプトを併用しています。 この悪意のあるスクリプトの作成者は、 および市場に出回っている数多くのフィッシングキット と関連付けられています。
キャンペーンの概要
「SNS Sender」は、AWS SNS を利用して、 のフィッシングリンク を含む SMS メッセージを一括送信する、カスタム Python スクリプトです。 SentinelOneは、SNS Senderがスパム攻撃においてAWS SNSを活用した初のスクリプトであると指摘しています。 これらのメッセージは、しばしば米国郵便公社（USPS）を装っています。 さらに、研究者たちは、このツールの開発者と他のいくつかのフィッシングキットとの関連性を突き止めましたが、このツールはまだテスト段階にある可能性があると見られています。
このスクリプトについて
SNS Senderスクリプトを実行するには、作業ディレクトリ内にフィッシングリンクの一覧である「links[.]txt」が必要です。 この機能は、AWSのアクセスキー、シークレット、リージョンを記載したテキストファイル、送信先の電話番号を記載したテキストファイル、送信者ID、およびメッセージ本文など、いくつかの引数を入力として受け付けます。
このスクリプトには、「send_sns_message」という関数が用意されており、この関数によって、スクリプトとAWS SNSバックエンドとの間のインターフェースが構築され、SMSメッセージが送信されます。 SentinelOneによると、送信者ID変数を組み込むことは興味深い選択だとのことです。というのも、この変数はオプションであり、すべての国でサポートされているわけではないからです。 例えば、米国では通信事業者は送信者IDに対応していませんが、インドではこれが必須となっています。 このキャンペーンのメッセージはUSPSをテーマにしたものが多く、差出人IDの記載とは矛盾しているという事実を考えると、これは興味深いことです。 これは、この活動の背後にいる攻撃者が、送信者IDの記載が義務付けられている国にいることを示唆している可能性があります。
このスクリプトでは、事前に入力されたAWSの認証情報とリージョンのリストを順に処理するためのwhileループを設定します。 これにより、文字列「linkas」がどこに現れても、以前に入力された links[.]txt ファイル内の URL に置き換えられます。 そのリンクはランダムに選択され、そのメッセージを本物のフィッシングSMSとして悪用することになります。
フィッシングキット
このスクリプトの作者は、ARDUINO_DASというペンネームで活動しています。 研究者らは、この攻撃者を参照しているフィッシングキットファイルを 150 件以上特定しましたが、その半数以上がUSPSを題材としたものでした。
研究者たちは、 2024年1月 による、USPSを装ったフィッシング攻撃を利用した現在進行中のキャンペーンを詳細に分析し、その基本的な流れを明らかにしました。 そのランディングページでは、被害者に対し、荷物が配達できなかったと伝え、サポートを受けるためにボタンをクリックするよう促していました。 このボタンをクリックすると、被害者は荷物の追跡情報を表示しているように見せかけた追跡ページに誘導されますが、そのページでは、氏名、電話番号、メールアドレスなどの個人情報（PII）の入力が求められます。
次に、被害者は別のページに誘導され、再配達手数料の支払いのためにクレジットカード番号の入力を求められます。 クレジットカード番号は、Telegramのサービスを通じて運営されているとみられるカード検証ツールに転送されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
SentinelOneが説明しているように、脅威アクターは通常、AWS SNSを利用しません。とはいえ、攻撃においてクラウドを活用する傾向はますます強まっています。
「SNS Sender」は、アクターが適切に構成されたAWS SNSテナントにアクセスする必要がある、新しいアプローチです。 さらに、USPSをテーマにしたキャンペーンに送信者IDが組み込まれている点は疑問が残り、このツールがまだ開発段階にある可能性が高いと考えられます。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
